Entendendo vulnerabilidades, sem jargões
Quatro siglas são suficientes para fazer a triagem de qualquer alerta de segurança. CVE informa com qual falha você está lidando. CVSS informa quanto dano isso pode causar. EPSS informa a probabilidade de ser explorado. KEV informa se já é. Do mais teórico ao mais certo.
Na sexta-feira à noite você recebe um alerta: “CVSS 9.8, crítico”. Você deveria cancelar seu fim de semana? Esses quatro guias fornecem o que você precisa para decidir em trinta segundos – e para defender essa decisão na reunião de segunda-feira.
Por onde começar: a ordem de leitura
Leia-os nesta ordem. Cada um se baseia no anterior e nenhum leva mais de oito minutos.
- CVE primeiro, porque é o número do qual todo o resto depende. Sem ele, duas ferramentas não podem ter certeza de que significam a mesma falha.
- CVSS a seguir, porque é o número que você verá em todos os lugares - e aquele que é mal interpretado com mais frequência.
- EPSS terceiro, porque corrige o principal ponto fraco do CVSS: gravidade não é probabilidade.
- O KEV por último, porque é o único dos quatro que nada prevê: observa. Depois de entender isso, a priorização se torna simples.
As quatro estruturas, lado a lado
Aqui está a tabela que faz tudo funcionar: essas quatro estruturas não respondem à mesma pergunta, não são publicadas pelas mesmas organizações e não envelhecem no mesmo ritmo.
| Padrão | Pergunta que responde | Tipo de resposta | Quem publica | Mudanças? |
|---|---|---|---|---|
| CVE | De qual falha estamos falando? | Um identificador | O Programa CVE (MITRE), através de cada CNA | Seu status, nunca seu número |
| CVSS | Quanto dano se for explorado? | Uma pontuação de 0 a 10 | FIRST, aplicado pelo NVD e CNAs | Não, para a pontuação base |
| EPSS | Qual é a probabilidade de ser explorado em 30 dias? | Uma probabilidade de 0 a 1 | FIRST | Sim, recalculado diariamente |
| KEV | Está sendo explorado agora? | Um fato observado: sim ou não | CISA | Sim, através de adições sucessivas |
O que você poderá fazer depois
- Leia um vetor CVSS campo por campo e diga em voz alta o que ele descreve.
- Diga ao EPSS pontuação (uma probabilidade) de seu percentil (uma classificação) — a confusão mais comum sobre esta estrutura.
- Explique em uma frase por que um CVE em seu ambiente está à frente de outro.
- Identifique um alerta inutilizável: um CVE sem versão afetada não pode ser comparado a nenhum inventário, por nenhuma ferramenta.
As estruturas em torno do CVEs
Depois de ter os quatro princípios básicos, três taxonomias completam o quadro: CWE nomeia o tipo de defeito por trás da falha, CAPEC descreve como é explorado e CNA são as organizações que atribuem identificadores — e assim, na prática, determinam a qualidade dos seus alertas. Nosso fontes de dados detalhar os feeds que verificamos.