> ## Documentation Index
> Fetch the complete documentation index at: https://docs.cystack.net/llms.txt
> Use this file to discover all available pages before exploring further.

# Chuẩn bảo mật và điểm số

> Hiểu CVE, CWE, CVSS, EPSS, CISA KEV, OWASP Top 10, OWASP WSTG và mức độ nghiêm trọng trong VulnScan

CyStack VulnScan bổ sung thông tin cho phát hiện bằng các mã định danh lỗ hổng, nhóm điểm yếu, hệ thống chấm điểm, tín hiệu khai thác thực tế và mapping bảo mật ứng dụng. Các trường này giúp đội bảo mật, đội phát triển, đội hạ tầng và quản lý dùng cùng một ngôn ngữ khi phân loại, giao việc, khắc phục và báo cáo lỗ hổng.

Không nên dùng một trường riêng lẻ để quyết định toàn bộ mức ưu tiên. Thông thường, cần kết hợp mức độ nghiêm trọng kỹ thuật, khả năng bị khai thác, bằng chứng khai thác thực tế, mức độ lộ ra ngoài, bối cảnh nghiệp vụ, độ tin cậy và chi phí khắc phục.

## Tóm tắt nhanh

| Trường              | Trả lời câu hỏi                                               | Ví dụ                        | Dùng để làm gì                                              |
| ------------------- | ------------------------------------------------------------- | ---------------------------- | ----------------------------------------------------------- |
| Mức độ nghiêm trọng | Tác động kỹ thuật nghiêm trọng đến đâu?                       | Critical, High, Medium       | Lọc nhanh, sắp xếp và xem bảng điều khiển.                  |
| CVE                 | Đây là lỗ hổng công khai nào?                                 | `CVE-2024-3094`              | Tra advisory, bản vá, dữ liệu tình báo và báo cáo.          |
| CWE                 | Lỗi thuộc nhóm điểm yếu nào?                                  | `CWE-89` SQL Injection       | Phân tích nguyên nhân gốc, sửa code và phòng ngừa lặp lại.  |
| CVSS                | Mức độ nghiêm trọng theo thang điểm chuẩn là bao nhiêu?       | `9.8 Critical`               | So sánh mức độ kỹ thuật giữa công cụ và nhà cung cấp.       |
| EPSS                | Lỗ hổng này có khả năng bị khai thác trong thực tế sớm không? | `0.87`, percentile 97        | Ưu tiên các lỗ hổng có khả năng bị attacker nhắm tới.       |
| CISA KEV            | Đã có bằng chứng bị khai thác thực tế chưa?                   | Có trong danh mục / Không có | Ưu tiên khẩn cấp và báo cáo leo thang.                      |
| Điểm rủi ro         | Nên xử lý cái nào trước?                                      | `92.7` (0–100)               | Điểm tổng hợp để xếp hạng ưu tiên, kết hợp nhiều tín hiệu.  |
| Mức ưu tiên         | Cần xử lý nhanh đến đâu?                                      | Khẩn cấp (24h), Cao (7 ngày) | Đặt mốc và SLA khắc phục.                                   |
| Độ tin cậy          | Phát hiện chắc chắn đến đâu?                                  | `0.90` (90%)                 | Cân nhắc phát hiện bằng chứng yếu vs đã xác nhận.           |
| OWASP Top 10        | Thuộc nhóm rủi ro ứng dụng web nào?                           | A03 Injection                | Nhận thức bảo mật, báo cáo và nhóm rủi ro cấp chương trình. |
| OWASP WSTG          | Liên quan tới vùng kiểm thử nào?                              | WSTG-INPV-05                 | Xác minh thủ công và lập kế hoạch kiểm thử.                 |

## Mức độ nghiêm trọng

Mức độ nghiêm trọng là cách VulnScan phân loại tác động kỹ thuật và khả năng khai thác của phát hiện. Trường này giúp người dùng lọc và sắp xếp phát hiện nhanh.

| Mức      | Ý nghĩa                                                                                                             | Cách xử lý thường gặp                            |
| -------- | ------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------ |
| Critical | Lỗi nghiêm trọng, thường có thể dẫn tới chiếm quyền hệ thống, lộ dữ liệu lớn, vượt xác thực hoặc thực thi mã từ xa. | Xem ngay và giao người phụ trách.                |
| High     | Điểm yếu tác động cao hoặc thành phần có lỗ hổng lộ ra ngoài, có khả năng quan trọng trong môi trường thực tế.      | Ưu tiên trong chu kỳ khắc phục gần nhất.         |
| Medium   | Điểm yếu có ý nghĩa nhưng thường cần thêm điều kiện, ngữ cảnh hoặc chuỗi khai thác.                                 | Theo dõi và xử lý theo rủi ro/đội phụ trách.     |
| Low      | Vấn đề tác động thấp hoặc điểm cần hardening.                                                                       | Sửa trong kế hoạch bảo trì hoặc vệ sinh bảo mật. |
| Info     | Ngữ cảnh bảo mật hữu ích, chưa hẳn là lỗ hổng xác nhận.                                                             | Dùng để điều tra và hiểu phạm vi.                |

Mức độ nghiêm trọng không đồng nghĩa với rủi ro nghiệp vụ. Một lỗi High trên cổng khách hàng public có thể khẩn cấp hơn một lỗi Critical trên máy lab bị cô lập.

## CVE

**CVE** là viết tắt của **Common Vulnerabilities and Exposures**. Đây là mã định danh phổ biến toàn cầu cho các lỗ hổng bảo mật đã được công bố công khai.

CVE giúp các bên cùng gọi đúng một lỗ hổng bằng một tên ổn định. Ví dụ advisory của vendor, ghi chú bản vá và phát hiện của VulnScan đều có thể cùng trỏ tới mã `CVE-YYYY-NNNN`.

Cách đọc:

* CVE định danh một lỗ hổng đã công bố, không phải nhóm điểm yếu.
* Có CVE không tự động chứng minh hệ thống cụ thể của bạn khai thác được.
* Một CVE có thể ảnh hưởng tới nhiều sản phẩm, phiên bản, nền tảng hoặc cách triển khai khác nhau.
* Một CVE có thể được công bố trước khi điểm số, bản vá hoặc dữ liệu khai thác hoàn thiện.

VulnScan dùng CVE để:

* Đối chiếu sản phẩm/phiên bản phát hiện được với lỗ hổng đã biết khi có đủ bằng chứng cụ thể.
* Bổ sung tham chiếu, điểm nghiêm trọng, tín hiệu khai thác và ngữ cảnh khắc phục khi có.
* Hạn chế các kết quả quá chung chung nếu bằng chứng sản phẩm/phiên bản chưa đủ mạnh.

## CWE

**CWE** là viết tắt của **Common Weakness Enumeration**. CWE phân loại loại điểm yếu gốc có thể dẫn tới lỗ hổng.

CWE nói về nguyên nhân hoặc nhóm điểm yếu. Ví dụ SQL injection thường được mapping tới `CWE-89`; path traversal thường được mapping tới `CWE-22`.

Cách đọc:

* CWE mô tả loại lỗi thiết kế, kiến trúc hoặc triển khai.
* CWE không phải một lỗ hổng cụ thể.
* Nhiều CVE khác nhau có thể cùng thuộc một CWE.
* Một phát hiện không có CVE vẫn có thể có CWE, vì đó có thể là lỗi ứng dụng riêng chứ không phải lỗ hổng đã biết của sản phẩm phổ biến.

VulnScan dùng CWE để:

* Nhóm phát hiện theo loại điểm yếu.
* Giúp đội kỹ thuật hiểu vì sao lỗi tồn tại.
* Hỗ trợ mapping OWASP Top 10 và báo cáo.
* Giúp tổ chức nhận diện các vấn đề phát triển an toàn lặp lại.

## CVSS

**CVSS** là viết tắt của **Common Vulnerability Scoring System**. Đây là hệ thống chuẩn để mô tả và chấm điểm mức độ nghiêm trọng kỹ thuật của lỗ hổng, thường theo thang 0.0 đến 10.0.

Cách đọc:

| Khoảng điểm | Mức thường dùng |
| ----------- | --------------- |
| 9.0-10.0    | Critical        |
| 7.0-8.9     | High            |
| 4.0-6.9     | Medium          |
| 0.1-3.9     | Low             |
| 0.0         | None            |

CVSS có thể đi kèm vector như `CVSS:3.1/AV:N/AC:L/...`. Vector giải thích vì sao điểm đó được tính, bao gồm khả năng truy cập qua mạng, độ phức tạp tấn công, quyền cần có, tương tác người dùng và tác động.

VulnScan dùng CVSS để:

* Hiển thị điểm CVSS khi dữ liệu tình báo lỗ hổng có sẵn.
* Dùng CVSS như một tín hiệu trong mức độ nghiêm trọng và ưu tiên rủi ro.
* Tách CVSS khỏi EPSS và KEV vì tác động kỹ thuật khác với khả năng bị khai thác trong thực tế.

Dễ hiểu nhầm:

* CVSS không phải xác suất bị khai thác.
* CVSS không tự động phản ánh bối cảnh nghiệp vụ riêng của tổ chức nếu không có điểm môi trường.
* Một lỗ hổng CVSS thấp hơn vẫn có thể khẩn cấp nếu đang bị khai thác, lộ Internet hoặc dễ kết hợp với lỗi khác.

## EPSS

**EPSS** là viết tắt của **Exploit Prediction Scoring System**. EPSS ước tính xác suất hoạt động khai thác một lỗ hổng sẽ được quan sát trong thực tế trong 30 ngày tới.

Cách đọc:

* Điểm EPSS thường hiển thị từ 0 đến 1 hoặc dạng phần trăm.
* Điểm càng cao nghĩa là khả năng bị khai thác trong thực tế càng lớn.
* Percentile cho biết CVE này xếp cao hơn bao nhiêu so với các CVE khác đã được chấm.
* EPSS thay đổi theo thời gian khi tín hiệu khai thác và dữ liệu lỗ hổng thay đổi.

VulnScan dùng EPSS để:

* Phân biệt lỗi "rất nghiêm trọng nhưng hiếm bị khai thác" với lỗi "có khả năng bị khai thác sớm".
* Tăng mức ưu tiên khi phát hiện vừa có tác động đáng kể vừa có xác suất khai thác cao.
* Hỗ trợ sắp xếp khắc phục khi đội vận hành không thể sửa tất cả cùng lúc.

Dễ hiểu nhầm:

* EPSS không đo tác động kỹ thuật.
* EPSS không biết tài sản cụ thể của bạn có public hay quan trọng hay không.
* EPSS bổ sung cho CVSS, không thay thế CVSS.

## CISA KEV

**CISA KEV** là **Known Exploited Vulnerabilities Catalog** do CISA duy trì.

Một CVE xuất hiện trong KEV khi có bằng chứng rằng lỗ hổng đó đã bị khai thác. Đây là một trong những tín hiệu mạnh nhất để xử lý khẩn cấp, đặc biệt khi tài sản bị ảnh hưởng lộ ra ngoài hoặc quan trọng.

VulnScan dùng CISA KEV để:

* Đánh dấu phát hiện có CVE nằm trong danh mục KEV.
* Dùng KEV như một tín hiệu ưu tiên trong điểm rủi ro.
* Giúp đội bảo mật leo thang các lỗ hổng đã được attacker sử dụng trong thực tế.

Dễ hiểu nhầm:

* Không nằm trong KEV không có nghĩa là an toàn.
* KEV phản ánh bằng chứng khai thác đã biết, không bao phủ mọi khả năng khai thác.
* KEV cần được kết hợp với mức độ lộ ra ngoài, độ quan trọng tài sản, kiểm soát bù trừ và khả năng vá.

## Public PoC

**Public PoC** cho biết đã tồn tại mã khai thác / proof-of-concept công khai cho lỗ hổng (ví dụ trong các exploit database, advisory bảo mật, hoặc mẫu quét).

Cách đọc:

* Có PoC công khai làm giảm kỹ năng và công sức attacker cần bỏ ra, nên làm tăng mức khẩn cấp.
* "Không có PoC công khai" không chứng minh là an toàn — vẫn có thể tồn tại exploit riêng tư hoặc chưa công bố.
* VulnScan dùng đây như một tín hiệu ưu tiên (cộng điểm vào điểm rủi ro) cùng với KEV, EPSS và CVSS.

## Template Verification

**Template verification** (xác minh theo mẫu) cho biết có mẫu quét phát hiện khớp với phát hiện này hay không — tức xác nhận chủ động thay vì suy ra từ phiên bản hay banner.

Cách đọc:

* "Có" nghĩa là phát hiện đã được xác nhận bằng kiểm tra chủ động, làm tăng độ tin cậy.
* "Không" nghĩa là phát hiện được suy ra (ví dụ từ khớp sản phẩm/phiên bản) và có thể cần xác minh thủ công.
* Xác minh theo mẫu nói về độ chắc chắn của phát hiện, không phải mức nghiêm trọng — một lỗi Thấp đã xác minh vẫn là Thấp.

## Điểm rủi ro

**Điểm rủi ro** là điểm ưu tiên tổng hợp từ 0 đến 100 mà VulnScan tính cho mỗi phát hiện, trả lời câu hỏi "nên xử lý cái nào trước". Khác với CVSS (chỉ đo tác động kỹ thuật), điểm rủi ro kết hợp nhiều tín hiệu thành một con số duy nhất để sắp xếp.

Điểm được tạo từ các thành phần sau:

| Thành phần                       | Đóng góp                          | Ý nghĩa                                                                                                                                                                    |
| -------------------------------- | --------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Mức nghiêm trọng kỹ thuật (CVSS) | CVSS × 8 (tối đa 80 điểm)         | Nền tảng của điểm số. Khi phát hiện không có CVSS (thường gặp ở phát hiện DAST gốc), dùng "sàn" theo mức nghiêm trọng: Critical 75, High 55, Medium 35, Low 15, còn lại 5. |
| Khả năng khai thác (EPSS)        | EPSS × 15 (tối đa 15 điểm)        | Xác suất bị khai thác thực tế trong 30 ngày tới.                                                                                                                           |
| CISA KEV                         | +10 điểm                          | Có bằng chứng đang bị khai thác trong thực tế.                                                                                                                             |
| PoC công khai                    | +3 điểm                           | Tồn tại mã khai thác / PoC công khai.                                                                                                                                      |
| Độ tin cậy phát hiện             | nhân toàn bộ điểm với 0.5–1.0     | Phát hiện độ tin cậy thấp bị giảm điểm để không lấn át phát hiện chắc chắn (`0.5 + 0.5 × độ_tin_cậy`).                                                                     |
| Kiểm chứng bằng AI               | nhân với 0.85 khi CHƯA kiểm chứng | Phát hiện chưa được agent AI xác nhận bị giảm 15%.                                                                                                                         |

Công thức:

```
điểm = (CVSS × 8 + EPSS × 15 + KEV(+10) + PoC(+3))
       × (0.5 + 0.5 × độ_tin_cậy)
       × (1.0 nếu đã kiểm chứng, ngược lại 0.85)
```

Kết quả được giới hạn trong 0–100 và thường được đọc theo mức ưu tiên: **75–100 (P1**, xử lý ngay), **50–74 (P2)**, **25–49 (P3)**, **dưới 25 (P4)**.

Dễ hiểu nhầm:

* Điểm rủi ro **không phải** EPSS. EPSS chỉ là một thành phần (khả năng khai thác); điểm rủi ro kết hợp cả CVSS, EPSS, KEV, PoC và độ tin cậy.
* Điểm rủi ro **không** tự động tính mức độ lộ ra ngoài hay độ quan trọng của tài sản (public hay nội bộ). Đây vẫn là yếu tố bạn cần cân nhắc thủ công khi ưu tiên.
* Đây là điểm sắp xếp tương đối, không phải xác suất tuyệt đối.

## Mức ưu tiên

**Mức ưu tiên** là thứ tự hành động VulnScan đề xuất cho một phát hiện, thể hiện dưới dạng nhóm kèm mốc thời gian khắc phục gợi ý (SLA). Nó được suy ra từ điểm rủi ro kết hợp với các tín hiệu khẩn cấp mạnh nhất — đang bị khai thác (CISA KEV), mức nghiêm trọng kỹ thuật (CVSS) và khả năng khai thác (EPSS) — để trả lời "cần xử lý nhanh đến đâu" chứ không chỉ "nghiêm trọng đến đâu".

| Mức ưu tiên  | Điều kiện (bất kỳ)                                 | Mốc gợi ý                       |
| ------------ | -------------------------------------------------- | ------------------------------- |
| Khẩn cấp     | Có trong CISA KEV (đang bị khai thác)              | 24h                             |
| Nghiêm trọng | Điểm rủi ro ≥ 80, hoặc CVSS ≥ 9.0, hoặc EPSS ≥ 0.5 | 72h                             |
| Cao          | Điểm rủi ro ≥ 60, hoặc CVSS ≥ 7.0, hoặc EPSS ≥ 0.1 | 7 ngày                          |
| Bình thường  | Điểm rủi ro ≥ 30, hoặc CVSS ≥ 4.0                  | 30 ngày                         |
| Thấp         | Các trường hợp còn lại                             | Theo kế hoạch / vệ sinh bảo mật |

Cách đọc:

* Mức ưu tiên trả lời mức độ khẩn cấp (xử lý sớm đến đâu); mức nghiêm trọng trả lời tác động kỹ thuật; điểm rủi ro trả lời xếp hạng tương đối.
* Điều kiện cao nhất khớp sẽ thắng — phát hiện nằm trong KEV luôn là Khẩn cấp dù CVSS chỉ ở mức trung bình.
* Các mốc (SLA) là gợi ý; hãy điều chỉnh theo mức độ lộ ra ngoài và bối cảnh nghiệp vụ của tài sản.

## Độ tin cậy

**Độ tin cậy** (độ tin cậy phát hiện) cho biết VulnScan chắc chắn đến đâu rằng một phát hiện là thật, theo thang 0.0–1.0 (hiển thị dạng phần trăm). Nó phản ánh độ mạnh của bằng chứng đứng sau phát hiện, không phải mức nghiêm trọng.

VulnScan gán độ tin cậy theo phương pháp phát hiện:

| Bằng chứng                                                   | Độ tin cậy |
| ------------------------------------------------------------ | ---------- |
| Khớp CPE đúng phiên bản (suy ra CVE từ sản phẩm + phiên bản) | 0.40       |
| Khớp CPE theo khoảng phiên bản                               | 0.50       |
| Khớp CPE kèm KEV hoặc EPSS cao                               | 0.60       |
| Phát hiện qua kiểm tra TLS/SSL (testssl.sh)                  | 0.70       |
| Xác nhận truy cập dịch vụ không cần xác thực                 | 0.85       |
| Khớp mẫu quét                                                | 0.85       |
| Đăng nhập thành công bằng thông tin mặc định                 | 0.90       |
| Khớp mẫu quét có trích xuất dữ liệu                          | 0.95       |

VulnScan dùng độ tin cậy để:

* Giảm điểm rủi ro cho phát hiện bằng chứng yếu (`0.5 + 0.5 × độ_tin_cậy`), để phát hiện suy ra từ phiên bản không xếp trên phát hiện đã xác nhận.
* Một bước kiểm chứng bằng AI có thể xác nhận phát hiện; phát hiện chưa kiểm chứng bị giảm thêm 15% trong điểm rủi ro.

Dễ hiểu nhầm:

* Độ tin cậy thấp không có nghĩa là phát hiện sai — chỉ là bằng chứng gián tiếp (ví dụ suy ra từ banner hoặc phiên bản thay vì xác nhận trực tiếp).
* Độ tin cậy cao không làm tăng mức nghiêm trọng; một lỗi Thấp được phát hiện chắc chắn vẫn là Thấp.

## OWASP Top 10

**OWASP Top 10** là tài liệu nhận thức bảo mật ứng dụng web được sử dụng rộng rãi. Tài liệu này nhóm các rủi ro ứng dụng web phổ biến và tác động cao thành 10 nhóm lớn.

Ví dụ các nhóm rủi ro gồm broken access control, cryptographic failures, injection, security misconfiguration, vulnerable components, authentication failures và SSRF.

VulnScan dùng OWASP Top 10 để:

* Mapping phát hiện tới nhóm OWASP Top 10 phù hợp khi có đủ bằng chứng.
* Giúp đội bảo mật trao đổi rủi ro ứng dụng web với đội phát triển và quản lý.
* Hỗ trợ báo cáo cấp chương trình, dashboard và phân tích xu hướng.

Dễ hiểu nhầm:

* OWASP Top 10 không phải danh sách đầy đủ mọi lỗ hổng.
* Đây là mô hình phân nhóm rủi ro, không phải tên bài kiểm tra cụ thể.
* Một phát hiện vẫn có thể quan trọng dù không mapping gọn vào một nhóm OWASP Top 10.

## OWASP WSTG

**OWASP WSTG** là **Web Security Testing Guide**. Đây là phương pháp và tài liệu tham chiếu để kiểm thử các kiểm soát bảo mật của ứng dụng web.

Mapping WSTG giúp analyst hiểu phát hiện liên quan tới vùng kiểm thử nào, ví dụ input validation, authentication testing, session management, authorization testing, configuration testing hoặc business-logic testing.

VulnScan dùng OWASP WSTG để:

* Bổ sung tham chiếu WSTG khi phát hiện khớp với vùng kiểm thử đã biết.
* Giúp analyst xác minh thủ công khi cần.
* Giúp tổ chức liên kết kết quả quét tự động với chương trình kiểm thử bảo mật.

Dễ hiểu nhầm:

* WSTG không phải điểm nghiêm trọng.
* Có mapping WSTG không có nghĩa VulnScan đã chạy mọi kiểm thử thủ công trong guide.
* Đây là tham chiếu giúp giải thích và tái hiện hướng kiểm thử.

## Cách ưu tiên phát hiện

Nên kết hợp các tín hiệu:

1. Bắt đầu từ Critical và High.
2. Leo thang các phát hiện có trong CISA KEV.
3. Ưu tiên EPSS cao khi tài sản bị ảnh hưởng lộ ra ngoài.
4. Dùng CVSS để so sánh mức độ kỹ thuật giữa các sản phẩm.
5. Dùng CWE và OWASP để giao đúng đội kỹ thuật và nhóm nguyên nhân.
6. Dùng WSTG để xác minh thủ công hoặc kiểm thử sâu hơn.
7. Xác nhận thêm tác động nghiệp vụ, mức độ lộ ra ngoài, yêu cầu xác thực và kiểm soát bù trừ.

## Tham chiếu chính thức

* [CVE Program](https://www.cve.org/)
* [MITRE CWE](https://cwe.mitre.org/)
* [FIRST CVSS v4.0](https://www.first.org/cvss/v4.0/)
* [FIRST EPSS Model](https://www.first.org/epss/model)
* [CISA Known Exploited Vulnerabilities Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
* [OWASP Top 10](https://owasp.org/www-project-top-ten/)
* [OWASP Web Security Testing Guide](https://owasp.org/www-project-web-security-testing-guide/)