CVSS, o Common Vulnerability Scoring System, es un marco abierto y estandarizado para evaluar la gravedad de las vulnerabilidades de seguridad de los sistemas inform\u00e1ticos. Permite a los profesionales y organizaciones de TI priorizar las respuestas a los riesgos de seguridad de manera coherente e informada. CVSS proporciona una manera de capturar las caracter\u00edsticas principales de una vulnerabilidad y producir una puntuaci\u00f3n num\u00e9rica que refleje su gravedad, considerando las m\u00e9tricas base, temporal y ambiental.<\/p>\n
CVSS se origin\u00f3 como una iniciativa del Consejo Asesor Nacional de Infraestructura (NIAC) de Estados Unidos. A principios de la d\u00e9cada de 2000, el NIAC reconoci\u00f3 la necesidad de un sistema est\u00e1ndar para calificar las vulnerabilidades de TI para gestionar y mitigar mejor las amenazas potenciales a la infraestructura.<\/p>\n
La primera versi\u00f3n de CVSS (CVSS v1) fue lanzada en 2005 por el Foro de Equipos de Seguridad y Respuesta a Incidentes (FIRST). Esta herramienta fue dise\u00f1ada para proporcionar calificaciones de vulnerabilidad unificadas, ayudando en el proceso de toma de decisiones de los equipos de respuesta de seguridad. Desde entonces, se ha actualizado y mejorado, y la tercera y \u00faltima versi\u00f3n (CVSS v3.1) se public\u00f3 en 2019.<\/p>\n
CVSS est\u00e1 dise\u00f1ado principalmente para proporcionar una medici\u00f3n imparcial de la gravedad de las vulnerabilidades. El sistema de puntuaci\u00f3n permite a las organizaciones centrarse en los problemas m\u00e1s importantes a los que pueden enfrentarse sus sistemas. No es simplemente una herramienta de clasificaci\u00f3n, sino tambi\u00e9n una gu\u00eda para tomar las medidas adecuadas en respuesta a las amenazas.<\/p>\n
Las puntuaciones CVSS var\u00edan de 0 a 10, donde 0 representa ning\u00fan riesgo y 10 indica el nivel m\u00e1s alto de gravedad. Estas puntuaciones se calculan en funci\u00f3n de tres grupos de m\u00e9tricas:<\/p>\n
M\u00e9tricas b\u00e1sicas<\/strong>: Estas son caracter\u00edsticas de una vulnerabilidad que son constantes a lo largo del tiempo y los entornos de usuario, como el vector de ataque, la complejidad, los privilegios requeridos, la interacci\u00f3n del usuario, el alcance y el impacto en la confidencialidad, la integridad y la disponibilidad.<\/p>\n<\/li>\n M\u00e9tricas temporales<\/strong>: Estas m\u00e9tricas cambian con el tiempo y abordan el estado actual de la vulnerabilidad. Incluyen explotabilidad, nivel de remediaci\u00f3n y confianza del informe.<\/p>\n<\/li>\n M\u00e9tricas ambientales<\/strong>: Estas m\u00e9tricas son espec\u00edficas del entorno de un usuario, como el potencial de da\u00f1o colateral, la distribuci\u00f3n de objetivos y los requisitos de seguridad.<\/p>\n<\/li>\n<\/ul>\n El marco CVSS est\u00e1 dise\u00f1ado para capturar y comunicar informaci\u00f3n sobre vulnerabilidades en un formato coherente y f\u00e1cil de entender. Su estructura se basa en cadenas de vectores y mecanismos de puntuaci\u00f3n:<\/p>\n Cadenas vectoriales<\/strong>: Estas son representaciones de texto simples de las m\u00e9tricas utilizadas para calcular la puntuaci\u00f3n. A cada m\u00e9trica se le asigna un valor que indica su impacto potencial. Por ejemplo, en CVSS v3.1, una cadena vectorial podr\u00eda verse as\u00ed: CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A :H.<\/p>\n<\/li>\n Mecanismo de puntuaci\u00f3n<\/strong>: Despu\u00e9s de asignar valores a las m\u00e9tricas en la cadena vectorial, se aplica una f\u00f3rmula para generar la puntuaci\u00f3n base. Luego, las puntuaciones temporales y ambientales se derivan de la puntuaci\u00f3n base utilizando diferentes f\u00f3rmulas.<\/p>\n<\/li>\n<\/ul>\n Algunas de las caracter\u00edsticas m\u00e1s destacadas del marco CVSS incluyen:<\/p>\n Hay tres versiones de CVSS que se han publicado hasta ahora:<\/p>\n La principal aplicaci\u00f3n de CVSS es en la gesti\u00f3n de vulnerabilidades y los procesos de respuesta a incidentes. Las organizaciones utilizan puntuaciones CVSS para priorizar los esfuerzos de remediaci\u00f3n en funci\u00f3n de la gravedad de las vulnerabilidades. Sin embargo, el sistema de puntuaci\u00f3n no tiene en cuenta el contexto empresarial de una organizaci\u00f3n, lo que podr\u00eda dar lugar a una asignaci\u00f3n de recursos ineficiente si se utiliza de forma aislada.<\/p>\n La soluci\u00f3n es incorporar puntuaciones CVSS dentro de un marco de gesti\u00f3n de riesgos m\u00e1s amplio que considere impactos comerciales espec\u00edficos y requisitos de seguridad. De esta manera, las empresas pueden crear un enfoque equilibrado hacia la gesti\u00f3n de vulnerabilidades.<\/p>\n Existen otros sistemas para evaluar las vulnerabilidades de TI, pero CVSS se destaca por su naturaleza integral, apertura y adopci\u00f3n generalizada. Aqu\u00ed hay una breve comparaci\u00f3n:<\/p>\nDesentra\u00f1ando el marco CVSS<\/h2>\n
\n
Caracter\u00edsticas clave de CVSS<\/h2>\n
\n
Tipos de CVSS<\/h2>\n
\n
Utilizaci\u00f3n de CVSS: problemas y soluciones<\/h2>\n
Comparaci\u00f3n de CVSS con otros est\u00e1ndares<\/h2>\n