O Fórum de Equipes de Resposta a Incidentes e Segurança (FIRST) lançado oficialmente a versão 4.0 do Sistema Comum de Pontuação de Vulnerabilidades (CVSS). Essa nova versão surge quatro anos após o lançamento do CVSS v3.1. Ela representa uma evolução significativa no padrão para avaliação da gravidade de vulnerabilidades de segurança cibernética. Nesta postagem do blog, exploraremos as principais diferenças entre o CVSS v4.0 e sua versão anterior, destacando como essas mudanças afetam a avaliação e o gerenciamento de vulnerabilidades. 

Entendendo o CVSS

O Sistema Comum de Pontuação de Vulnerabilidades (CVSS) é uma estrutura essencial que oferece uma maneira padronizada de classificar a gravidade das vulnerabilidades de segurança em softwares. Sua principal função é estabelecer um método consistente e objetivo para avaliar o impacto das vulnerabilidades. O CVSS faz isso avaliando os principais atributos de uma vulnerabilidade, incluindo sua explorabilidade, os efeitos sobre a integridade, a disponibilidade e a confidencialidade do sistema, e o nível de privilégios necessários para a exploração. Esses fatores são combinados para gerar uma pontuação numérica que reflete a gravidade da vulnerabilidade. Essa pontuação pode então ser usada para orientar e priorizar os esforços de resposta e mitigação. 

Limitações do CVSS v3.1 

CVSS v3.1 foi lançado em junho de 2019 e teve como foco esclarecer e refinar as orientações da versão 3.0, em vez de introduzir mudanças substanciais no próprio sistema de pontuação. Um de seus principais desafios era a complexidade do sistema de pontuação, que frequentemente levava a interpretações equivocadas por parte dos profissionais de segurança cibernética. Essa complexidade fazia com que diferentes pessoas ou organizações atribuíssem classificações inconsistentes às mesmas falhas de segurança. 

Outro problema significativo foi a incapacidade do sistema de levar plenamente em conta o contexto específico de uma organização. Fatores como o ambiente específico, a infraestrutura ou os impactos específicos de uma vulnerabilidade nem sempre eram adequadamente considerados na pontuação, levando a pontuações que nem sempre se alinhavam aos riscos reais em determinados cenários. O CVSS v3.1 também apresentava dificuldades para pontuar efetivamente certos tipos de vulnerabilidades, particularmente aquelas relacionadas à Tecnologia Operacional (OT) e à dispositivos da Internet das Coisas (IoT) .

Esses desafios destacaram a necessidade de um sistema de pontuação mais adaptável e sensível ao contexto. Para organizações que buscam uma compreensão mais profunda de como as vulnerabilidades são identificadas e pontuadas, também é útil explorar a diferença entre CVE e CVSS. Isso levou ao desenvolvimento do CVSS v4.0, que teve como objetivo superar essas deficiências e fornecer uma avaliação mais abrangente e relevante das vulnerabilidades.

Figura 1: CVSS v3.1 x CVSS v4.0. Crédito a Patrick Garrity

Novidades do CVSS v4.0

CVSS v4.0 não é apenas uma atualização incremental. Trata-se de uma reformulação abrangente, projetada para resolver os desafios e as limitações do CVSS v3.1. Aqui estão as principais atualizações:

• O CVSS v4.0 visa reduzir as inconsistências nas avaliações de vulnerabilidades, que eram comuns nas versões anteriores, nas quais diferentes avaliadores podiam interpretar o impacto de uma vulnerabilidade de maneiras distintas, levando a pontuações variadas. Ao fornecer diretrizes mais claras, a nova versão tem como objetivo eliminar essas ambiguidades, garantindo uma abordagem mais uniforme e consistente na atribuição de pontuação entre os diversos avaliadores.
• O CVSS v4.0 aprimora os detalhes de suas métricas básicas, permitindo uma avaliação mais precisa das vulnerabilidades. Ao contrário do CVSS v3.1, por exemplo, em que uma vulnerabilidade poderia ser simplesmente classificada como “baixa” em termos de explorabilidade, o CVSS v4.0 oferece uma análise mais aprofundada. Ele divide as vulnerabilidades em subcategorias mais específicas, como a complexidade da exploração e o nível de interação do usuário necessário. Essa abordagem resulta em uma avaliação mais matizada e precisa de cada vulnerabilidade.
• Na versão anterior do CVSS, as métricas temporais eram complexas e, muitas vezes, exigiam julgamentos subjetivos quanto à confiabilidade do código de exploração e à credibilidade dos relatórios de vulnerabilidade. No CVSS v4.0, essas métricas, que refletem os aspectos de uma vulnerabilidade que evoluem ao longo do tempo, foram simplificadas. Agora, elas estão agrupadas na categoria “Ameaça”, com foco principal na métrica “Maturidade da Exploração”. Essa reestruturação simplifica o processo de avaliação de vulnerabilidades e reduz a dependência de avaliações subjetivas.
• O CVSS v4.0 adota uma nomenclatura de pontuação clara e explícita que inclui combinações da Pontuação Base (CVSS-B), da Pontuação Base + Ameaça (CVSS-BT), da Pontuação Base + Ambiental (CVSS-BE) e da Pontuação Base + Ameaça + Ambiental (CVSS-BTE). Esse novo sistema resolve o problema de se basear exclusivamente na pontuação base do CVSS para avaliações de risco. Ele ajuda a aumentar a eficácia das avaliações de risco ao levar em consideração requisitos específicos de segurança de diferentes ambientes e a presença de controles compensatórios.
• Na nova versão, o CVSS amplia seu escopo para abranger de forma mais eficaz os ambientes de Tecnologia Operacional (OT), os sistemas de controle industrial e os dispositivos da Internet das Coisas (IoT). Essa ampliação da aplicabilidade se deve, em grande parte, à introdução de uma nova métrica de Segurança. Essa métrica avalia especificamente o impacto potencial sobre a segurança física das pessoas caso uma vulnerabilidade seja explorada, destacando as consequências reais das violações de segurança nesses ambientes.
• O CVSS v4.0 introduz o Novo Grupo de Métricas Complementares, oferecendo uma visão mais aprofundada sobre várias características adicionais de uma vulnerabilidade. Essas características não alteram a pontuação final do CVSS-BTE, mas ainda assim são essenciais para uma avaliação completa. As métricas complementares incluídas são:

• Segurança: Essa métrica avalia o risco potencial à segurança física das pessoas caso a vulnerabilidade seja explorada.
• Automatizável: Avalia a viabilidade de automatizar o processo de exploração da vulnerabilidade em vários alvos.
• Recuperação: Essa métrica se concentra na avaliação da resiliência de um sistema e de sua capacidade de se recuperar após uma exploração.
• Densidade de valor: Mede a importância ou o valor do recurso afetado pela vulnerabilidade.
• Esforço de resposta a vulnerabilidades: Essa métrica estima a quantidade de recursos e esforço necessários para tratar e corrigir a vulnerabilidade.
• Urgência do fornecedor: Isso inclui uma avaliação adicional fornecida pelo fornecedor, com foco na urgência necessária para corrigir a vulnerabilidade.

A versão mais recente da estrutura CVSS destaca a importância de uma avaliação abrangente que vá além dos indicadores básicos. Ela enfatiza a necessidade de integrar métricas tanto de ameaças quanto contextuais, que são essenciais para avaliar com precisão a probabilidade de uma vulnerabilidade ser explorada e compreender a extensão de seu impacto potencial em um determinado ambiente. Para determinar com precisão a gravidade de uma vulnerabilidade em cada cenário específico, recomenda-se considerar todas as métricas relevantes.

Implicações para o setor

Prevê-se que o CVSS v.4.0 tenha um impacto significativo sobre os profissionais de segurança cibernética, ao abordar questões-chave e limitações identificadas na versão atual, a 3.1. Com maior clareza, flexibilidade e uma representação mais precisa dos riscos do mundo real, o CVSS v.4.0 foi projetado para ajudar as organizações a priorizar vulnerabilidades e alocar recursos de mitigação de forma mais eficaz. No entanto, é importante observar que a adaptação a esse novo padrão pode exigir tempo e recursos para ajustar os sistemas e treinar a equipe.

Saiba mais sobre o Sistema Comum de Pontuação de Vulnerabilidades (CVSS) no episódio 3 da série “LinuxTalk com TuxCare” no YouTube

Resumo

Nome do artigo

Dominando o CVSS v4.0: Guia essencial para profissionais de segurança cibernética

Descrição

Descubra as principais atualizações do CVSS v4.0 para uma maior segurança cibernética. Conheça as novas métricas, os impactos na OT/IoT e saiba como se adaptar a essa mudança.

Autor

Artem Karasev

Nome da editora

TuxCare

Logotipo da editora