CVSS, ou Common Vulnerability Scoring System, \u00e9 uma estrutura aberta e padronizada para avaliar a gravidade das vulnerabilidades de seguran\u00e7a de sistemas de computador. Ele permite que profissionais e organiza\u00e7\u00f5es de TI priorizem respostas a riscos de seguran\u00e7a de maneira consistente e informada. O CVSS fornece uma forma de capturar as principais caracter\u00edsticas de uma vulnerabilidade e produzir uma pontua\u00e7\u00e3o num\u00e9rica que reflete sua gravidade, considerando as m\u00e9tricas de base, temporais e ambientais.<\/p>\n
O CVSS originou-se como uma iniciativa do National Infrastructure Advisory Council (NIAC) dos Estados Unidos. No in\u00edcio da d\u00e9cada de 2000, o NIAC reconheceu a necessidade de um sistema padr\u00e3o para classificar as vulnerabilidades de TI para melhor gerir e mitigar potenciais amea\u00e7as \u00e0 infra-estrutura.<\/p>\n
A primeira vers\u00e3o do CVSS (CVSS v1) foi lan\u00e7ada em 2005 pelo F\u00f3rum de Equipes de Seguran\u00e7a e Resposta a Incidentes (FIRST). Esta ferramenta foi projetada para fornecer classifica\u00e7\u00f5es de vulnerabilidade unificadas, auxiliando no processo de tomada de decis\u00e3o das equipes de resposta de seguran\u00e7a. Desde ent\u00e3o, foi atualizado e aprimorado, sendo a terceira e mais recente vers\u00e3o (CVSS v3.1) publicada em 2019.<\/p>\n
O CVSS foi projetado principalmente para fornecer uma medi\u00e7\u00e3o imparcial da gravidade das vulnerabilidades. O sistema de pontua\u00e7\u00e3o permite que as organiza\u00e7\u00f5es se concentrem nas quest\u00f5es mais significativas que os seus sistemas podem enfrentar. N\u00e3o \u00e9 simplesmente uma ferramenta de classifica\u00e7\u00e3o, mas tamb\u00e9m um guia para tomar medidas adequadas em resposta a amea\u00e7as.<\/p>\n
As pontua\u00e7\u00f5es do CVSS variam de 0 a 10, onde 0 representa nenhum risco e 10 indica o n\u00edvel mais alto de gravidade. Essas pontua\u00e7\u00f5es s\u00e3o calculadas com base em tr\u00eas grupos de m\u00e9tricas:<\/p>\n
M\u00e9tricas B\u00e1sicas<\/strong>: s\u00e3o caracter\u00edsticas de uma vulnerabilidade que s\u00e3o constantes ao longo do tempo e dos ambientes do usu\u00e1rio, como o vetor de ataque, a complexidade, os privil\u00e9gios necess\u00e1rios, a intera\u00e7\u00e3o do usu\u00e1rio, o escopo e o impacto na confidencialidade, integridade e disponibilidade.<\/p>\n<\/li>\n M\u00e9tricas Temporais<\/strong>: essas m\u00e9tricas mudam com o tempo e lidam com o estado atual da vulnerabilidade. Eles incluem capacidade de explora\u00e7\u00e3o, n\u00edvel de remedia\u00e7\u00e3o e confian\u00e7a no relat\u00f3rio.<\/p>\n<\/li>\n M\u00e9tricas Ambientais<\/strong>: essas m\u00e9tricas s\u00e3o espec\u00edficas do ambiente de um usu\u00e1rio, como potencial de dano colateral, distribui\u00e7\u00e3o de alvos e requisitos de seguran\u00e7a.<\/p>\n<\/li>\n<\/ul>\n A estrutura CVSS foi projetada para capturar e comunicar informa\u00e7\u00f5es sobre vulnerabilidades em um formato consistente e f\u00e1cil de entender. Sua estrutura \u00e9 baseada em strings vetoriais e mecanismos de pontua\u00e7\u00e3o:<\/p>\n Sequ\u00eancias de vetores<\/strong>: s\u00e3o representa\u00e7\u00f5es de texto simples das m\u00e9tricas usadas para calcular a pontua\u00e7\u00e3o. Cada m\u00e9trica recebe um valor que significa seu impacto potencial. Por exemplo, no CVSS v3.1, uma string de vetor pode ter esta apar\u00eancia: CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A :H.<\/p>\n<\/li>\n Mecanismo de pontua\u00e7\u00e3o<\/strong>: ap\u00f3s atribuir valores \u00e0s m\u00e9tricas na string do vetor, uma f\u00f3rmula \u00e9 aplicada para gerar a pontua\u00e7\u00e3o base. As pontua\u00e7\u00f5es temporais e ambientais s\u00e3o ent\u00e3o derivadas da pontua\u00e7\u00e3o base utilizando f\u00f3rmulas diferentes.<\/p>\n<\/li>\n<\/ul>\n Algumas das caracter\u00edsticas mais importantes da estrutura CVSS incluem:<\/p>\n Existem tr\u00eas vers\u00f5es do CVSS que foram publicadas at\u00e9 agora:<\/p>\n A principal aplica\u00e7\u00e3o do CVSS \u00e9 em processos de gerenciamento de vulnerabilidades e resposta a incidentes. As organiza\u00e7\u00f5es usam pontua\u00e7\u00f5es CVSS para priorizar os esfor\u00e7os de corre\u00e7\u00e3o com base na gravidade das vulnerabilidades. No entanto, o sistema de pontua\u00e7\u00e3o n\u00e3o leva em considera\u00e7\u00e3o o contexto empresarial de uma organiza\u00e7\u00e3o, o que poderia resultar numa aloca\u00e7\u00e3o ineficiente de recursos se usado isoladamente.<\/p>\n A solu\u00e7\u00e3o \u00e9 incorporar pontua\u00e7\u00f5es CVSS em uma estrutura mais ampla de gerenciamento de riscos que considere impactos espec\u00edficos nos neg\u00f3cios e requisitos de seguran\u00e7a. Desta forma, as empresas podem criar uma abordagem equilibrada para a gest\u00e3o de vulnerabilidades.<\/p>\n Existem outros sistemas para avaliar vulnerabilidades de TI, mas o CVSS se destaca pela sua natureza abrangente, abertura e ampla ado\u00e7\u00e3o. Aqui est\u00e1 uma breve compara\u00e7\u00e3o:<\/p>\nDesvendando a estrutura CVSS<\/h2>\n
\n
Principais recursos do CVSS<\/h2>\n
\n
Tipos de CVSS<\/h2>\n
\n
Utilizando CVSS: problemas e solu\u00e7\u00f5es<\/h2>\n
Comparando CVSS com outros padr\u00f5es<\/h2>\n