Оценка критичности уязвимостей по методике ФСТЭК от 30.06.2025

1. Методика 2022 vs Методика 2025: что изменилось#

Методика ФСТЭК от 30 июня 2025 года заменяет методику 2022 года. Это не просто «новая версия», а серьёзная переработка формулы расчёта.

  graph TB
    subgraph "Методика 2022"
        OLD_FORMULA["<b>V = I_cvss × I_infr</b>"]
        OLD_SCALE["Шкала:<br/>1.5 / 4.5 / 7.0 / 10.0"]
        OLD_CVSS["I_cvss: ручной пересчёт<br/>CVSS с контекстными<br/>метриками"]
    end
    
    subgraph "Методика 2025"
        NEW_FORMULA["<b>V = I_cvss × I_infr × (I_at + I_imp)</b>"]
        NEW_SCALE["Шкала:<br/>2.0 / 5.0 / 8.0"]
        NEW_CVSS["I_cvss: готовая базовая<br/>оценка CVSS 3.1 из BDU"]
        NEW_FACTORS["➕ I_at: Наличие эксплойтов<br/>➕ I_imp: Последствия эксплуатации"]
    end
    
    OLD_FORMULA --> NEW_FORMULA
    OLD_CVSS --> NEW_CVSS
    
    style OLD_FORMULA fill:#9e9e9e,color:#fff
    style NEW_FORMULA fill:#c62828,color:#fff
    style NEW_FACTORS fill:#2e7d32,color:#fff

2. Пошаговый расчёт уровня критичности V#

2.1. Шаг 1: Расчёт I_cvss (пункт 13)#

  graph LR
    subgraph "Определение I_cvss"
        B1["Найти уязвимость<br/>в BDU ФСТЭК<br/>bdu.fstec.ru"]
        B2["Найти строку<br/>«Базовый вектор CVSS 3.1»<br/>и оценку"]
        B3["Использовать<br/>это значение<br/>как I_cvss"]
    end
    
    B1 --> B2 --> B3
    
    style B1 fill:#1a237e,color:#fff
    style B3 fill:#2e7d32,color:#fff

Важное изменение: больше не нужно вручную пересчитывать CVSS с учётом контекстных метрик. Берётся готовая базовая оценка из Банка данных угроз ФСТЭК или от вендора. Если базовой оценки CVSS от вендора нет, специалист сам выбирает версию CVSS для расчёта.

Пример:

Уязвимость BDU:2025-03219 (Kubernetes ingress-nginx). CVSS 3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H = 9.8. I_cvss = 9.8.

2.2. Шаг 2: Расчёт I_infr (пункт 14)#

Формула:

  graph TB
    subgraph "Составляющие I_infr"
        K["<b>K — Тип компонента</b><br/>k = 0.5"]
        L["<b>L — Количество уязвимых компонентов</b><br/>l = 0.2"]
        P["<b>P — Периметр доступности</b><br/>p = 0.3"]
    end
    
    K --> K1["Критический процесс: 1.1<br/>Серверное ПО: 1.0<br/>Пользовательское АРМ: 0.5"]
    L --> L1["Более 70%: 1.0<br/>30–70%: 0.8<br/>10–30%: 0.6<br/>Менее 10%: 0.5"]
    P --> P1["Доступно из Интернета: 1.1<br/>DMZ: 1.0<br/>Внутренний сегмент: 0.6"]
    
    style K fill:#1a237e,color:#fff
    style L fill:#283593,color:#fff
    style P fill:#3949ab,color:#fff

Обратите внимание на изменение весов: k = 0.5 (было 0.4), p = 0.3 (было 0.4). Тип компонента теперь влияет сильнее, доступность из Интернета — чуть меньше.

2.3. Шаг 3: Расчёт I_at и I_imp (НОВОЕ!)#

Это главное новшество методики 2025 года.

  graph TB
    subgraph "I_at — Фактор атаки (п. 16)"
        AT["<b>I_at = e × E</b><br/>e = 1.0"]
        
        AT --> E1["E = 0.6<br/>Эксплуатируется<br/>в реальных атаках"]
        AT --> E2["E = 0.3<br/>Эксплойт в открытом<br/>доступе"]
        AT --> E3["E = 0.1<br/>Эксплойта нет"]
    end
    
    subgraph "I_imp — Фактор ущерба (п. 17-20)"
        IMP["<b>I_imp = h × H</b><br/>h = 1.0"]
        
        IMP --> H1["H = 0.5<br/>RCE / Выполнение кода"]
        IMP --> H2["H = 0.4<br/>Повышение привилегий"]
        IMP --> H3["H = 0.3<br/>Обход безопасности"]
        IMP --> H4["H = 0.2<br/>Раскрытие информации"]
        IMP --> H5["H = 0.1<br/>Межсайтовый скриптинг"]
    end
    
    style E1 fill:#c62828,color:#fff
    style H1 fill:#c62828,color:#fff

2.4. Шаг 4: Финальный расчёт V#

  graph LR
    subgraph "Пример расчёта для Kubernetes ingress-nginx"
        CVSS["I_cvss = 9.8"]
        INFR["I_infr = 1.08"]
        AT["I_at = 0.3<br/>(эксплойт есть)"]
        IMP["I_imp = 0.5<br/>(RCE)"]
        
        FORMULA["V = 9.8 × 1.08 × (0.3 + 0.5)"]
        RESULT["V = 9.8 × 1.08 × 0.8<br/>= <b>8.47</b>"]
        LEVEL["<b>V > 8.0 → КРИТИЧЕСКИЙ</b>"]
    end
    
    CVSS --> FORMULA
    INFR --> FORMULA
    AT --> FORMULA
    IMP --> FORMULA
    FORMULA --> RESULT --> LEVEL
    
    style LEVEL fill:#c62828,color:#fff

3. Сроки устранения и принятие решений#

  graph TB
    subgraph "Шкала критичности (п. 21)"
        CRIT["🔴 КРИТИЧЕСКИЙ<br/>V > 8.0<br/>⏰ До 24 часов"]
        HIGH["🟠 ВЫСОКИЙ<br/>5.0 ≤ V ≤ 8.0<br/>⏰ До 7 дней"]
        MED["🟡 СРЕДНИЙ<br/>2.0 ≤ V < 5.0<br/>⏰ До 4 недель"]
        LOW["🟢 НИЗКИЙ<br/>V < 2.0<br/>⏰ До 4 месяцев"]
    end
    
    CRIT --> ACTION_CRIT["Немедленное оповещение<br/>руководителя (3 дня)"]
    HIGH --> ACTION_HIGH["Экстренное обновление<br/>вне графика"]
    MED --> ACTION_MED["Плановое обновление<br/>в ближайшее окно"]
    LOW --> ACTION_LOW["Обновление по графику"]
    
    style CRIT fill:#c62828,color:#fff
    style HIGH fill:#e65100,color:#fff
    style MED fill:#f57f17,color:#fff
    style LOW fill:#2e7d32,color:#fff

Что делать, если патча нет (п. 24–25)#

1. Компенсирующие меры: изменить конфигурацию, отключить уязвимые службы, добавить сигнатуры в СОВ.
2. Усиленный мониторинг: повысить уровень логирования и оповещений на время до установки обновления.
3. Обоснование: зафиксировать причины невозможности устранения и принятые компенсирующие меры в отчёте.

4. Сравнительный пример: старая и новая методика#

Обе методики дают «Критический» уровень, но методика 2025 даёт более низкое числовое значение V (8.47 против 10.58). При этом оценка по методике 2025 более обоснована: она учитывает реальную эксплуатацию уязвимости.

5. Что изменить в процессах#

1. Обновить Регламент управления уязвимостями: заменить формулу расчёта V
2. Настроить систему сканирования на авторасчёт I_at (проверка эксплойтов)
3. Обучить специалистов новой шкале: Критический > 8.0
4. Добавить в отчёты обоснование сроков со ссылкой на методику 2025

Как «Стратегия Ра» помогает с оценкой критичности уязвимостей#

Мы выполняем полный цикл работ:

• Актуализация Регламента управления уязвимостями. Заменяем формулу расчёта и шкалу критичности в соответствии с методикой 2025 года.
• Автоматизация расчёта. Настраиваем интеграцию сканеров уязвимостей с BDU ФСТЭК для автоматического получения CVSS 3.1 и данных об эксплойтах.
• Обучение специалистов. Проводим практические занятия по расчёту V с использованием реальных уязвимостей из вашей инфраструктуры.
• Аудит текущих уязвимостей. Пересчитываем критические уязвимости по новой формуле, актуализируем сроки устранения.

Материал подготовлен на основе лекций и практических кейсов Игоря Краева, генерального директора ООО «Стратегия Ра», апрель 2026 г.