Calculadora CVSS
Selecione as métricas, obtenha o vetor, a pontuação e a gravidade – depois a frase em inglês simples que diz o que a pontuação significa. Quatro versões: 4.0, 3.1, 3.0 e 2.0.
Um vetor, não um número
Não se pode contestar uma pontuação por si só: ela vem do alto e ninguém sabe de onde. O vetor, por outro lado, pode ser verificado campo por campo. É a string que precede o número:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
É lido da esquerda para a direita como uma frase: atacável pela Internet, sem dificuldade, sem conta, sem clique da vítima, e a falha se espalha além do componente vulnerável, levando consigo acesso de leitura, acesso de gravação e disponibilidade. Esse é o Log4Shell e tem pontuação de 10,0. A calculadora acima escreve esta tradução abaixo da pontuação, a cada clique.
Crie o hábito: em um ticket, um relatório ou uma troca com um fornecedor, cite o vetor. Um número sem vetor não é informação, é opinião.
Qual versão escolher
A regra cabe em uma linha: use a versão que sua fonte publica. O prefixo do vetor sempre informa qual. Se você mesmo está marcando uma falha e nada o restringe, use 3.1: é aquele com quem você trabalha pode ler.
| Versão | Publicado | Use-o quando |
|---|---|---|
| 4.0 | 2023 | O vetor do registro começa com CVSS:4.0/. Um número crescente de fornecedores o publica junto com o 3.1. |
| 3.1 | 2019 | Padrão. É a versão usada pelo NVD e por quase todos os CVE em circulação. |
| 3.0 | 2015 | Você está reproduzindo uma pontuação datada de 2015 a 2019. As métricas são as de 3.1. |
| 2.0 | 2007 | Você está lendo um registro anterior a 2016. Apenas três faixas de gravidade. |
A pontuação que você obtém e o que
CVSS responde a uma única pergunta: quão ruim será o dano se essa falha for explorada? Nunca pretendeu responder aos outros dois, que são os que realmente decidem a ordem das correções: é explorado hoje? e qual a probabilidade de ser explorado amanhã?
| Padrão | O que isso te diz | Tipo |
|---|---|---|
| CVE | Qual vulnerabilidade (identificador exclusivo) | Identificação |
| CVSS | Quão grave é (0 a 10) | Gravidade intrínseca |
| EPSS | Probabilidade de exploração em 30 dias | Previsão |
| KEV | Exploração já observada na natureza | Fato estabelecido |
Na prática, a ordem que se mantém ao longo de uma semana de trabalho é esta: tudo o que está no catálogo KEV e roda em sua propriedade é tratado primeiro; a seguir, qualquer coisa com um EPSS acima de 0,1; O CVSS quebra o vínculo entre duas falhas igualmente prováveis. Veja como o monitoramento CVE direcionado à sua propriedade é construído.
As quatro calculadoras
Perguntas frequentes
Qual versão do CVSS devo usar?
Aquele que sua fonte publica. Se o registro contém um vetor começando com CVSS:4.0/, use 4,0; com CVSS:3.1/, use 3.1. Se nada for especificado e você mesmo estiver marcando uma falha, use 3.1: é a versão que todos com quem você trabalha podem ler.
O que é um vetor CVSS?
É a lista de escolhas que produziu a partitura, escrita de forma reproduzível: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. O número por si só não pode ser contestado; o vetor pode. É isso que citar em um ticket, um relatório ou uma troca com um fornecedor.
O cálculo é feito em seus servidores?
Não. Tudo roda no seu navegador: o vetor que você constrói não é enviado para lugar nenhum e não é necessário nenhum cadastro. O botão “Copiar link” simplesmente codifica o vetor no endereço da página.
Uma pontuação alta significa que deve ser corrigido com urgência?
Não. O CVSS mede danos potenciais, não a probabilidade de exploração. Uma falha com classificação 7,5 que já foi explorada vem antes de uma falha com classificação 9,8 que ninguém ataca. Para decidir, verifique com EPSS e o Catálogo KEV.
Posso compartilhar uma pontuação calculada aqui?
Sim. O botão “Copiar link” produz um endereço que reabre a calculadora exatamente no seu vetor: cole-o em um ticket e a outra pessoa verá as mesmas caixas marcadas que você.
Plano Free, sem cartão
Obtenha apenas o CVEs que afeta seu imóvel.
Declare seus componentes uma vez. Alertamos assim que alguma falha afetar um deles, já priorizado por KEV e EPSS, no canal de sua preferência. O primeiro alerta sai na próxima sincronização.
- Free, sem cartão de crédito
- Construído e hospedado na França
- Exporte seus dados a qualquer momento