O CVE e o CVSS estão entre os aspectos mais incompreendidos de patching hoje em dia. Explore as diferenças e veja como eles afetam a sua estratégia de patching.
Nota para revendas, MSPs e integradores: entender CVE e CVSS é o que separa “aplicar patch em tudo” de “priorizar o que realmente reduz risco” — e priorização é justamente o que dá pra vender como serviço gerenciado. Veja mais no meio deste artigo.
Apesar de muitos gerentes de T.I. estarem familiarizados com esses termos, CVE e CVSS estão entre os aspectos mais incompreendidos em patching hoje em dia. Essas duas terminologias diferentes são sinônimas de sistemas operacionais, vulnerabilidades de software e patching. Por isso resolvemos explicar o CVE e o CVSS.
O que é o CVE?
O número do CVE (sigla em inglês para Common Vulnerabilities and Exposures, traduzido para Exposições e Vulnerabilidades Comuns) é um identificador usado por fornecedores como Microsoft, RedHat e Adobe para catalogar vulnerabilidades individuais para as quais patches são disponibilizados como solução. É como o número de página de um livro: resolve o problema de precisar achar uma informação específica rapidamente.
Normalmente, todos os números de CVE seguem este padrão: CVE-nnnn-nnnn. Como podemos ver, há espaço para milhões de vulnerabilidades catalogadas.
“Nossos clientes devem se sentir confiantes de que seus números CVE não pertencem a nenhum fornecedor de software específico”, disse Robert Brown, à época Diretor de Serviços da Verismic Software (empresa que depois se tornou a Syxsense). “Portanto, é um banco de dados imparcial e independente para que todos os fornecedores publiquem suas vulnerabilidades.”
Isso significa também que os fornecedores precisam publicar seu conteúdo de forma transparente nos bancos de dados, o que oferece pelo menos uma garantia de precisão. Toda empresa que deseja publicar seus próprios anúncios de vulnerabilidade precisa se tornar uma CNA (sigla em inglês para CVE Numbering Authority, Autoridade de Numeração CVE) antes que sua participação seja considerada confiável.
Os fornecedores devem incluir o máximo de informações possíveis em cada registro de CVE, por exemplo:
- Número CVE
- Descrição da vulnerabilidade
- Severidade
- Referências a outros registros de CVE (conhecidas como supersession)
- Histórico de mudanças
- Data de publicação
O que é a pontuação CVSS?
O CVSS (sigla em inglês para Common Vulnerability Scoring System) é uma pontuação atribuída de forma independente (de 0 a 10), baseada em uma série de fatores, para determinar a gravidade de uma vulnerabilidade. Para comparar essa pontuação com outro sistema de avaliação, vale olhar como a Microsoft classifica suas próprias vulnerabilidades — de forma mais simples, em cinco níveis:
- Crítico – vulnerabilidade que pode permitir execução de código remoto sem interação do usuário, ou em que o código é executado sem avisos ou prompts.
- Importante – vulnerabilidades em que o cliente é comprometido com avisos ou prompts, e cuja exploração pode resultar em comprometimento de dados.
- Moderada – o impacto é mitigado por fatores como autenticação, ou afeta apenas aplicativos não nativos.
- Baixa – o impacto é amplamente mitigado pelas características do próprio componente.
- N/D – não disponível.
Contudo, a abordagem da Microsoft tende a classificar vulnerabilidades em seus produtos de forma mais conservadora do que a pontuação CVSS independente costuma indicar — como fica claro na comparação mais adiante.
Gerar uma pontuação CVSS é bastante complexo, mas leva em consideração perguntas como:
- Quão provável é a vulnerabilidade ser explorada? É preciso acesso físico ou de rede? Privilégios elevados são necessários?
- Ela pode ser explorada pela internet, ou exige acesso físico?
- É necessário um software ou uma configuração específica?
- Quanto de interação do usuário final é necessária?
Cada uma dessas perguntas (e várias outras) alimenta uma sub-pontuação calculada, que resulta em uma nota final de 0 a 10. Especialistas do setor consideram essa uma forma mais precisa de determinar a rapidez com que você deve agir diante de uma vulnerabilidade em seu ambiente.
| Classificação | Pontuação CVSS |
|---|---|
| Nenhuma | 0.0 |
| Baixa | 0.1 – 3.9 |
| Média | 4.0 – 6.9 |
| Alta | 7.0 – 8.9 |
| Crítica | 9.0 – 10.0 |
As pontuações CVSS são realmente necessárias? A prova está nos números
Vamos comparar alguns updates do Patch Tuesday de agosto de 2019 e outros do mesmo período:
| Fornecedor | Nome do Patch | Severidade do fornecedor | Pontuação CVSS |
|---|---|---|---|
| Chrome v76.0.3809.100 | N/D | Alta – 8.8 | |
| Microsoft | KB4462137 | Crítico | Alta – 7.8 |
| Microsoft | KB4474419 | N/D | Crítica – 9.8 |
| Microsoft | KB4508433 | N/D | Crítica – 9.8 |
| The Document Foundation | LibreOffice v6.2.5 | N/D | Crítica – 9.8 |
Como o exemplo acima mostra, a severidade atribuída pelo fornecedor e a pontuação CVSS nem sempre estão alinhadas. Se você levar a classificação de severidade da Microsoft ao pé da letra, pode acabar desperdiçando dois dos ativos mais valiosos que você tem: tempo e recurso. Aplicar muitos patches em um ambiente de T.I. grande e distribuído consome tempo.
Quanto mais tempo uma vulnerabilidade fica sem correção, maior o risco de ela ser explorada. Evidências mostram que ataques contra vulnerabilidades conhecidas têm pico nas horas ou dias após o lançamento dos patches — por isso é importante saber o quão urgente uma vulnerabilidade realmente é.
Priorização de patch por CVSS é exatamente o tipo de trabalho que justifica uma oferta de segurança gerenciada recorrente.
A AIQON é uma distribuidora de cibersegurança: conectamos parceiros de canal a um portfólio de fabricantes internacionais — endpoint, identidade, dados, API e anti-DDoS — para montar ofertas de segurança gerenciada completas, sem a complexidade de negociar direto com fornecedores fora do Brasil.
Qual a solução?
Pegue qualquer vulnerabilidade e comece analisando as pontuações avaliadas de forma independente, como o CVSS. Todo mês, a US-CERT/NIST usa o CVSS para avaliar a maioria dos patches no mesmo dia em que são lançados — o que dá uma ideia melhor do nível de risco real de uma vulnerabilidade específica para o seu negócio.
Indisponibilidade pode ser extremamente custosa para um negócio. A melhor abordagem para aplicar patches é ter uma janela dedicada de tempo de inatividade todo mês para atualizar os sistemas. Se houver algum problema de compatibilidade com um patch e os sistemas precisarem ser revertidos ao estado anterior, isso aumenta o tempo de indisponibilidade e pode impactar o negócio como um todo.
Esse ciclo de análise, teste e piloto antes de implementar cada atualização de patch — descobrindo problemas antes que eles cheguem à produção — é o tipo de serviço que dá pra estruturar com o Syxsense, seja como operação interna ou como oferta gerenciada de uma revenda/MSP para os seus clientes.
Patching é sobre melhorar sua postura de segurança. Adotando uma abordagem calculada e usando pontuações avaliadas de forma independente, você pode priorizar com confiança quais patches precisa implementar em cada ambiente.
Saiba mais: Como criar uma estratégia de patching para o seu ambiente
Não monte esse portfólio sozinho, negociando com cada fabricante fora do Brasil.
A AIQON é uma distribuidora de cibersegurança: conectamos parceiros de canal a um portfólio de fabricantes internacionais — endpoint, identidade, dados, API e anti-DDoS — para montar ofertas de segurança gerenciada completas, com suporte local e agilidade.
