Explicació de la puntuació de les vulnerabilitats a Cyberwatch
A Cyberwatch, a les vulnerabilitats se’ls assigna una puntuació que permet definir-ne la gravetat. Les vulnerabilitats tenen associades diverses puntuacions a Cyberwatch:
- la puntuació CVSS V4
- la puntuació CVSS V3
- la puntuació CVSS V2
- la puntuació personalitzada
La puntuació que Cyberwatch utilitza i mostra per defecte és la puntuació CVSS V4, excepte si no n’hi ha, cas en què es fa servir el CVSS V3.
Podeu triar la puntuació que cal mostrar i utilitzar a la secció Administració > Vulnerabilitats.
Puntuacions CVSS
La puntuació CVSS (Common Vulnerability Scoring System) és un sistema d’avaluació internacional que permet avaluar la criticitat de les vulnerabilitats segons criteris objectius i mesurables.
L’avaluació consta de tres mètriques:
- la puntuació base: representa les característiques intrínseques i fonamentals d’una vulnerabilitat, independentment del context temporal i de l’entorn
- la puntuació temporal: representa les característiques temporals d’una vulnerabilitat que poden evolucionar amb el temps (disponibilitat de pedaços, presència d’exploits…)
- la puntuació d’entorn: representa les característiques d’una vulnerabilitat en funció de l’entorn (per exemple, el tipus d’actiu o d’usuari afectat) i de les conseqüències que podrien derivar-se de l’explotació d’aquesta vulnerabilitat
Cadascuna d’aquestes mètriques consta de diversos criteris que influeixen en el càlcul de la puntuació CVSS. Si no hi ha dades que permetin definir els criteris de la puntuació temporal i/o de la puntuació d’entorn, aquests criteris es consideren «No definit». Un criteri «No definit» influeix en la puntuació CVSS de la mateixa manera que si el criteri estigués definit al nivell més alt.
El lloc web del FIRST posa a disposició la calculadora oficial de la puntuació CVSS V3.1 que el NVD utilitza per definir la puntuació de les vulnerabilitats publicades.
CVSS V2
El CVSS V2 és la versió 2 de la puntuació CVSS. Antigament era la puntuació oficial de referència utilitzada mundialment.
CVSS V3
El CVSS V3 és la versió 3 de la puntuació CVSS. És la puntuació oficial de referència que actualment es reconeix i s’utilitza mundialment.
Va substituir la puntuació CVSS V2 com a referència el desembre de 2015. Aquesta nova versió de la puntuació CVSS introdueix diversos canvis en el sistema de puntuació, que permeten, entre altres coses, assignar una nota més precisa a les vulnerabilitats de l’àmbit de les aplicacions web.
CVSS V4
El CVSS V4 és la versió 4 de la puntuació CVSS.
Aquesta nova versió ofereix una fidelitat millorada en l’avaluació de les vulnerabilitats, en particular una distribució més granular de les mesures base per oferir una comprensió i una avaluació matisades de les vulnerabilitats. A més, el CVSS v4 ha introduït una nomenclatura nova per designar les combinacions de mesures base, d’amenaça i d’entorn, així com valors nous de mesures base per a la interacció de l’usuari, que es classifiquen com a passives o actives.
Nivell/Maduresa dels exploits
La facilitat d’ús i el nivell de proves dels exploits depenen generalment de les fonts que recullen aquests exploits. Aquest concepte s’anomena Nivell de l'exploit o Maduresa de l'exploit a Cyberwatch.
Així, a Cyberwatch:
- si no es detecta cap exploit, el nivell de l’exploit es defineix com a
No disponible - si el NVD informa d’un sol exploit i/o es detecta almenys un exploit a GitHub, el nivell de l’exploit es defineix com a
Demostració - si el NVD informa de diversos exploits i/o hi ha almenys un exploit a SecurityFocus o Exploit-DB, el nivell de l’exploit es defineix com a
Funcional - si hi ha almenys un exploit a Metasploit, el nivell de l’exploit es defineix com a
Alt
La maduresa de l’exploit així definida per Cyberwatch s’utilitza per modificar el valor del camp «Exploit Code Maturity» de la puntuació CVSS V3 en lloc del valor «No definit» en aquest cas.
Aquest valor es pot redefinir al menú d’edició d’una CVE.
Puntuació personalitzada
La puntuació personalitzada permet als usuaris redefinir les mètriques base de la puntuació CVSS. Es poden redefinir els vuit criteris següents:
- Vector d’accés
- Complexitat de l’atac
- Privilegis requerits
- Interacció de l’usuari
- Àmbit
- Confidencialitat
- Integritat
- Disponibilitat
La modificació de cadascun d’aquests criteris actualitza la puntuació per continuar sent conforme a les fórmules de càlcul de la puntuació CVSS V3 que proporciona el FIRST. El valor de la puntuació també es pot modificar sense interactuar amb aquests criteris.