CVE x CVSS: uma explicação sobre vulnerabilidades, gravidade e pontuação

Principais conclusões

• O CVE fornece identificadores exclusivos para vulnerabilidades, facilitando o rastreamento e a comunicação entre plataformas.
• O CVSS atribui pontuações numéricas às vulnerabilidades, auxiliando na priorização com base na gravidade.
• Juntos, o CVE e o CVSS permitem que os administradores do Linux identifiquem, avaliem e mitiguem riscos de maneira eficaz.

Desde usuários individuais até grandes organizações, o risco de ataques cibernéticos está sempre presente. Para mitigar esses riscos de forma eficaz, é fundamental compreender os conceitos básicos do CVE e do CVSS.

CVE significa “Common Vulnerabilities and Exposures” (Vulnerabilidades e Exposições Comuns). Em termos simples, trata-se de uma vulnerabilidade de segurança divulgada publicamente em um software específico. Já o CVSS, ou Sistema Comum de Pontuação de Vulnerabilidades, é uma estrutura padronizada para avaliar a gravidade de uma vulnerabilidade.

Este artigo compara o CVE e o CVSS, explicando o que são e como ajudam no gerenciamento de vulnerabilidades.

O que é um CVE?

Um Common Vulnerability and Exposure (CVE) é um identificador único atribuído a vulnerabilidades de software conhecidas publicamente. Esse sistema de nomenclatura ajuda pesquisadores de segurança, fornecedores e administradores de sistema a consultar e rastrear facilmente vulnerabilidades específicas. O sistema CVE teve origem na MITRE em 1999, com o lançamento da lista CVE, que continha apenas 321 registros.

Avançando para 2024, mais de 40.000 novas vulnerabilidades foram divulgadas em um único ano — uma trajetória de crescimento impressionante que destaca o papel fundamental que os CVEs desempenham no gerenciamento de vulnerabilidades.

Sem um sistema padronizado de identificação, torna-se quase impossível distingui-las e rastreá-las de forma eficaz. No entanto, é importante observar que nem todas as vulnerabilidades têm CVEs atribuídos.

Quem atribui os CVEs e como?

Os CVEs são atribuídos pelas Autoridades de Numeração de CVE (CNAs), um grupo responsável por coordenar a atribuição de identificadores exclusivos a vulnerabilidades de conhecimento público. As CNAs trabalham em estreita colaboração com pesquisadores de segurança, fornecedores e outras partes interessadas para identificar e documentar vulnerabilidades.

Um identificador CVE é uma sequência de texto exclusiva no formato CVE-Ano-Número. Por exemplo, CVE-2014-0160 refere-se à famosa vulnerabilidade Heartbleed. O “2014” indica o ano em que o CVE foi divulgado, enquanto “0160” é o número exclusivo atribuído à vulnerabilidade naquele ano. Esses números são reiniciados a cada ano.

Uma entrada no CVE pode ser atribuída, mas não divulgada imediatamente. Esse atraso costuma ser intencional, dando tempo ao fornecedor original ou ao desenvolvedor do software para lançar uma correção. Quando as informações do CVE são tornadas públicas, o patch ou a medida de mitigação geralmente já está pronto para ser implantado, reduzindo o risco para os usuários finais.

O que é o CVSS?

O Sistema Comum de Pontuação de Vulnerabilidades (CVSS) é uma estrutura padronizada para avaliar a gravidade das vulnerabilidades. Administrado pelo Fórum de Equipes de Resposta a Incidentes e Segurança (FIRST), o CVSS atribui uma pontuação numérica a uma vulnerabilidade, indicando sua gravidade.

Isso ajuda as organizações a priorizar as vulnerabilidades com base em suas pontuações CVSS e a se concentrar em resolver primeiro as ameaças mais críticas.

O Sistema de Pontuação CVSS

As pontuações CVSS variam de 0,0 a 10,0, sendo que pontuações mais altas indicam vulnerabilidades mais graves.

Essas pontuações costumam ser exibidas junto com as entradas do CVE em bancos de dados como o NVD, oferecendo uma visão rápida do nível de risco.

O Banco de Dados Nacional de Vulnerabilidades (NVD) é um repositório patrocinado pelo governo dos Estados Unidos que fornece informações detalhadas sobre vulnerabilidades conhecidas publicamente. Ele inclui descrições de CVEs, suas vulnerabilidades associadas e possíveis formas de exploração.

O CVSS utiliza três grupos principais de métricas para calcular a pontuação final:

Pontuação básica

Essa pontuação representa as propriedades inerentes a uma vulnerabilidade que se mantêm consistentes ao longo do tempo e em diferentes ambientes. Ela inclui fatores como a complexidade do ataque, os privilégios necessários, a interação do usuário e o impacto potencial.

Pontuação temporal

Essa pontuação leva em consideração fatores que podem mudar ao longo do tempo, como a disponibilidade de patches, a maturidade do código de exploração e a métrica de confiança do relatório.

Pontuação Ambiental

Essa pontuação reflete as características específicas do ambiente em questão, tais como a presença de controles de segurança, o valor dos ativos afetados e o impacto potencial sobre as metas da organização.

CVE x CVSS x NVD: Qual é a diferença?

A esta altura, você já sabe o que significam CVE, CVSS e NVD. Aqui está uma rápida comparação lado a lado para mostrar como eles se relacionam, quem os gerencia e como atuam em conjunto na gestão de vulnerabilidades.

A importância das versões do CVSS

O Sistema Comum de Pontuação de Vulnerabilidades (CVSS) possui várias versões, sendo a mais recente a CVSS 4.0. Ao contrário do CVSS v2.0 e do CVSS v3.x, ele é composto por quatro grupos de métricas: Base, Ameaça, Ambiental e Complementar.

Essas versões evoluíram ao longo do tempo para aprimorar a precisão e a consistência da pontuação de vulnerabilidades. Portanto, a versão do CVSS utilizada para avaliar a vulnerabilidade pode influenciar significativamente a pontuação atribuída a ela.

Por exemplo, uma vulnerabilidade pode receber uma classificação de gravidade “Alta” no CVSS 3.0, mas apenas uma classificação “Média” no CVSS 2.0. Por esse motivo, é importante especificar a versão do CVSS sempre que uma pontuação for mencionada; caso contrário, será impossível interpretá-la corretamente.

As versões mais recentes do CVSS visam reduzir a subjetividade na pontuação, aprimorando a metodologia de cálculo e introduzindo diretrizes mais claras. No entanto, ainda pode haver certo grau de subjetividade na pontuação do CVSS. Os analistas de segurança podem atribuir pesos diferentes aos fatores que contribuem para uma pontuação CVSS, o que pode levar a diferenças na pontuação final entre os registros de CVE.

Como priorizar CVEs para a aplicação de patches

Nem todas as vulnerabilidades (CVEs) exigem correção imediata — mas algumas exigem, e deixar de corrigi-las pode custar caro.

Utilize uma combinação de pontuações CVSS e do nível de criticidade dos ativos para classificar a urgência da aplicação de patches.

Vulnerabilidades críticas em sistemas de alto impacto devem ser corrigidas em até 24 horas. Por outro lado, problemas de baixa gravidade em sistemas de menor impacto podem ser resolvidos durante os ciclos rotineiros de atualização.

Por que o CVE e o CVSS são importantes para os administradores de Linux

Os sistemas operacionais Linux são amplamente utilizados em ambientes corporativos de Linux, o que os torna alvos atraentes para invasores.

Para administradores de Linux e equipes de segurança, o CVE e o CVSS desempenham um papel crucial na identificação e avaliação de vulnerabilidades.

Ao combinar os IDs do CVE e as pontuações do CVSS, eles podem efetivamente priorizar e resolver as vulnerabilidades mais críticas.

Isso não apenas otimiza o gerenciamento eficiente de vulnerabilidades, mas também simplifica o cumprimento das normas regulatórias e de segurança.

No entanto, mesmo com o acompanhamento do CVE e a priorização do CVSS, um dos maiores desafios para os administradores do Linux é aplicar patches prontamente sem interromper as operações.

Os métodos tradicionais de aplicação de patches geralmente exigem a reinicialização do sistema, o que resulta em tempo de inatividade e interrupções no serviço. A aplicação de patches em tempo real resolve esse desafio, permitindo a implantação de patches no kernel sem a necessidade de reinicializar o sistema.

O KernelCare Enterprise, da TuxCare, oferece aplicação automatizada de patches em tempo real para distribuições Linux, permitindo que você aplique atualizações de segurança imediatamente, sem a necessidade de reinicialização.

Ao eliminar o tempo de inatividade, o KernelCare reduz significativamente o período de exposição à vulnerabilidade e resolve as principais preocupações operacionais, ao mesmo tempo em que aprimora a segurança e a conformidade.

Considerações finais sobre CVSS x CVE e como se manter seguro

Os CVEs oferecem um método padronizado para identificar e acompanhar riscos de segurança, enquanto o CVSS fornece uma classificação numérica clara para avaliar a gravidade dessas vulnerabilidades. A transparência e as informações úteis derivadas dos códigos CVE e das pontuações do CVSS são inestimáveis, proporcionando aos administradores do Linux as informações necessárias para agir com rapidez e confiança na manutenção da segurança e da conformidade do sistema.

Quer corrigir falhas críticas de segurança sem tempo de inatividade? Proteja seus sistemas com as correções sem reinicialização do KernelCare.

Resumo

Nome do artigo

CVE x CVSS: uma explicação sobre vulnerabilidades, gravidade e pontuação

Descrição

Aprenda a diferença entre CVE, CVSS e NVD. Entenda como as vulnerabilidades são pontuadas, como priorizar correções e como os administradores de Linux podem usar os dados do CVE para reduzir riscos.

Autor

Rohan Timalsina

Nome da editora

TuxCare

Logotipo da editora