O (Common Vulnerability Scoring System) define uma escala qualitativa para que um score numérico possa ser expresso em palavras. As faixas são fixas:
- Nenhuma (None): 0.0
- Baixa (Low): 0.1 a 3.9
- Média (Medium): 4.0 a 6.9
- Alta (High): 7.0 a 8.9
- Crítica (Critical): 9.0 a 10.0
Esses limites fazem parte da especificação; por isso, um score de 6.9 cai na faixa Média e um de 7.0 cai na Alta, mesmo sendo praticamente o mesmo número. Vale lembrar desse corte seco quando um score estiver perto de um limite.
Severidade não é risco
O mais importante para entender o score Base do CVSS é saber o que ele deixa de fora de propósito. O Base mede a severidade intrínseca de uma falha, partindo de um cenário de pior caso razoável. Ele não mede o seu risco. Em especial, o score Base não sabe nada sobre:
- Exploração no mundo real (in the wild). Saber se existe um exploit, ou se ele está sendo usado ativamente, é uma questão da métrica Temporal ou de inteligência de ameaças. Uma iniciativa separada da FIRST.org (Forum of Incident Response and Security Teams), o (Exploit Prediction Scoring System), estima a probabilidade de exploração e é uma entrada melhor para essa dimensão.
- Valor do ativo. Uma falha Crítica numa máquina de teste descartável e a mesma falha num sistema de pagamentos têm o mesmo número Base. Só o score Ambiental (Environmental), ou o contexto dos seus próprios ativos, diferencia as duas.
- Controles compensatórios. Uma mitigação só de rede, uma regra de (web application firewall) ou o fato de o serviço não ser acessível pela internet não mudam em nada o Base.
Como usar bem as faixas
As faixas servem bem para uma triagem por alto e para a comunicação, e uma falha Crítica merece mesmo atenção. Mas ordenar o backlog só pelo score Base, do maior para o menor, vai levar você a falhas acessíveis, porém inofensivas, antes das falhas discretas e de alto valor. Uma ordem mais fácil de defender combina a severidade Base com a probabilidade de exploração (por exemplo, o EPSS ou os catálogos de vulnerabilidades sabidamente exploradas) e com o valor dos seus ativos e os seus controles, que é exatamente o que as métricas Temporal e Ambiental existem para capturar. O número Base é onde a priorização começa, não onde ela termina.
O que as faixas fazem com uma política de patches
Uma regra como "todas as Críticas em sete dias" transforma uma escala de severidade num prazo, e a escala nunca foi feita para isso. Daí vêm duas consequências, e as duas aparecem em qualquer parque grande.
Um 9.0 num sistema que ninguém consegue alcançar de lugar nenhum não é mais urgente do que um 7.5 na sua porta de entrada pública, mas a política diz que é, e aí o trabalho vai primeiro para o lugar errado.
E o corte seco entre as faixas vira instrumento de pressão. Quando 6.9 significa "próximo trimestre" e 7.0 significa "esta semana", a discussão deixa de ser sobre a falha e passa a ser sobre as métricas que geram o número.
A correção prática não é uma escala melhor. É uma segunda entrada: saber se a falha está de fato sendo explorada. O catálogo Known Exploited Vulnerabilities da CISA existe justamente porque alguém está usando isto hoje? responde a uma pergunta diferente de quão grave isso seria?.