이 문서에서는 아티팩트 분석이 취약점을 평가하고 심각도 수준을 할당하는 방법을 설명합니다.
Artifact Analysis는 다음 수준을 사용하여 취약점 심각도를 평가합니다.
심각
높음
보통
낮음
이러한 심각도 수준은 취약점의 악용 가능성, 범위, 영향, 성숙도와 같은 요소를 반영하는 정성적 라벨입니다. 예를 들어 원격 사용자가 시스템에 액세스하여 인증 또는 사용자 상호작용 없이 임의의 코드를 실행할 수 있는 취약점이 있다면 이 취약점은 Critical로 분류됩니다.
각 취약점에는 두 가지 추가 심각도가 연결되어 있습니다.
유효 심각도 - 취약점 유형에 따라 다음과 같습니다.
OS 패키지 - Linux 배포판 유지관리자가 할당한 심각도 수준입니다. 이러한 심각도 수준을 사용할 수 없는 경우 아티팩트 분석은 메모 제공업체(NVD)의 심각도 값을 사용합니다. NVD의 CVSS v2 등급을 사용할 수 없는 경우 Artifact Analysis는 NVD의 CVSS v3 등급을 사용합니다.
언어 패키지 - GitHub Advisory Database에서 할당한 심각도 수준으로, 약간의 차이가 있습니다. Moderate(보통)는 Medium(중간)으로 보고됩니다.
CVSS 점수 - Common Vulnerability Scoring System 점수 및 관련 심각도 수준으로, 다음 두 가지 점수 버전이 있습니다.
CVSS 2.0 - API, Google Cloud CLI, GUI를 사용할 때 사용할 수 있습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-09(UTC)"],[[["\u003cp\u003eArtifact Analysis evaluates and assigns severity levels to vulnerabilities based on factors like exploitability and impact.\u003c/p\u003e\n"],["\u003cp\u003eSeverity levels include Critical, High, Medium, and Low, providing a qualitative assessment of each vulnerability.\u003c/p\u003e\n"],["\u003cp\u003eEffective severity is determined by either the Linux distribution maintainer for OS packages or the GitHub Advisory Database for language packages, and it differs slightly from the severity levels.\u003c/p\u003e\n"],["\u003cp\u003eThe CVSS score, available in versions 2.0 and 3.1, provides a quantitative measure of vulnerability severity, complementing the qualitative severity levels.\u003c/p\u003e\n"]]],[],null,["# Severity levels in Artifact Analysis\n\nThis document describes how Artifact Analysis evaluates vulnerabilities and\nassigns severity levels.\n\nArtifact Analysis rates vulnerability severity using the following levels:\n\n- Critical\n- High\n- Medium\n- Low\n\nThese severity levels are qualitative labels that reflect factors such as\nexploitability, scope, impact, and maturity of the vulnerability. For example,\nif a vulnerability enables a remote user to access a system and run arbitrary\ncode without authentication or user interaction, that vulnerability\nwould be classified as `Critical`.\n\nTwo additional types of severity are associated with each vulnerability:\n\n- Effective severity - Depending on the vulnerability type:\n\n - OS packages - The severity level assigned by the Linux distribution maintainer. If these severity levels are unavailable, Artifact Analysis uses the severity value from the note provider, [(NVD)](https://nvd.nist.gov/vuln-metrics). If NVD's CVSS v2 rating is unavailable, Artifact Analysis uses the CVSS v3 rating from NVD.\n - Language packages - The [severity level](https://docs.github.com/en/graphql/reference/enums#securityadvisoryseverity) assigned by the GitHub Advisory Database, with a slight difference: *Moderate* is reported as *Medium*.\n- [CVSS score](https://www.first.org/cvss/v3.1/user-guide#Scoring-Guide) - The Common\n Vulnerability Scoring System score and associated severity level, with two\n scoring versions:\n\n - [CVSS 2.0](https://www.first.org/cvss/v2/guide) - Available when using the API, the Google Cloud CLI, and the GUI.\n - [CVSS 3.1](https://first.org/cvss/v3.1/user-guide) - Available when using the API and the gcloud CLI.\n\nWhat's next\n-----------\n\n- [Investigate vulnerabilities](/artifact-analysis/docs/investigate-vulnerabilities).\n- [Gate builds in your Cloud Build pipeline](/artifact-analysis/docs/ods-cloudbuild) based on vulnerability severity."]]
