Pontuação CVSS e priorização de vulnerabilidades

Depois de executar uma verificação de vulnerabilidades, uma organização pode descobrir centenas ou milhares de vulnerabilidades em seus sistemas. Tentar corrigir tudo IMMEDIATELY não é possível nem estratégico — os recursos são limitados e nem todas as vulnerabilidades apresentam o mesmo risco. A Priorização de Vulnerabilidades é o processo de classificar as vulnerabilidades de acordo com o risco real que representam para a organização, para que os problemas mais perigosos sejam tratados primeiro. Uma priorização eficaz evita o erro comum de corrigir problemas cosméticos menores enquanto uma vulnerabilidade crítica de execução remota de código aguarda na fila.

O Sistema Comum de Pontuação de Vulnerabilidades (CVSS) é um Framework aberto que fornece uma pontuação numérica padronizada (0,0 a 10,0) para representar a gravidade de uma vulnerabilidade de segurança. O CVSS é mantido pela FIRST (Fórum de Resposta a Incidentes e Equipes de Segurança) e é o principal sistema de pontuação usado na NVD (Base de Dados Nacional de Vulnerabilidades). A versão atual, CVSS v3.1, calcula as pontuações com base em três grupos de métricas: Base (características intrínsecas da vulnerabilidade), Temporal (fatores que mudam ao longo do tempo) e Environmental (modificadores específicos da organização). Somente a Base Score é obrigatória; as demais são refinamentos opcionais.

A Base Score é calculada a partir de dois grupos de métricas. As métricas de Exploitabilidade descrevem como a vulnerabilidade pode ser atacada: Attack Vector (AV) — Network (remota), Adjacent, Local ou Physical; Attack Complexity (AC) — Low ou High; Privileges Required (PR) — None, Low ou High; User Interaction (UI) — None ou Required. Uma vulnerabilidade explorável pela rede, sem autenticação e sem interação do usuário, obtém a maior pontuação de explorabilidade (AV:N/AC:L/PR:N/UI:N). Esses fatores se combinam com as métricas de impacto para produzir a Base Score.

As métricas de impacto medem a consequência nas três dimensões da tríade CIA caso a vulnerabilidade seja explorada. Confidentiality Impact (C) — None, Low ou High (quanto dos dados pode ser divulgado). Integrity Impact (I) — None, Low ou High (quanto dos dados pode ser modificado). Availability Impact (A) — None, Low ou High (quanto de interrupção do serviço ocorre). Scope (S) — Unchanged ou Changed (se o impacto da vulnerabilidade se estende além do componente vulnerável para outros componentes ou sistemas). Um Scope Changed significa que uma vulnerabilidade explorada com sucesso pode afetar sistemas além de seu Scope inicial, elevando significativamente a pontuação.

As métricas temporais ajustam a Base Score com base em fatores que mudam ao longo do tempo. Exploit Code Maturity (E) — indica se existe um exploit funcional (Unproven, Proof-of-Concept, Functional, High). Uma vulnerabilidade com um exploit armado disponível publicamente é mais urgente do que uma sem exploit conhecido. Remediation Level (RL) — Official Fix, Temporary Fix, Workaround ou Unavailable. Uma vulnerabilidade com um patch oficial do fornecedor reduz a urgência em comparação com uma que não tem correção. Report Confidence (RC) — Unknown, Reasonable ou Confirmed. Uma vulnerabilidade Confirmed e reproduzida amplamente é classificada com mais confiabilidade do que um relatório não confirmado.

As métricas ambientais permitem que as organizações personalizem a pontuação do CVSS com base em seu contexto específico. As Modified Base Metrics permitem que as organizações alterem qualquer métrica Base para refletir seu ambiente (por exemplo, uma vulnerabilidade acessível pela rede pode ter AV:L se esse serviço só for acessível localmente na configuração específica da organização). Os valores de CIA Requirement (Low, Medium, High) refletem a importância de cada dimensão CIA para a organização — um hospital pode classificar Availability como High para sistemas de monitoramento de pacientes, enquanto uma instituição de pesquisa pode classificar Confidentiality com a maior prioridade. A pontuação Environmental torna o CVSS sensível ao contexto e mais útil para decisões reais de priorização.

Três sistemas relacionados trabalham em conjunto com o CVSS. CVE (Vulnerabilidades e Exposições Comuns) é uma lista de vulnerabilidades de segurança conhecidas publicamente, cada uma com um identificador exclusivo (CVE-2021-44228 é o Log4Shell). CWE (Enumeração de Pontos Fracos Comuns) categoriza tipos de pontos fracos de software (CWE-79 é XSS, CWE-89 é SQL Injection) — ela classifica a causa raiz, e não uma instância específica. A NVD (Base de Dados Nacional de Vulnerabilidades) enriquece as entradas de CVE com pontuações CVSS, referências, intervalos de produtos afetados e links de correção. As equipes de segurança assinam as notificações da NVD e dos fornecedores para receber avisos sobre novos CVEs relevantes para seu inventário de software.

As pontuações CVSS representam a gravidade técnica de forma isolada, mas não consideram o contexto organizacional. A priorização baseada em risco modifica a urgência da correção com base em: criticidade do ativo (um sistema ERP crítico tem prioridade maior do que um servidor de testes), explorabilidade na prática (o catálogo KEV — Known Exploited Vulnerabilities — da CISA lista CVEs que estão sendo explorados ativamente), exposição (o sistema vulnerável está exposto à Internet?) e controles compensatórios (existe um WAF bloqueando o caminho do ataque?). Uma vulnerabilidade com CVSS 7.5 em um sistema voltado para a Internet e crítico para o negócio, com um exploit público, pode ser muito mais urgente do que uma vulnerabilidade com CVSS 9.0 em um servidor de testes interno e isolado.

Vários Frameworks e ferramentas aprimoram a priorização baseada em CVSS. O EPSS (Sistema de Pontuação de Predição de Exploits) estima a probabilidade de um CVE ser explorado na prática nos próximos 30 dias, usando aprendizado de máquina sobre dados de inteligência contra ameaças. EPSS High + CVSS High = prioridade máxima. O SSVC (Categorização de Vulnerabilidades Específica para Stakeholders) é uma árvore de decisão da CISA/Carnegie Mellon que considera o estado da exploração, o impacto na segurança e na infraestrutura crítica e se o sistema é crítico para a missão. Esses Frameworks ajudam as organizações a ir além da simples ordenação pela pontuação CVSS e a tomar decisões de correção realmente orientadas por risco.

Os profissionais de segurança devem traduzir as pontuações técnicas do CVSS para a linguagem de negócios usada nas decisões da gestão. Em vez de dizer “Temos uma RCE com CVSS 9.8, sem autenticação, em nosso servidor Web público”, diga: “Um invasor na Internet pode assumir o controle completo do nosso site voltado para clientes sem nenhuma credencial, podendo acessar todos os 500.000 registros de clientes e nosso sistema de processamento de pagamentos — precisamos aplicar o patch do fornecedor ou tirar o servidor do ar em até 24 horas”. Apresentar o impacto para o negócio (dados em risco, perda financeira e consequência regulatória) impulsiona decisões executivas mais rápidas do que as pontuações isoladas.

A priorização de vulnerabilidades só gera valor quando está conectada a um processo eficaz de gerenciamento de patches. O ciclo de vida do gerenciamento de vulnerabilidades inclui: Identificar (verificar), Analisar (CVSS + contexto), Priorizar (classificação de risco + SLA), Corrigir (implantação de patches via SCCM/Intune/Ansible), Verify (executar uma nova verificação para confirmar a correção) e Relatar (relatórios de tendências para a gestão). As ferramentas de gerenciamento de patches automatizam a implantação em grande escala, acompanhando quais sistemas foram corrigidos e quais continuam expostos. A contagem do SLA de correção começa quando uma vulnerabilidade é descoberta, tornando a frequência das verificações diretamente relevante para o tempo médio de correção.

Nesta lição, você aprendeu que: o CVSS atribui pontuações às vulnerabilidades em uma escala de 0,0 a 10,0 usando métricas Base (explorabilidade + impacto), Temporal (maturidade do exploit + disponibilidade de correção) e Environmental (contexto organizacional); o catálogo KEV da CISA e as pontuações EPSS aprimoram a priorização baseada em CVSS ao identificar quais vulnerabilidades estão sendo exploradas ativamente na prática; e o gerenciamento eficaz de vulnerabilidades conecta os resultados das verificações aos fluxos de trabalho de gerenciamento de patches, com SLAs definidos por gravidade. Este módulo de gerenciamento de vulnerabilidades está concluído — a seguir, vamos abordar a segurança de aplicações e o OWASP Top 10.