|
Sistema de Puntuación de Vulnerabilidades Comunes El Sistema de Puntuación de Vulnerabilidades Comunes o Common Vulnerability Scoring System (CVSS, por sus siglas en inglés) es un estándar de la industria, libre y abierto, para evaluar la gravedad de las vulnerabilidades en los sistemas informáticos. CVSS intenta asignar puntuaciones de gravedad a las vulnerabilidades, permitiendo a los respondedores priorizar respuestas y recursos según la amenaza. Las puntuaciones se calculan basándose en una fórmula que depende de varios parámetros que aproximan la facilidad y el impacto de un exploit. Las puntuaciones varían de 0 a 10, siendo 10 la más grave. Aunque muchos solo utilizan la puntuación base de CVSS para determinar la gravedad, también existen puntuaciones temporales y ambientales, que consideran la disponibilidad de mitigaciones y cuán extendidos están los sistemas vulnerables dentro de una organización, respectivamente. La versión actual de CVSS (CVSSv4.0) se lanzó en noviembre de 2023.[1] Versión 2.0La documentación completa de CVSSv2 está disponible en FIRST.[2] A continuación se proporciona un resumen. Métricas baseVector de AccesoEl vector de acceso (AV) muestra cómo puede ser explotada una vulnerabilidad. Complejidad de AccesoLa métrica de complejidad de acceso (AC) describe cuán fácil o difícil es explotar la vulnerabilidad descubierta. AutenticaciónLa métrica de autenticación (Au) describe el número de veces que un atacante debe autenticarse en un objetivo para explotarlo. No incluye, por ejemplo, la autenticación en una red para obtener acceso. Para las vulnerabilidades explotables localmente, este valor solo debe establecerse en Única o Múltiple si se requiere una autenticación adicional después del acceso inicial. Métricas de ImpactoConfidencialidadLa métrica de confidencialidad (C) describe el impacto en la confidencialidad de los datos procesados por el sistema. IntegridadLa métrica de integridad (I) describe el impacto en la integridad del sistema explotado. DisponibilidadLa métrica de disponibilidad (A) describe el impacto en la disponibilidad del sistema objetivo. Los ataques que consumen ancho de banda de red, ciclos de procesador, memoria u otros recursos afectan la disponibilidad de un sistema. Versión 4.0En junio de 2023, se lanzó una vista previa pública de CVSSv4.0, que trajo una serie de mejoras. La versión 4.0 se lanzó oficialmente en noviembre de 2023.[1] AdopciónLas versiones de CVSS han sido adoptadas como el método principal para cuantificar la gravedad de las vulnerabilidades por una amplia gama de organizaciones y empresas, incluyendo:
Véase tambiénReferencias
|
