El Foro de Equipos de Respuesta a Incidentes y Seguridad (FIRST) ha publicado oficialmente versión 4.0 del Sistema Común de Puntuación de Vulnerabilidades (CVSS). Esta nueva versión llega cuatro años después del lanzamiento de CVSS v3.1. Marca una evolución significativa en el estándar para evaluar la gravedad de las vulnerabilidades de ciberseguridad. En esta entrada de blog, exploraremos las diferencias clave entre CVSS v4.0 y su predecesor, destacando cómo estos cambios afectan a la evaluación y gestión de vulnerabilidades.

Conocimiento de CVSS

El Sistema Común de Puntuación de Vulnerabilidades es un marco esencial que proporciona una forma estandarizada de calificar la gravedad de las vulnerabilidades de seguridad en el software. Su función principal es establecer un método coherente y objetivo para evaluar el impacto de las vulnerabilidades. El CVSS lo hace evaluando los principales atributos de una vulnerabilidad, incluida su explotabilidad, los efectos sobre la integridad, disponibilidad y confidencialidad del sistema y el nivel de privilegios necesarios para su explotación. Estos factores se combinan para generar una puntuación numérica que refleja la gravedad de la vulnerabilidad. Esta puntuación puede utilizarse para orientar y priorizar los esfuerzos de respuesta y mitigación.

Limitaciones de CVSS v3.1 

CVSS v3.1 se publicó en junio de 2019 y se centró en aclarar y refinar la orientación de la versión 3.0 en lugar de introducir cambios sustanciales en el propio sistema de puntuación. Uno de sus principales desafíos era la complejidad del sistema de puntuación, que a menudo conducía a malas interpretaciones por parte de los profesionales de la ciberseguridad. Esta complejidad daba lugar a que distintas personas u organizaciones otorgaran puntuaciones incoherentes a los mismos problemas de seguridad.

Otro problema importante era la incapacidad del sistema para tener plenamente en cuenta el contexto específico de una organización. Factores como el entorno único, la infraestructura o los impactos específicos de una vulnerabilidad no siempre se consideraban adecuadamente en la puntuación, lo que llevaba a puntuaciones que no siempre se alineaban con los riesgos reales en determinados escenarios. CVSS v3.1 también tuvo problemas para puntuar eficazmente determinados tipos de vulnerabilidades, en particular las relacionadas con la tecnología operativa (OT) y el Internet de las cosas (IoT) (IoT).

Estos retos pusieron de manifiesto la necesidad de un sistema de puntuación más adaptable y sensible al contexto. Para las organizaciones que buscan una comprensión más profunda de cómo se identifican y puntúan las vulnerabilidades, también es útil explorar la diferencia entre CVE y CVSS. Esto llevó al desarrollo de CVSS v4.0, cuyo objetivo era superar estas deficiencias y proporcionar una evaluación más completa y relevante de las vulnerabilidades.

Figura 1 CVSS v3.1 frente a CVSS v4.0. Créditos Patrick Garrity

Novedades de CVSS v4.0

CVSS v4.0 no es sólo una actualización incremental. Se trata de una revisión exhaustiva diseñada para abordar los retos y limitaciones de CVSS v3.1. Estas son las principales actualizaciones:

• CVSS v4.0 pretende reducir las incoherencias en las evaluaciones de vulnerabilidades, que eran habituales en versiones anteriores, en las que distintos evaluadores podían interpretar el impacto de una vulnerabilidad de forma diferente, lo que daba lugar a puntuaciones dispares. Al proporcionar directrices más claras, la nueva versión pretende eliminar estas ambigüedades, garantizando un enfoque más uniforme y coherente de la puntuación entre los distintos evaluadores.
• CVSS v4.0 mejora el nivel de detalle de sus métricas básicas, lo que permite una evaluación más precisa de las vulnerabilidades. A diferencia de CVSS v3.1, por ejemplo, en la que una vulnerabilidad podía clasificarse simplemente como de «bajo» nivel de explotabilidad, CVSS v4.0 ofrece un análisis más profundo. Desglosa las vulnerabilidades en subcategorías más específicas, como la complejidad del exploit y el nivel de interacción del usuario necesario. Este enfoque da lugar a una evaluación más matizada y precisa de cada vulnerabilidad.
• En la versión anterior de CVSS, las métricas temporales eran complejas y a menudo requerían juicios subjetivos sobre la fiabilidad del código de explotación y la confianza en los informes sobre vulnerabilidades. En CVSS v4.0, estas métricas, que reflejan los aspectos de una vulnerabilidad que evolucionan con el tiempo, se han simplificado. Ahora se agrupan en la categoría Amenaza, centrándose principalmente en la métrica Madurez de explotación. Esta reestructuración simplifica el proceso de evaluación de vulnerabilidades y reduce la dependencia de evaluaciones subjetivas.
• CVSS v4.0 adopta una nomenclatura de puntuación clara y explícita que incluye combinaciones de puntuación base (CVSS-B), puntuación base + amenaza (CVSS-BT), puntuación base + ambiental (CVSS-BE) y puntuación base + amenaza + ambiental (CVSS-BTE). Este nuevo sistema aborda el problema de depender únicamente de la puntuación base CVSS para las evaluaciones de riesgos. Ayuda a mejorar la eficacia de las evaluaciones de riesgos al tener en cuenta los requisitos de seguridad específicos de los distintos entornos y la presencia de controles compensatorios.
• En la nueva versión, CVSS amplía su ámbito de aplicación para cubrir con mayor eficacia los entornos de tecnología operativa (OT), los sistemas de control industrial y los dispositivos del Internet de las cosas (IoT). Esta ampliación de la aplicabilidad se debe en gran medida a la introducción de una nueva métrica de Seguridad. Esta métrica evalúa específicamente el impacto potencial en la seguridad física humana si se explota una vulnerabilidad, destacando las consecuencias en el mundo real de las brechas de seguridad en estos entornos.
• CVSS v4.0 introduce el Nuevo Grupo de Métricas Suplementarias, que ofrece una visión más profunda de varias características adicionales de una vulnerabilidad. Estas características no alteran la puntuación final CVSS-BTE, pero siguen siendo vitales para una evaluación completa. Las métricas suplementarias incluidas son:

• Seguridad: Esta métrica evalúa el riesgo potencial para la seguridad física humana si se explota la vulnerabilidad.
• Automatizable: Evalúa la viabilidad de automatizar el proceso de explotación de la vulnerabilidad en múltiples objetivos.
• Recuperación: Esta métrica se centra en evaluar la resistencia de un sistema y su capacidad de recuperación tras la explotación.
• Valor Densidad: Mide la importancia o el valor del recurso afectado por la vulnerabilidad.
• Esfuerzo de respuesta a la vulnerabilidad: Esta métrica estima la cantidad de recursos y esfuerzos necesarios para abordar y remediar la vulnerabilidad.
• Proveedor Urgencia: Incluye una evaluación adicional proporcionada por el proveedor, centrada en la urgencia de abordar la vulnerabilidad.

La última versión del marco CVSS destaca la importancia de una evaluación exhaustiva que vaya más allá de los indicadores básicos. Enfatiza la necesidad de integrar tanto la amenaza como las métricas contextuales, que son vitales para evaluar con precisión la probabilidad de que una vulnerabilidad sea explotada y comprender el alcance de su impacto potencial en un entorno particular. Para determinar con precisión la gravedad de una vulnerabilidad en cada escenario único, se recomienda tener en cuenta todas las métricas pertinentes.

Implicaciones para la industria

Se prevé que CVSS v.4.0 influya significativamente en los profesionales de la ciberseguridad al abordar los principales problemas y limitaciones encontrados en la actual versión 3.1. Con su mayor claridad, flexibilidad y representación más precisa de los riesgos del mundo real, CVSS v.4.0 está diseñado para ayudar a las organizaciones a priorizar con mayor eficacia las vulnerabilidades y asignar recursos de mitigación. Sin embargo, es importante tener en cuenta que la adaptación a esta nueva norma puede requerir tiempo y recursos para ajustar los sistemas y formar al personal.

Más información sobre el sistema de puntuación de vulnerabilidades comunes (CVSS) en el EP3 de LinuxTalk with TuxCare Youtube Serie

Resumen

Nombre del artículo

Dominio de CVSS v4.0: Guía esencial para profesionales de la ciberseguridad

Descripción

Descubra las actualizaciones clave de CVSS v4.0 para mejorar la ciberseguridad. Conozca las nuevas métricas, el impacto de OT/IoT y cómo adaptarse a este cambio.

Autor

Artem Karasev

Nombre del editor

TuxCare

Logotipo de la editorial