Про уровни уязвимостей QualysGuard

Многие знают, что QualysGuard® Vulnerability Management для оценки уровня уязвимостей использует шкалу от 1 до 5.

Вот, что она значит:

Уровень  (Severity)	Критичность уязвимости	Описание
1	Minimal	Злоумышленник может получить дополнительную информацию о хосте (открытые порты, сервисы и пр.) и может использовать данную информацию для поиска других уязвимостей.
2	Medium	Злоумышленник может собрать чувствительную информацию о хосте, например, версии установленного программного обеспечения. Далее он может использовать известные уязвимости для данной версии программного обеспечения.
3	Serious	Злоумышленник может получить доступ к специфичной информации, хранящейся на хосте, включая настройки безопасности (например, правила фильтрации, перечень служб безопасности и пр.), может получить неавторизованный доступ к ряду сервисов (например, ретрансляции почты). Вред от действий злоумышленника может быть достаточно серьезным (организация DoS-атак, подготовка и реализация более серьезных атак).
4	Critical	Злоумышленник может контролировать хост и перехватывать критичную информацию. Уязвимости данного уровня включают, например, возможность получения полного доступа на чтение ко всем файлам, хранящимся на хосте, в том числе и к перечню всех пользователей.
5	Urgent	Злоумышленник может получить полный контроль над хостом, включая права на чтение и запись файлов, удаленное выполнение команд, внесение изменений в настройки.

При таком подходе необходимо к кратчайшие сроки устранять уязвимости 4 и 5 уровня и планировать устранение уязвимостей более низкого уровня.

P.S. Другие продукты, оценивающие уязвимости могут использовать свои собственные шкалы. Так, например, у Nessus их 4: "Low", "Medium", "High" и "Critical". При этом уровень "привязывается" напрямую к CVSS (Common Vulnerability Scoring System): L<5, M<7, H<10, C=10. Qualys также ориентируется на эту шкалу, но исходит из возможных последствий эксплуатации уязвимостей, поэтому 4й уровень Qualys может быть 5-10 по шкале CVSS. 

Стоит учитывать разницу в шкалах при сравнении результатов отчетов, сделанных разными решениями по оценке и управлению уязвимостями.