O CVSS (Common Vulnerability Scoring System) é um padrão internacional para medir a gravidade de vulnerabilidades de segurança em software e sistemas.
Índice
O CVSS usa critérios neutros em relação a fornecedores e uma metodologia padronizada de pontuação para expressar a gravidade das vulnerabilidades de forma consistente e quantitativa.
Ao depender de métricas objetivas em vez de interpretações específicas de fornecedores, o CVSS permite que as organizações comparem vulnerabilidades entre produtos, ambientes e setores usando uma linguagem comum.
Qual é o objetivo do CVSS?
O objetivo do CVSS é ajudar as organizações a avaliar, comparar e priorizar vulnerabilidades de forma consistente com base na gravidade. As pontuações do CVSS fornecem uma entrada estruturada para o gerenciamento de vulnerabilidades e decisões de remediação baseadas em risco.
Cada vulnerabilidade recebe uma pontuação numérica que varia de 0.0 a 10.0 , que também é mapeada para níveis qualitativos de gravidade.
- Baixo
- Médio
- Alto
- Crítico
Devido à sua abordagem padronizada, o CVSS é amplamente utilizado por equipes de segurança, fornecedores, equipes de resposta a incidentes e bases de dados de vulnerabilidades como referência principal para priorização de remediação.
Quem mantém o CVSS e como ele evoluiu?
O CVSS é mantido pelo CVSS Special Interest Group (CVSS-SIG) sob o FIRST (Forum of Incident Response and Security Teams). O FIRST é uma organização internacional de Cibersegurança focada em melhorar a resposta a incidentes e a coordenação de vulnerabilidades em todo o mundo.
Desde sua introdução, o CVSS passou por várias revisões para refletir mudanças na tecnologia e nos cenários de ameaças. A atualização principal mais recente foi anunciada em julho de 2023, com o CVSS v4.0 oficialmente lançado em novembro de 2023, marcando uma evolução significativa na forma como a gravidade das vulnerabilidades é avaliada.
O FIRST descreve o CVSS como um framework projetado para fornecer uma abordagem padronizada para avaliar a gravidade das vulnerabilidades e ajudar as organizações a priorizar esforços de resposta.
FIRST (Forum of Incident Response and Security Teams)
O que é o CVSS v4.0 e por que ele é importante?
O CVSS v4.0 é a versão principal mais recente do framework CVSS, projetada para lidar com limitações estruturais das versões anteriores. Ele melhora a precisão da pontuação, reduz ambiguidades e expande a aplicabilidade além dos ambientes tradicionais de TI.
De forma mais notável, o CVSS v4.0 introduz separação mais clara de métricas, maior granularidade de pontuação e suporte explícito para Tecnologia Operacional (TO), Sistemas de Controle Industrial (ICS) e ambientes de IoT, refletindo como as organizações modernas realmente operam.
Quais grupos de métricas compõem o CVSS v4.0?
O CVSS v4.0 é composto por quatro grupos de métricas que avaliam a gravidade das vulnerabilidades sob diferentes perspectivas. Esses grupos podem ser combinados para calcular pontuações alinhadas a casos de uso específicos.
Os quatro grupos de métricas são:
- Métricas Base – Medem a gravidade intrínseca de uma vulnerabilidade
- Métricas de Ameaça – Refletem atividade de exploração no mundo real
- Métricas Ambientais – Personalizam a gravidade com base no contexto organizacional
- Métricas Suplementares – Fornecem contexto adicional relacionado à resposta
Cada grupo atende a um propósito distinto dentro dos workflows de avaliação e resposta a vulnerabilidades.
O que são as Métricas Base do CVSS?
As Métricas Base medem a gravidade inerente de uma vulnerabilidade, independentemente de condições externas. Elas avaliam tanto a dificuldade de exploração de uma vulnerabilidade quanto o impacto potencial caso a exploração ocorra.
As Métricas Base normalmente são avaliadas pelo fornecedor do produto e, uma vez definidas, permanecem estáveis ao longo do tempo. No CVSS v4.0, as Métricas Base foram refinadas para melhorar clareza e granularidade, permitindo pontuações de gravidade mais precisas.
O que são as Métricas de Ameaça do CVSS?
As Métricas de Ameaça avaliam quão ativamente uma vulnerabilidade está sendo explorada em condições do mundo real. Este grupo de métricas se concentra em se existe código de exploração e se a exploração foi observada na prática.
Como a atividade de ameaças muda ao longo do tempo, as Métricas de Ameaça são inerentemente dinâmicas e geralmente são avaliadas pelos consumidores de vulnerabilidades usando inteligência de ameaças e contexto operacional.
As principais considerações incluem:
- Disponibilidade de código de exploit
- Evidência de exploração ativa ou disseminada
O que são as Métricas Ambientais do CVSS?
As Métricas Ambientais ajustam a gravidade da vulnerabilidade ao ambiente específico de uma organização. Elas consideram o quão crítico o sistema afetado é para confidencialidade, integridade e disponibilidade dentro de uma determinada organização.
Como resultado, as pontuações das Métricas Ambientais podem variar significativamente entre organizações, dependendo do papel do sistema, impacto nos negócios e restrições operacionais.
O que são as Métricas Suplementares do CVSS?
As Métricas Suplementares fornecem informações contextuais adicionais para apoiar decisões de resposta a vulnerabilidades. Embora não influenciem os cálculos de pontuação do CVSS, elas oferecem insights valiosos para o planejamento de remediação.
Exemplos de fatores capturados pelas Métricas Suplementares incluem:
- Nível de automação de ataque
- Complexidade de recuperação
- Esforço necessário para restaurar sistemas afetados
Essas métricas ajudam as organizações a avançar da avaliação de gravidade para o planejamento prático de resposta.
Quais tipos de pontuações do CVSS existem no CVSS v4.0?
O CVSS v4.0 oferece suporte a vários tipos de pontuação com base em diferentes combinações de grupos de métricas. Isso permite que as organizações avaliem a gravidade das vulnerabilidades a partir de perspectivas base, ambiental e de ameaça em tempo real.
Os principais tipos de pontuação do CVSS incluem:
- CVSS-B – Pontuação Base apenas
- CVSS-BE – Base + Ambiental
- CVSS-BT – Base + Ameaça
- CVSS-BTE – Base + Ameaça + Ambiental
Por exemplo, organizações que avaliam a gravidade de vulnerabilidades em seu próprio ambiente normalmente usam CVSS-BE, enquanto aquelas que incorporam inteligência ativa de ameaças usam CVSS-BTE
O que mudou no CVSS v4.0 em comparação ao CVSS v3.1?
O CVSS v4.0 foi desenvolvido para lidar com desafios bem documentados do CVSS v3.1. Com o tempo, o CVSS v3.1 tornou-se cada vez mais desalinhado com sistemas modernos e condições de ameaça.
O FIRST identificou vários problemas-chave, incluindo:
- Dependência excessiva de Pontuações Base para análise de risco
- Influência limitada das Métricas Temporais agora Métricas de Ameaça
- Representação insuficiente de ameaças em tempo real
- Aplicabilidade limitada a TO, ICS e sistemas críticos para segurança
- Agrupamento excessivo de pontuações nas faixas Alto e Crítico
- Granularidade limitada de pontuação
- Metodologia de pontuação complexa e pouco intuitiva
Desafios do CVSS v3.1 conforme publicados pelo FIRST, resumidos e traduzidos para maior clareza.
Como essas mudanças melhoram o CVSS v4.0?
As atualizações introduzidas no CVSS v4.0 tornam a pontuação de vulnerabilidades mais precisa, acionável e relevante. Cada mudança aborda diretamente uma limitação identificada em versões anteriores.
As principais melhorias incluem:
- Maior granularidade nas Métricas Base
- Remoção de lógica ambígua de pontuação downstream
- Métricas de Ameaça simplificadas com maior influência na pontuação
- Introdução de Métricas Suplementares para suporte à resposta
- Aplicabilidade expandida a ambientes de TO, ICS e IoT
O FIRST observa que o CVSS v4.0 foi projetado para “refletir melhor condições reais de exploração e arquiteturas modernas de sistemas.”
Por que a cobertura expandida de TO é a mudança mais significativa no CVSS v4.0?
O aprimoramento mais significativo no CVSS v4.0 é a inclusão explícita de ambientes de Tecnologia Operacional (TO). Esta é a primeira versão do CVSS a considerar formalmente vulnerabilidades que podem ter implicações de segurança física.
À medida que a transformação digital continua a borrar a linha entre TI e TO, vulnerabilidades em sistemas industriais podem impactar diretamente produção, segurança e vida humana. O CVSS v4.0 reflete essa realidade ao incorporar métricas sensíveis à segurança e considerações de impacto downstream.
Como as organizações devem se preparar para usar o CVSS v4.0 de forma eficaz?
Para usar o CVSS v4.0 de forma eficaz, as organizações devem adaptar práticas de gerenciamento de vulnerabilidades para considerar realidades de TI e TO. Embora o CVSS v4.0 melhore a visibilidade, desafios de resposta permanecem especialmente em ambientes de TO.
As principais diferenças incluem:
- Sistemas de TO priorizam disponibilidade e segurança em vez de aplicação de patches
- Ambientes de implantação frequentemente são fechados e gerenciados por fornecedores
- A aplicação de patches pode ser inviável ou explicitamente evitada
Sem pessoal que compreenda os contextos de TI e TO, as organizações podem ter dificuldade em agir apenas com base em insights de vulnerabilidades
Por que a Visibilidade de Ativos de TO e a Prevenção de Exploits são Críticas?
A visibilidade de ativos de TO e a prevenção de exploits são essenciais quando a aplicação tradicional de patches não é prática. As organizações devem primeiro entender quais ativos de TO possuem antes de poderem gerenciar as vulnerabilidades associadas.
A redução eficaz do risco de vulnerabilidades de TO normalmente envolve:
- Descoberta abrangente de ativos de TO
- Monitoramento contínuo do tráfego de rede
- Sensores específicos de TO e ferramentas de visibilidade
- Virtual patching por meio de sistemas de prevenção de intrusão (IPS) focados em TO
Esses controles ajudam a evitar exploração e reduzir riscos mesmo quando as vulnerabilidades não podem ser remediadas por meio de patches.
Onde posso obter ajuda com CVSS e priorização de risco de vulnerabilidades?
O Trend Vision One™ oferece uma solução de Cyber Risk Exposure Management (CREM) que vai além da pontuação básica de CVSS para ajudar as organizações a entender, priorizar e reduzir riscos em toda a sua Superfície de Ataque. Ele combina pontuação de gravidade de vulnerabilidades com inteligência de ameaças em tempo real e análise contextual de risco, permitindo que as equipes de segurança tomem decisões mais rápidas e inteligentes.
Essa abordagem integra recursos-chave como Gerenciamento de Superfície de Ataque, Gerenciamento de Vulnerabilidades e Avaliação de Postura de Segurança em ambientes de TI, TO, nuvem e híbridos. Não se trata apenas de identificar vulnerabilidades é sobre transformar insights em ações práticas que fortalecem a resiliência e minimizam a exposição.
Com o Cyber Risk Exposure Management, você pode:
- Obter visibilidade sobre seus ativos e vulnerabilidades mais críticos
- Priorizar a remediação com base em risco do mundo real, não apenas em pontuações teóricas
- Reduzir a probabilidade de exploração por meio de estratégias proativas de redução de risco
Fernando Cardoso é o Vice-Presidente de Gerenciamento de Produto na Trend Micro, com foco no mundo em constante evolução de IA e cloud. Sua carreira começou como Network and Sales Engineer, onde aprimorou suas habilidades em datacenters, cloud, DevOps e Cibersegurança — áreas que continuam sendo sua paixão.
Perguntas Frequentes (FAQs)
O que significa CVSS em Cibersegurança?
CVSS significa Common Vulnerability Scoring System. É um framework padronizado usado para medir a gravidade de vulnerabilidades de segurança em software e sistemas. O CVSS fornece pontuações numéricas que ajudam as organizações a comparar vulnerabilidades de forma consistente e priorizar esforços de remediação.
O que é uma pontuação CVSS?
Uma pontuação CVSS é um valor numérico que representa a gravidade de uma vulnerabilidade. As pontuações variam de 0.0 a 10.0, com pontuações mais altas indicando maior risco. Essas pontuações são comumente categorizadas como Baixo, Médio, Alto ou Crítico.
Quem usa pontuações CVSS?
As pontuações CVSS são usadas por equipes de segurança, fornecedores e bases de dados de vulnerabilidades em todo o mundo. As organizações confiam nelas para priorizar aplicação de patches, orientar resposta a incidentes e apoiar decisões de gerenciamento de vulnerabilidades baseadas em risco em ambientes diversos.
Qual é a diferença entre CVSS v3.1 e CVSS v4.0?
O CVSS v4.0 melhora a precisão e a aplicabilidade em comparação ao CVSS v3.1. Ele introduz maior granularidade de pontuação, simplifica a avaliação de ameaças e expande a cobertura para ambientes de TO, ICS e IoT, ao mesmo tempo em que reduz ambiguidades de pontuação.
Quais são os grupos de métricas no CVSS v4.0?
O CVSS v4.0 inclui quatro grupos de métricas que avaliam a gravidade das vulnerabilidades sob diferentes perspectivas. São elas Métricas Base, Métricas de Ameaça, Métricas Ambientais e Métricas Suplementares, que juntas oferecem uma pontuação de gravidade mais contextualizada.