Del vector al número, con MacroVectores

El primer paso del cálculo clasifica el vector en seis ecuaciones de equivalencia. Cada una mira un grupo de métricas y devuelve un nivel, donde 0 es el más grave: EQ1 mira AV, PR y UI; EQ2, AC y AT; EQ3, VC, VI y VA; EQ4, SC, SI y SA; EQ5, la madurez del exploit; y EQ6, la importancia del activo cruzada con el impacto. Pegadas en ese orden, las seis cifras forman el MacroVector.

Hay dos reglas de partida que conviene recordar. Si no se informa la amenaza, EQ5 se calcula como si el exploit estuviera siendo usado (el peor caso). Y si no se informan los requisitos de seguridad, EQ6 se calcula como si fueran altos. Con la tabla ecuaciones delante, aplica las reglas a un hallazgo con un vector base sin más datos.

Cada MacroVector tiene una puntuación fijada por la tabla de búsqueda de la implementación de referencia de FIRST, publicada con licencia BSD-2-Clause. Esa cifra es la del vector de mayor severidad de la clase. Los demás vectores de la misma clase puntúan igual o menos.

La tabla completa tiene 270 filas; el laboratorio trae las que usa esta sala. Con el MacroVector que acabas de calcular, busca su cifra.

Dentro de una clase, el vector se ajusta restando a la cifra de la clase un descuento proporcional a cuánto se aleja del vector más grave. El descuento se calcula comparando cada ecuación con la clase inmediatamente inferior y promediando; el resultado se redondea a un decimal. Por eso hay hallazgos cuya puntuación final coincide con la de su clase —son el vector más grave de ella— y otros que quedan por debajo. Dos hallazgos distintos pueden compartir clase y no puntuar igual, y no hace falta repetir el cálculo a mano para ver cuáles son cuáles: basta comparar la puntuación final con la de la clase.

Atención: coincidir con otra cifra de la tabla no basta. Hay que comparar contra la clase correcta, la de ese hallazgo.

La amenaza entra en el cálculo por la ecuación EQ5, y eso se ve con claridad en la tabla: cambiar solo el valor de E mueve únicamente la quinta cifra del MacroVector. Para GS-105 no, pero para GS-101 sí hay datos en el laboratorio: su MacroVector con el exploit en uso, con prueba de concepto y sin exploit conocido.

Medir cuánto vale esa diferencia en la propia tabla enseña dos cosas: que la amenaza pesa lo suficiente como para bajar un hallazgo de nivel, y que el cálculo parte de un peor caso del que solo se aleja cuando alguien aporta inteligencia de amenazas.

La 3.1 eligió pesos para cada métrica y una fórmula que los combina; después se ajustaron los parámetros para que las combinaciones cayeran en la gravedad esperada, y ese ajuste dejó desviaciones conocidas. La 4.0 parte de otro lado: agrupa los vectores en clases de gravedad comparable, pide a personas expertas que ordenen esas clases y fija la puntuación de cada una. La puntuación de un vector concreto se obtiene después por interpolación dentro de su clase.

El resultado es que el número 4.0 no sale de multiplicar pesos. Sale de qué clase te toca, y esa clase la decidió un orden de expertos.