Base Metrics (متریک‌های پایه)

متریک‌های پایه به ویژگی‌های ذاتی یک آسیب‌پذیری می‌پردازند و شامل معیارهای زیر هستند:

• Exploitability Metrics (قابلیت بهره‌برداری): این بخش شامل معیارهایی است که نشان می‌دهد چقدر راحت می‌توان از آسیب‌پذیری بدون در نظر گرفتن ابزارهای خاص  بهره‌برداری کرد.

Attack Vector (AV) .1: نشان می‌دهد که مهاجم از کجا می‌تواند به آسیب‌پذیری دسترسی پیدا کند.

Network (N): دسترسی از طریق شبکه (مثل اینترنت) ممکن است.

Adjacent (A): فقط از طریق شبکه محلی.

Local (L): نیاز به دسترسی مستقیم به سیستم.

Physical (P): نیاز به دسترسی فیزیکی.

Attack Complexity (AC) .2: مشخص می‌کند که آیا حمله به شرایط خاصی نیاز دارد.

Low (L): بدون نیاز به شرایط خاص.

High (H): نیازمند شرایط خاص خارج از کنترل مهاجم.

Privileges Required (PR) .3: نشان می‌دهد که مهاجم برای بهره‌برداری چه سطح دسترسی به سیستم نیاز دارد.

None (N): بدون نیاز به دسترسی خاص.

Low (L): دسترسی محدود لازم است.

High (H): نیازمند دسترسی مدیریتی یا بیشتر.

User Interaction (UI) .4: نشان می‌دهد که آیا بهره‌برداری به اقدام خاصی از سوی کاربر نیاز دارد.

None (N): مهاجم به تنهایی می‌تواند حمله را انجام دهد.

Active (A): نیاز به اقدام خاص کاربر دارد.

• Vulnerable System Impact Metrics (تاثیر سیستم آسیب‌پذیر): این معیار، پیامدهای مستقیم سوءاستفاده از آسیب‌پذیری را بر خود سیستم نشان می‌دهد.
• Subsequent System Impact Metrics (تاثیر سیستم‌های وابسته): این معیار به پیامدهای غیرمستقیم بر سیستم‌های دیگر وابسته به سیستم آسیب‌پذیر می‌پردازد. این معیارها در سه سطح High (H) ،Low (L) و None (N) برای موارد زیر ارزیابی می‌شوند:

Confidentiality (SC) .1

Integrity (SI) .2

Availability (SA) .3