Leer CVSS sin dejarse engañar

CVSS es un estándar abierto de FIRST que describe una vulnerabilidad con una serie de métricas y las resume en un puntaje de 0.0 a 10.0. La guía oficial es explícita: el puntaje base mide la severidad de la vulnerabilidad y no debe usarse solo para evaluar el riesgo. La severidad habla de la vulnerabilidad en sí (qué tan fácil se aprovecha y qué daño puede hacer en el peor caso). El riesgo mezcla eso con la probabilidad de que alguien lo intente, con lo que vale el activo y con los controles que ya tienes.

La versión 3.1 divide el puntaje en rangos con nombre: Baja de 0.1 a 3.9, Media de 4.0 a 6.9, Alta de 7.0 a 8.9 y Crítica de 9.0 a 10.0.

Detrás del puntaje está el vector, una línea con las métricas que lo producen. Se lee de izquierda a derecha: AV es el vector de ataque (N red, A red adyacente, L local, P físico), AC la complejidad, PR los privilegios que hacen falta (N ninguno, L bajos, H altos), UI si necesita que un usuario haga algo, S el alcance (U sin cambio, C cambiado) y C, I, A el efecto sobre confidencialidad, integridad y disponibilidad.

Dos números iguales pueden ser vulnerabilidades muy distintas, y la diferencia está en el vector. Ejecuta hallazgos | where severidad == "Crítica": hay dos. Fíjate en la métrica PR de cada una: qué tan cerca está de un atacante sin cuenta alguna.

CVSS tiene varios grupos de métricas. El Base describe la vulnerabilidad y casi nunca cambia. En la versión 3.1 hay además un grupo Temporal (cambia con el tiempo, por ejemplo con la madurez del código de explotación) y uno Ambiental, que es el que pones tú: el entorno de tu empresa. La versión 4.0 reorganiza esto: añade un grupo de Amenaza, mantiene el Ambiental y propone nombres como CVSS-B (solo base), CVSS-BT (base y amenaza) o CVSS-BTE (los tres) para que se vea qué se usó.

En el grupo Ambiental están los requisitos de seguridad (CR, IR, AR): cuánto importan para tu empresa la confidencialidad, la integridad y la disponibilidad del activo, con valores Bajo, Medio o Alto. Es el sitio de CVSS donde la criticidad del activo de la sala anterior entra al puntaje.

Muchos informes y muchas políticas usan el rango Alto (7.0 o más) como línea para exigir acción. Para un analista es útil saber cuántas filas la cruzan, y también desconfiar de la línea: una vulnerabilidad de 6.9 en un servidor expuesto y una de 7.1 en una máquina aislada no son comparables.

Ejecuta hallazgos | where puntaje >= 7.0 | count.

Una vulnerabilidad con 9.8 en una máquina de pruebas sin conexión a internet y otra con 6.5 en un servidor expuesto, con datos de clientes y con explotación activa observada, no tienen el mismo orden de atención solo porque los números lo digan. El número es un dato de entrada; la decisión usa además la exposición, la criticidad del activo y la evidencia de explotación (que verás en la siguiente sala).