本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

了解 Amazon Inspector 调查发现的严重性级别

当 Amazon Inspector 生成漏洞调查发现时，它会自动为调查发现分配严重性评级。严重性评级有助于您评估调查发现并对其进行优先级排序。调查发现的严重性评级对应于数字分数和等级：信息性、低、中、高和严重。Amazon Inspector 根据调查发现类型确定调查发现的严重性评级。本节介绍了 Amazon Inspector 如何确定每种调查发现类型的严重性评级。

软件程序包漏洞严重性

Amazon Inspector 使用该 NVD/CVSS 分数作为软件包漏洞严重性评分的基础。该 NVD/CVSS 分数是 NVD 发布并由 CVSS 定义的漏洞严重性分数。该 NVD/CVSS 分数由安全指标组成，例如攻击复杂性、漏洞利用代码成熟度和所需的权限。Amazon Inspector 会生成一个从 1 到 10 的数字评分，以反映漏洞的严重性。Amazon Inspector 将其归类为基础评分，因为它根据漏洞的内在特征反映了漏洞的严重性，而这些特征不会随着时间的推移改变。该评分还假定了不同部署环境中合理的最坏影响。CVSS v3 标准将 CVSS 评分对应以下严重性评级。

程序包漏洞调查发现的严重性也可能是未分类。这意味着供应商尚未为检测到的漏洞设置漏洞评分。在这种情况下，我们建议使用发现的参考文献 URLs 来研究该漏洞并做出相应的响应。

程序包漏洞调查发现包括以下评分和相关的评分向量，这些都属于调查发现的详细信息：

代码漏洞严重性

对于代码漏洞调查发现，Amazon Inspector 使用生成该调查发现的 Amazon Q 检测器定义的严重性级别。使用 CVSS v3 评分系统为每个检测器分配一个严重性。

网络可达性严重性

Amazon Inspector 根据暴露的服务、端口和协议以及开放路径的类型来确定网络可达性漏洞的严重性。下表定义了这些严重性评级。开放路径评级列中的值表示来自虚拟网关、对等 AWS Direct Connect 网络和网络的 VPCs开放路径。所有其他暴露的服务、端口和协议的严重性评级均为“提醒”。