Calculadora CVSS
Seleccione las métricas, obtenga el vector, la puntuación y la gravedad, luego la frase en inglés sencillo que dice lo que significa la puntuación. Cuatro versiones: 4.0, 3.1, 3.0 y 2.0.
Un vector, no un número
Una puntuación por sí sola no es discutible: viene de arriba y nadie sabe de dónde. El vector, en cambio, se puede comprobar campo por campo. Es la cadena que precede al número:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Se lee de izquierda a derecha como una frase: atacable desde Internet, sin dificultad, sin cuenta, sin clic de la víctima, y la falla se extiende más allá del componente vulnerable, llevándose consigo el acceso de lectura, el acceso de escritura y la disponibilidad. Ese es Log4Shell y obtiene una puntuación de 10,0. La calculadora de arriba escribe esta traducción debajo de la puntuación, con cada clic.
Conviértalo en un hábito: en un ticket, un informe o un intercambio con un vendedor, citar el vector. Un número sin su vector no es información, es una opinión.
Que versión elegir
La regla cabe en una línea: use la versión que publica su fuente. El prefijo vectorial siempre te indica cuál. Si usted mismo está puntuando un defecto y nada lo limita, utilice 3.1: es el que todas las personas con las que trabaja pueden leer.
| Versión | Publicado | Úselo cuando |
|---|---|---|
| 4.0 | 2023 | El vector del registro comienza con CVSS:4.0/. Un número creciente de proveedores lo publican junto con 3.1. |
| 3.1 | 2019 | Predeterminado. Es la versión utilizada por el NVD y por casi todos los CVE en circulación. |
| 3.0 | 2015 | Estás reproduciendo una puntuación fechada de 2015 a 2019. Las métricas son las de 3.1. |
| 2.0 | 2007 | Está leyendo un registro anterior a 2016. Solo tres bandas de gravedad. |
La puntuación que obtienes, y luego qué
CVSS responde a una sola pregunta: ¿Qué tan grave es el daño si se explota este defecto? Nunca ha pretendido responder a las otras dos, que son las que realmente deciden el orden de las correcciones: ¿Está explotado hoy? y ¿Qué posibilidades hay de que lo exploten mañana?
| Estándar | lo que te dice | Tipo |
|---|---|---|
| CVE | Qué vulnerabilidad (identificador único) | Identificación |
| CVSS | Qué tan grave es (0 a 10) | Gravedad intrínseca |
| EPSS | Probabilidad de explotación dentro de los 30 días | Predicción |
| KEV | Explotación ya observada en la naturaleza | hecho establecido |
En la práctica, el orden que se mantiene durante una semana laboral es el siguiente: lo que esté en el catálogo KEV y se ejecute en su equipo se maneja primero; a continuación, cualquier cosa con un EPSS superior a 0,1; CVSS rompe el vínculo entre dos defectos igualmente probables. Ver cómo se construye el monitoreo CVE dirigido a su patrimonio.
Las cuatro calculadoras
Preguntas frecuentes
¿Qué versión de CVSS debo usar?
El que publica su fuente. Si el registro lleva un vector que comienza con CVSS:4.0/, utilice 4.0; con CVSS:3.1/, utilice 3.1. Si no se especifica nada y usted mismo está detectando una falla, use 3.1: es la versión que todos con quienes trabaja pueden leer.
¿Qué es un vector CVSS?
Es la lista de opciones que produjeron la partitura, escrita de forma reproducible: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. No se puede discutir el número por sí solo; el vector puede. Eso es lo que hay que citar en un ticket, un informe o un intercambio con un vendedor.
¿El cálculo se realiza en sus servidores?
No. Todo se ejecuta en su navegador: el vector que crea no se envía a ninguna parte y no es necesario registrarse. El botón "Copiar enlace" simplemente codifica el vector en la dirección de la página.
¿Una puntuación alta significa que hay que solucionarlo con urgencia?
No. CVSS mide el daño potencial, no la probabilidad de explotación. Una falla con una calificación de 7,5 que ya está explotada viene antes que una falla con una calificación de 9,8 que nadie ataca. Para decidir, coteje con EPSS y el Catálogo KEV.
¿Puedo compartir una puntuación calculada aquí?
Sí. El botón "Copiar enlace" produce una dirección que vuelve a abrir la calculadora exactamente en su vector: péguelo en un ticket y la otra persona verá las mismas casillas marcadas que usted.
Plan Free, sin tarjeta
Obtenga solo el CVEs que afecta su patrimonio real.
Declare sus componentes una vez. Te avisamos en cuanto un fallo afecte a uno de ellos, ya priorizado por KEV y EPSS, en el canal de tu elección. La primera alerta se activa en la siguiente sincronización.
- Free, sin tarjeta de crédito
- Construido y alojado en Francia
- Exporta tus datos en cualquier momento