Glossário de segurança

O que é o CVSS?

O CVSS (Common Vulnerability Scoring System), mantido pelo FIRST, é uma norma aberta para exprimir a severidade técnica de uma vulnerabilidade com um número de 0,0 a 10,0. Dá a todos uma forma comum e repetível de falar sobre a gravidade de um achado, para que «severidade alta» signifique mais ou menos o mesmo em diferentes relatórios e ferramentas.

Como a pontuação é construída

As métricas de pontuação base mais comuns descrevem como uma vulnerabilidade é explorada e o que afeta: o vetor de ataque (rede, adjacente, local, físico), a complexidade do ataque, os privilégios necessários, a interação do utilizador, o âmbito e o impacto na confidencialidade, integridade e disponibilidade. Estas combinam-se na pontuação base de 0 a 10. A Vexaro pontua os achados com CVSS 3.1; a FIRST também publica o CVSS v4.0 (lançado em 2023), pelo que um relatório deve indicar qual a versão que aplica.

As bandas de severidade

O CVSS 3.1 associa o número a faixas qualitativas: Nenhuma (0,0), Baixa (0,1-3,9), Média (4,0-6,9), Alta (7,0-8,9) e Crítica (9,0-10,0). É a estas faixas que a maioria das pessoas se refere quando diz que um achado é «crítico» ou «médio», e permitem ordenar um relatório por prioridade num relance.

Base, Temporal e Ambiental

A pontuação base capta a severidade intrínseca, que não muda ao longo do tempo. Dois grupos de métricas opcionais afinam-na: Temporal reflete fatores como a maturidade do exploit, e Ambiental ajusta-a ao seu ambiente concreto. Por exemplo, um problema num sistema apenas interno pode importar menos do que o mesmo problema exposto à Internet. Um bom relatório não fica pela pontuação base: traduz a severidade em risco de negócio, tendo em conta o contexto.

O que o CVSS é e o que não é

O CVSS mede a severidade de uma vulnerabilidade de software. Não é, por si só, uma pontuação de risco, e não foi concebido para achados puramente de configuração ou de postura de conformidade, que são mais bem classificados segundo a severidade própria de um benchmark. Use a pontuação base como um ponto de partida consistente e, depois, pese a explorabilidade e o impacto no seu contexto. É exatamente assim que um bom relatório de pentest a usa.

Perguntas frequentes

O CVSS (Common Vulnerability Scoring System) é uma norma aberta mantida pelo FIRST para exprimir a gravidade técnica de uma vulnerabilidade com um número de 0,0 a 10,0, para que «gravidade elevada» signifique aproximadamente o mesmo em diferentes relatórios e ferramentas. A Vexaro pontua os achados com o CVSS 3.1; o FIRST publica também a v4.0, pelo que um relatório deve indicar que versão aplica.

O CVSS 3.1 associa a pontuação base a faixas qualitativas: Nenhuma (0,0), Baixa (0,1-3,9), Média (4,0-6,9), Alta (7,0-8,9) e Crítica (9,0-10,0). São estas faixas que a maioria das pessoas tem em mente quando chama a um achado «crítico» ou «médio», e permitem ordenar um relatório por prioridade num relance.

Não. O CVSS mede a gravidade técnica de uma vulnerabilidade, não o risco por si só, e não foi concebido para achados puramente de configuração ou de postura de conformidade. A pontuação base é um ponto de partida consistente; as métricas Temporal e Ambiental (por exemplo, se um sistema é apenas interno ou está exposto à Internet) ajudam a traduzi-la em risco de negócio no contexto.

Fale com um profissional a sério.

Tem uma pergunta que estas páginas não responderam? Diga-nos o que está a tentar proteger e indicamos-lhe o projeto adequado. A primeira consulta é gratuita.