O que é CVSS
CVSS é um sistema aberto para descrever a gravidade de uma vulnerabilidade por meio de uma nota. A pontuação vai de 0 a 10 e combina métricas sobre o acesso necessário, o efeito no sistema e o impacto nas informações.
A nota serve para comparar falhas e organizar a fila de correção. Ela não mede a chance de um ataque acontecer no seu servidor nem substitui a leitura do aviso.
As métricas que formam a nota
As métricas descrevem como a falha é explorada e o que ela afeta. Entre elas estão o vetor de acesso, a complexidade, os privilégios exigidos e a interação com o usuário. O impacto considera confidencialidade, integridade e disponibilidade.
Na versão 4.0, o cálculo também separa o sistema vulnerável dos sistemas seguintes. Essa distinção permite descrever uma falha que afeta outro componente depois da exploração inicial.
Versões diferentes, notas diferentes
Uma nota de CVSS v3.1 não é comparável com outra de CVSS v4.0. As métricas e o cálculo mudam, e a mesma falha pode receber valores diferentes. Ao registrar a nota, informe a versão usada.
O aviso do fornecedor e o registro do NVD podem divergir. Uma análise independente pode classificar a falha de forma distinta da publicada pelo fornecedor. A divergência não autoriza trocar a nota oficial pela que parece mais conveniente.
O que a nota não mede
A nota não informa se a falha está sendo explorada, se existe código público de ataque ou se a correção já foi publicada. Também não considera o valor da informação no seu sistema nem o tempo de indisponibilidade aceitável.
Esses fatores ficam na avaliação do ambiente. Um serviço exposto à internet com informações de clientes exige uma resposta diferente de um ambiente de teste isolado.
Como usar a nota na prioridade
Comece pela nota e pelas versões afetadas. Depois, confira a exposição, o privilégio necessário e a correção disponível. Registre a escolha e a data da atualização para acompanhar o que foi aplicado.
A segurança do ambiente combina a nota com a leitura do aviso e a verificação da versão instalada. Para revisar dependências e exposição de serviços, o Desenvolvimento Colaborativo da Dev Side Studio permite examinar a configuração durante a sessão.
Dúvidas frequentes
Perguntas frequentes sobre CVSS
- Nota 9,2 significa que o ataque vai acontecer?
- Não. A nota descreve características da falha. Ela não confirma exploração no seu ambiente nem o alcance real de um ataque.
- Por que versões diferentes dão notas diferentes?
- As métricas e o cálculo mudam entre as versões. Uma falha avaliada em CVSS v3.1 pode receber outra nota em CVSS v4.0, e as duas não devem ser comparadas diretamente.
- Como a nota é calculada?
- O fornecedor do produto ou uma base de análise, como o NVD. As notas podem divergir, e o aviso oficial precisa ser consultado junto do cálculo.
- A nota define sozinha a ordem de correção?
- Não. A exposição do serviço, a versão instalada, o privilégio necessário e a existência de correção também entram na prioridade.
Para continuar
Recursos relacionados
Documentação
FIRST: especificação do CVSS v4.0
Define as métricas, o cálculo e a interpretação da nota na versão 4.0.
Abrir recursoSite de referência
NVD: métricas CVSS
Mostra como as notas aparecem nos registros e a diferença entre as versões.
Abrir recursoAplicação na formação
Formação DevOps
O CVSS orienta a prioridade de atualização entre falhas que afetam o ambiente.
Conhecer a formação
Fontes consultadas
Referências deste verbete
Este verbete ajudou você?
Obrigado pela resposta. Ela fica salva apenas neste navegador.