Amenaza, entorno y contexto de negocio

El grupo de amenaza tiene una sola métrica en la 4.0: la madurez del exploit (E). Vale A si hay ataques conocidos o herramientas que facilitan aprovechar el fallo, P si existe código demostrativo pero no ataques conocidos, U si no hay ni lo uno ni lo otro, y X si no se define.

La especificación parte de un peor caso razonable: una métrica que no se define cuenta con su valor más grave. Por eso la amenaza solo puede dejar el número igual o bajarlo, y solo lo baja cuando alguien aporta información. En un hallazgo de código propio, esa información suele salir de los registros de la propia aplicación. Abre el laboratorio y lee amenaza.txt.

La calculadora da cuatro columnas por hallazgo: solo base (B), base y amenaza (BT), base y entorno (BE) y las tres juntas (BTE). Comparar B con BT aísla lo que mueve la amenaza, sin tocar nada más. Cuando no hay código ni ataques conocidos la caída puede ser grande; eso no rebaja el fallo, que sigue en el código: dice cuánto del número base era suposición sobre el exploit.

El grupo de entorno tiene dos familias. Los requisitos de seguridad (CR, IR y AR) dicen cuánto importan la confidencialidad, la integridad y la disponibilidad de ese activo para el negocio: alto, medio o bajo; sin definir cuenta como alto. Las métricas modificadas sustituyen una métrica base cuando la empresa sabe algo propio de su despliegue, como que un servicio solo se alcanza desde la red local.

Los requisitos no los decide quien puntúa: salen del inventario de activos que aprobó el negocio. Un fallo en un listado público sin datos sensibles y otro en el corazón de los pagos no pesan lo mismo, aunque tengan el mismo vector. Compara la columna B con la BTE y pasa cada número por la escala.

Todo número CVSS 4.0 se publica con una etiqueta que dice qué grupos de métricas se usaron: CVSS-B, BT, BE o BTE. La T va si se usó cualquier métrica de amenaza y la E si se usó cualquiera de entorno. La etiqueta se decide por el vector con el que se calculó, no por el valor: dos columnas pueden dar el mismo número y aun así responder a preguntas distintas.

Lee el borrador del informe: cada fila trae el número, la etiqueta que le pusieron y el vector con el que se calculó.

El contexto sirve para acercar el número a la realidad, y por eso se puede usar mal en las dos direcciones: subir requisitos para que un hallazgo propio parezca más urgente, o bajarlos para que el informe se vea mejor ante una junta. Las dos cosas rompen lo mismo: un número que ya no se puede defender con la evidencia. Lee la propuesta que aparece al final del borrador.