Sistema de Puntuación de Vulnerabilidades Comunes
El Sistema de Puntuación de Vulnerabilidades Comunes o Common Vulnerability Scoring System (CVSS, por sus siglas en inglés) es un estándar de la industria, libre y abierto, para evaluar la gravedad de las vulnerabilidades en los sistemas informáticos. CVSS intenta asignar puntuaciones de gravedad a las vulnerabilidades, permitiendo a los respondedores priorizar respuestas y recursos según la amenaza. Las puntuaciones se calculan basándose en una fórmula que depende de varios parámetros que aproximan la facilidad y el impacto de un exploit. Las puntuaciones varían de 0 a 10, siendo 10 la más grave. Aunque muchos solo utilizan la puntuación base de CVSS para determinar la gravedad, también existen puntuaciones temporales y ambientales, que consideran la disponibilidad de mitigaciones y cuán extendidos están los sistemas vulnerables dentro de una organización, respectivamente.
La versión actual de CVSS (CVSSv4.0) se lanzó en noviembre de 2023.[1]
Versión 2.0[editar]
La documentación completa de CVSSv2 está disponible en FIRST.[2] A continuación se proporciona un resumen.
Métricas base[editar]
Vector de Acceso[editar]
El vector de acceso (AV) muestra cómo puede ser explotada una vulnerabilidad.
Complejidad de Acceso[editar]
La métrica de complejidad de acceso (AC) describe cuán fácil o difícil es explotar la vulnerabilidad descubierta.
Autenticación[editar]
La métrica de autenticación (Au) describe el número de veces que un atacante debe autenticarse en un objetivo para explotarlo. No incluye, por ejemplo, la autenticación en una red para obtener acceso. Para las vulnerabilidades explotables localmente, este valor solo debe establecerse en Única o Múltiple si se requiere una autenticación adicional después del acceso inicial.
Métricas de Impacto[editar]
Confidencialidad[editar]
La métrica de confidencialidad (C) describe el impacto en la confidencialidad de los datos procesados por el sistema.
Integridad[editar]
La métrica de integridad (I) describe el impacto en la integridad del sistema explotado.
Disponibilidad[editar]
La métrica de disponibilidad (A) describe el impacto en la disponibilidad del sistema objetivo. Los ataques que consumen ancho de banda de red, ciclos de procesador, memoria u otros recursos afectan la disponibilidad de un sistema.
Versión 4.0[editar]
En junio de 2023, se lanzó una vista previa pública de CVSSv4.0, que trajo una serie de mejoras. La versión 4.0 se lanzó oficialmente en noviembre de 2023.[1]
Adopción[editar]
Las versiones de CVSS han sido adoptadas como el método principal para cuantificar la gravedad de las vulnerabilidades por una amplia gama de organizaciones y empresas, incluyendo:
- La Base de Datos Nacional de Vulnerabilidades (NVD).[3]
- La Base de Datos de Vulnerabilidades de Código Abierto (OSVDB).
- El Centro de Coordinación CERT, que en particular utiliza las métricas Base, Temporal y Ambiental de CVSSv2.
Véase también[editar]
Referencias[editar]
- ↑ a b «FIRST has officially published the latest version of the Common Vulnerability Scoring System (CVSS v4.0)». FIRST — Forum of Incident Response and Security Teams. Consultado el 18 de mayo de 2024.
- ↑ «CVSS v2 Complete Documentation». FIRST — Forum of Incident Response and Security Teams. Consultado el 18 de mayo de 2024.
- ↑ «NVD - Home». nvd.nist.gov. Consultado el 18 de mayo de 2024.