Calculadora CVSS 3.1
Selecione as métricas, obtenha o vetor e a pontuação base – idêntica à calculadora de referência do FIRST.org – e leia abaixo do número o que significa, em inglês simples.
Lendo um vetor da esquerda para a direita
Um vetor é uma sequência de campos separados por barras. Cada um responde a uma pergunta, sempre na mesma ordem. Pegue aquele para Log4Shell, CVE-2021-44228:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
| Campo | Valor | O que diz |
|---|---|---|
| AV | Rede | Atacável pela Internet, sem estar na mesma rede. |
| AC | Baixo | Nenhuma condição a cumprir: o ataque sempre é bem-sucedido. |
| RP | Nenhum | Nenhuma conta é necessária na máquina de destino. |
| IU | Nenhum | Ninguém precisa clicar. |
| S | Modificado | A falha ultrapassa a biblioteca e atinge toda a máquina. |
| C / I / A | Alto × 3 | Leia, modifique e desligue: nada vale. |
A calculadora acima reescreve esta string em inglês simples abaixo da pontuação, a cada clique. Carregue o case “Log4Shell” e altere um único campo para ver o mecanismo:
- Escopo alterado → inalterado (
S:C→S:U): 10,0 torna-se 9.8. É o único campo que separa as duas pontuações mais comuns do NVD. - Privilégios nenhum → alto (
RP:N→PR: H): 10,0 torna-se 9.1. Exigir uma conta de administrador leva quase um ponto inteiro.
O que o número significa
A pontuação básica fica entre 0,0 e 10,0 e se divide em cinco faixas. Essas bandas são convenções: nada distingue inerentemente um 6,9 de um 7,0, exceto um limite definido pela especificação.
| Pontuação | Gravidade | O que isso significa na prática |
|---|---|---|
| 9.0 – 10.0 | Crítico | Compromisso total, muitas vezes sem conta e sem clique. Uma exploração bem-sucedida não deixa nada em pé. |
| 7.0 – 8.9 | Alto | Forte impacto, mas falta uma condição: uma conta, um clique, acesso local. |
| 4.0 – 6.9 | Médio | Impacto parcial ou diversas condições devem ser atendidas. |
| 0.1 – 3.9 | Baixo | Vazamento menor, negação de serviço limitada ou exploração fortemente restrita. |
| 0.0 | Nenhum | Nenhum impacto relatado na confidencialidade, integridade ou disponibilidade. |
Básico, temporal, ambiental: três camadas, apenas uma é sobre você
O pontuação básica descreve a falha conforme publicada. É aquele que todos citam e não muda mais.
O pontuação temporal ajusta-o ao estado do mundo: uma exploração funcional está circulando ou, inversamente, uma correção oficial foi lançada. Em nosso exemplo 9.8, declarar uma correção oficial disponível reduz a pontuação para 9.4.
O pontuação ambiental é o único que fala sobre o seu patrimônio. Ele se baseia em duas alavancas: os requisitos (quanto valem a confidencialidade, a integridade e a disponibilidade naquele seu sistema específico) e as métricas modificadas (o que sua implantação muda em relação à exposição real). Dois exemplos calculados com a ferramenta acima, a partir do mesmo 9.8:
- O serviço só é acessível através de um VPN: Modified Attack Vector definido como Locais → 8.4.
- É um ambiente de teste sem dados reais: os três requisitos definidos para Baixo → 8.0.
O preenchimento desses campos leva dois minutos e é o que transforma uma classificação pública em um argumento que você pode defender diante da administração.
Na prática, na manhã de segunda-feira
A ordem que se mantém numa semana real, da mais para a menos decisiva:
- A falha é explorada hoje? Se estiver em KEV e o produto rodar em seu ambiente, você atende em até 48 horas, seja qual for a pontuação.
- Qual é a probabilidade de ser explorado em 30 dias? Esse é o EPSS. Acima de 0,1, você agenda.
- Quão ruim é o dano, se for? É aqui que entra o CVSS, para quebrar a ligação entre duas falhas igualmente prováveis.
Essa é a ordem que nossa plataforma aplica em seu nome, e a razão pela qual começamos perguntando o que você dirige, não o que você teme. Veja como o monitoramento CVE direcionado é construído.
Fontes
- Especificação CVSS 3.1 — FIRST.org, o documento oficial.
- 3.1 calculadora de referência - para verificar uma pontuação.
- CVSS no NVD — a fonte das pontuações publicadas no CVEs.
Perguntas frequentes
Um CVSS 9.8 deve ser corrigido antes de um 7.5?
Não automaticamente. CVSS mede o que aconteceria se a falha foi explorada, nunca a probabilidade de que o seja. Um 7,5 já listado no Catálogo KEV, e portanto explorado hoje, vem antes de um 9.8 teórico para o qual ninguém publicou uma exploração. A ordem que funciona: exploração confirmada, depois probabilidade de exploração e depois gravidade.
Por que minha pontuação é diferente daquela mostrada pelo NVD?
Três causas, em ordem de frequência. Você não selecionou exatamente o mesmo vetor: compare as duas strings campo por campo. O CVE carrega várias pontuações: o CNA (Autoridade de numeração CVE, a organização que atribui o identificador) e os NVD, que divergem regularmente. Ou você está comparando uma pontuação básica com uma pontuação ambiental.
A pontuação de um CVE pode mudar após a publicação?
Sim, e frequentemente. Um CNA publica um vetor provisório, o NVD o reavalia, o fornecedor às vezes contesta. As métricas temporais também mudam: uma exploração publicada aumenta a maturidade, uma correção oficial reduz a pontuação temporal.
Você deve preencher as métricas ambientais?
É a única camada que fala de você e não da falha, então sim, assim que a decisão comprometer um orçamento ou uma janela de manutenção. Em um serviço acessível apenas por meio de um VPN, alterar o vetor de ataque modificado de rede para local diminui nosso exemplo de 9,8 para 8,4.
O cálculo é feito em seus servidores?
Não. Tudo roda no seu navegador: o vetor que você constrói não é enviado para lugar nenhum. O botão “Copiar link” simplesmente codifica o vetor no endereço da página.
Plano Free, sem cartão
Obtenha apenas o CVEs que afeta seu imóvel.
Declare seus componentes uma vez. Alertamos assim que alguma falha afetar um deles, já priorizado por KEV e EPSS, no canal de sua preferência. O primeiro alerta sai na próxima sincronização.
- Free, sem cartão de crédito
- Construído e hospedado na França
- Exporte seus dados a qualquer momento