Priorizando Vulnerabilidades com Pontuação CVSS

Visão Geral

O Common Vulnerability Scoring System (CVSS) é o framework padrão da indústria mantido pelo FIRST (Forum of Incident Response and Security Teams) para avaliar a gravidade de vulnerabilidades. O CVSS v4.0 (lançado em novembro de 2023) introduz métricas refinadas para uma pontuação mais precisa. Esta habilidade abrange o cálculo de pontuações CVSS, a interpretação de strings de vetor e o uso do CVSS em conjunto com fatores contextuais como EPSS e CISA KEV para priorização eficaz de vulnerabilidades.

Quando Usar

• Ao gerenciar operações de segurança que exigem a priorização de vulnerabilidades com pontuação CVSS.
• Ao melhorar a maturidade do programa de segurança e os processos operacionais.
• Ao estabelecer procedimentos padronizados para fluxos de trabalho da equipe de segurança.
• Ao integrar inteligência de ameaças ou dados de vulnerabilidade nas operações.

Pré-requisitos

• Compreensão dos tipos comuns de vulnerabilidades (buffer overflow, injeção, XSS, etc.).
• Familiaridade com conceitos de rede (vetores de ataque, protocolos).
• Acesso ao NVD (National Vulnerability Database) para consultas de CVE.
• Resultados de varredura de vulnerabilidades que exigem priorização.

Conceitos Principais

Grupos de Métricas do CVSS v4.0

1. Métricas Base (Gravidade Intrínseca)

Representam as características inerentes de uma vulnerabilidade:

Métricas de Exploitabilidade:

• Vetor de Ataque (AV): Rede (N), Adjacente (A), Local (L), Físico (P)
• Complexidade do Ataque (AC): Baixa (L), Alta (H)
• Requisitos de Ataque (AT): Nenhum (N), Presente (P) - NOVO no v4.0
• Privilégios Requeridos (PR): Nenhum (N), Baixo (L), Alto (H)
• Interação do Usuário (UI): Nenhuma (N), Passiva (P), Ativa (A) - Expandido no v4.0

Métricas de Impacto (Sistema Vulnerável):

• Confidencialidade (VC): Nenhuma (N), Baixa (L), Alta (H)
• Integridade (VI): Nenhuma (N), Baixa (L), Alta (H)
• Disponibilidade (VA): Nenhuma (N), Baixa (L), Alta (H)

Métricas de Impacto (Sistema Subsequente):

• Confidencialidade (SC): Nenhuma (N), Baixa (L), Alta (H)
• Integridade (SI): Nenhuma (N), Baixa (L), Alta (H)
• Disponibilidade (SA): Nenhuma (N), Baixa (L), Alta (H)

2. Métricas de Ameaça (Contexto Dinâmico)

• Maturidade do Exploit (E): Atacado (A), POC (P), Não Relatado (U)

3. Métricas Ambientais (Específicas da Organização)

Versões modificadas das métricas base que refletem o contexto de implantação local, mais:

• Requisito de Confidencialidade (CR): Alto (H), Médio (M), Baixo (L)
• Requisito de Integridade (IR): Alto (H), Médio (M), Baixo (L)
• Requisito de Disponibilidade (AR): Alto (H), Médio (M), Baixo (L)

4. Métricas Suplementares (Informações do Aviso)

• Segurança (S): Presente (P), Negligenciável (X)
• Automatizável (AU): Sim (Y), Não (N)
• Recuperação (R): Automática (A), Usuário (U), Irrecuperável (I)
• Densidade de Valor (V): Difusa (D), Concentrada (C)
• Esforço de Resposta à Vulnerabilidade (RE): Baixo (L), Moderado (M), Alto (H)
• Urgência do Provedor (U): Vermelho, Âmbar, Verde, Limpar

Classificações de Gravidade do CVSS v4.0

Formato da String de Vetor do CVSS v4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Este exemplo representa uma vulnerabilidade explorável pela rede que não requer privilégios, nenhuma interação do usuário, nenhum requisito de ataque, com alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável.

Fluxo de Trabalho

Etapa 1: Avaliar Métricas Base

Para cada vulnerabilidade, avalie:

Example: CVE-2024-3094 (XZ Utils Backdoor)

Attack Vector:        Network (N)     - Exploitable over network
Attack Complexity:    High (H)        - Specific conditions required
Attack Requirements:  Present (P)     - Specific build/config needed
Privileges Required:  None (N)        - No authentication needed
User Interaction:     None (N)        - No victim action needed

Vulnerable System Impact:
  Confidentiality:    High (H)        - Complete access to SSH keys
  Integrity:          High (H)        - Arbitrary code execution
  Availability:       High (H)        - Full system compromise

Subsequent System Impact:
  Confidentiality:    High (H)        - Lateral movement possible
  Integrity:          High (H)        - Network-wide compromise
  Availability:       None (N)        - No downstream availability impact

Vector: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:N

Etapa 2: Aplicar Contexto de Inteligência de Ameaças

Enriqueça o CVSS com dados de ameaças do mundo real: