Triagem de Vulnerabilidades com o Framework SSVC

Visão Geral

O framework Stakeholder-Specific Vulnerability Categorization (SSVC), desenvolvido pelo Software Engineering Institute (SEI) da Carnegie Mellon University em colaboração com a CISA, oferece uma metodologia estruturada de árvore de decisão para priorização de vulnerabilidades. Diferente do CVSS isoladamente, o SSVC considera o status de exploração, impacto técnico, automatização, prevalência da missão e impacto no bem-estar público para produzir um de quatro resultados acionáveis: Track, Track*, Attend ou Act.

Quando Usar

• Ao gerenciar operações de segurança que exigem triagem de vulnerabilidades com o framework ssvc
• Ao melhorar a maturidade do programa de segurança e os processos operacionais
• Ao estabelecer procedimentos padronizados para fluxos de trabalho da equipe de segurança
• Ao integrar inteligência de ameaças ou dados de vulnerabilidade nas operações

Pré-requisitos

• Python 3.9+ com requests, pandas e bibliotecas jinja2
• Acesso à API do catálogo CISA KEV e à API EPSS da FIRST
• Chave de API NVD (opcional, para limites de taxa mais altos)
• Resultados de varredura de vulnerabilidades de ferramentas como OpenVAS, Nessus ou Qualys

Pontos de Decisão do SSVC

1. Status de Exploração

Avalie a atividade de exploração atual:

• Nenhum - Nenhuma evidência de exploração ativa
• PoC - Prova de conceito existe publicamente
• Ativo - Exploração ativa observada em campo (verifique CISA KEV)

# Check if a CVE is in CISA Known Exploited Vulnerabilities catalog
curl -s "https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json" | \
  python3 -c "import sys,json; data=json.load(sys.stdin); cves=[v['cveID'] for v in data['vulnerabilities']]; print('Active' if 'CVE-2024-3400' in cves else 'Check PoC/None')"

2. Impacto Técnico

Determine o escopo do comprometimento se explorado:

• Parcial - Limitado a um subconjunto da funcionalidade do sistema ou dados
• Total - Controle total do sistema afetado, acesso completo aos dados

3. Automatização

Avalie se a exploração pode ser automatizada em escala:

• Não - Requer exploração manual e direcionada por vítima
• Sim - Pode ser scriptada ou propagação semelhante a um worm é possível

4. Prevalência da Missão

Quão difundido é o produto afetado em seu ambiente:

• Mínimo - Implantação limitada, sistemas não críticos
• Suporte - Suporta funções críticas da missão indiretamente
• Essencial - Habilita diretamente as capacidades centrais da missão

5. Impacto no Bem-Estar Público

Consequências potenciais para a segurança física e o bem-estar público:

• Mínimo - Impacto insignificante na segurança ou nos serviços públicos
• Material - Degradação perceptível dos serviços públicos
• Irreversível - Perda de vidas, danos materiais significativos ou falha de infraestrutura crítica

Resultados das Decisões do SSVC

Fluxo de Trabalho

Etapa 1: Ingerir Dados de Vulnerabilidade

import requests
import json

# Fetch CISA KEV catalog
kev_url = "https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json"
kev_data = requests.get(kev_url).json()
kev_cves = {v['cveID'] for v in kev_data['vulnerabilities']}

# Fetch EPSS scores for context
epss_url = "https://api.first.org/data/v1/epss"
epss_response = requests.get(epss_url, params={"cve": "CVE-2024-3400"}).json()

Etapa 2: Avaliar Cada Ponto de Decisão

def evaluate_exploitation(cve_id, kev_set):
    """Determina o status de exploração a partir de dados CISA KEV e EPSS."""
    if cve_id in kev_set:
        return "active"
    epss = requests.get(
        "https://api.first.org/data/v1/epss",
        params={"cve": cve_id}
    ).json()
    if epss.get("data"):
        score = float(epss["data"][0].get("epss", 0))
        if score > 0.5:
            return "poc"
    return "none"

def evaluate_technical_impact(cvss_vector):
    """Analisa o vetor CVSS para métricas de escopo e impacto."""
    if "S:C" in cvss_vector or "C:H/I:H/A:H" in cvss_vector:
        return "total"
    return "partial"

def evaluate_automatability(cvss_vector, cve_description):
    """Verifica se o vetor de ataque é baseado em rede com baixa complexidade."""

…