对于OWASP风险评估，风险的可能性方面是否使用“最坏情况”方案？

Question

我们的代码审查员提到风险既是影响又是可能性，因此，需要使用“最坏情况”对可能性进行评估，并在OWASP文档中对此进行了记录： https://www.owasp.org/index.php/OWASP_Risk_Rating_Methodology#Step_4:_Determining_the_Severity_of_the_Risk

有人同意这种观点吗？

Answer 1

在我看来，如果您仔细阅读，最坏情况仅与多个威胁代理有关，因此请使用最坏情况。提出总体可能性应该是最坏的情况意味着这不是可能性，而是最坏的情况。它们是完全不同的东西。

如果您阅读了第一段，就会提到可能性是粗略的衡量方式，该漏洞被发现的可能性。

第二，您将脆弱性和风险混合在一起，而最终指标始终是风险。

感谢您对此响应的支持，因此我可以返回代码审阅者，向他表明他对OWASP的理解有误。

Answer 2

Step 1: Identifying a Risk建议使用最坏的情况。

Step 2: Factors for Estimating Likelihood还建议使用最坏的情况。

Step 3: Factors for Estimating Impact没有提到最坏的情况。

因此，使用最坏情况的场景是可能的。但是，构成“最坏情况”的内容可能是主观的，并且有可能引起争议。

“最坏情况”的一个极端示例是攻击者是国家赞助的。他们已经开发了用于发现和利用威胁的自动收集工具。他们有几个间谍在为您的公司工作，因此他们知道这些漏洞。他们还知道如何禁用或解决入侵检测系统。

希望应用此类风险评级的人将使用“最坏情况”的常识版本。