{"id":24033,"date":"2025-08-06T10:07:02","date_gmt":"2025-08-06T13:07:02","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=24033"},"modified":"2025-08-06T10:19:09","modified_gmt":"2025-08-06T13:19:09","slug":"cvss-rbvm-vulnerability-management","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/cvss-rbvm-vulnerability-management\/24033\/","title":{"rendered":"Do CVSS ao RBVM: como fazer uma prioriza\u00e7\u00e3o de vulnerabilidades bem feita"},"content":{"rendered":"

Quando voc\u00ea usa o Sistema de Pontua\u00e7\u00e3o de Vulnerabilidades Comuns (CVSS) pela primeira vez<\/u>, \u00e9 f\u00e1cil pensar que esta \u00e9 a ferramenta perfeita para a triagem e prioriza\u00e7\u00e3o de vulnerabilidades. Uma pontua\u00e7\u00e3o mais alta deve significar uma vulnerabilidade mais cr\u00edtica, certo? Na verdade, essa abordagem n\u00e3o funciona muito bem. Todos os anos, vemos aumentar a quantidade de vulnerabilidades com pontua\u00e7\u00f5es CVSS altas. As equipes de seguran\u00e7a simplesmente n\u00e3o conseguem corrigi-las a tempo, mas a grande maioria dessas falhas nunca \u00e9 realmente explorada em ataques do mundo real. Enquanto isso, os invasores est\u00e3o constantemente aproveitando vulnerabilidades menos chamativas com pontua\u00e7\u00f5es mais baixas. H\u00e1 outras armadilhas ocultas tamb\u00e9m, desde quest\u00f5es puramente t\u00e9cnicas, como pontua\u00e7\u00f5es conflitantes do CVSS, at\u00e9 quest\u00f5es conceituais, como a falta de contexto de neg\u00f3cios.<\/p>\n

Essas n\u00e3o s\u00e3o necessariamente defici\u00eancias do pr\u00f3prio CVSS. Isso no entanto destaca a necessidade de usar a ferramenta corretamente, como parte de um processo de gerenciamento de vulnerabilidades mais sofisticado e abrangente.<\/p>\n

Discrep\u00e2ncias no CVSS<\/h2>\n

Voc\u00ea j\u00e1 notou como a mesma vulnerabilidade pode ter pontua\u00e7\u00f5es de gravidade diferentes, dependendo da fonte dispon\u00edvel? Uma pontua\u00e7\u00e3o do pesquisador de ciberseguran\u00e7a, outra do fornecedor do software vulner\u00e1vel e outra de um banco de dados nacional de vulnerabilidades? Nem sempre \u00e9 apenas um simples erro. \u00c0s vezes, diferentes especialistas podem discordar sobre o contexto da explora\u00e7\u00e3o. Eles podem ter ideias diferentes sobre os privil\u00e9gios com os quais um aplicativo vulner\u00e1vel \u00e9 executado ou se tem interface com a Internet. Por exemplo, um fornecedor pode basear sua avalia\u00e7\u00e3o nas suas pr\u00e1ticas recomendadas, enquanto um pesquisador de seguran\u00e7a pode considerar como os aplicativos s\u00e3o normalmente configurados em organiza\u00e7\u00f5es do mundo real. Um pesquisador pode classificar a complexidade da explora\u00e7\u00e3o como alta, enquanto outro a considera baixa. Esta n\u00e3o \u00e9 uma ocorr\u00eancia incomum. Um estudo de 2023 da Vulncheck<\/a> descobriu que 20% das vulnerabilidades no Banco de Dados Nacional de Vulnerabilidades (NVD) tinham duas pontua\u00e7\u00f5es CVSS3 de fontes diferentes e 56% dessas pontua\u00e7\u00f5es pareadas estavam em conflito entre si.<\/p>\n

Erros mais comuns ao usar o CVSS<\/h2>\n

Por mais de uma d\u00e9cada, a FIRST<\/a> tem defendido a aplica\u00e7\u00e3o metodologicamente correta do CVSS. No entanto, as organiza\u00e7\u00f5es que usam as classifica\u00e7\u00f5es CVSS em seus processos de gerenciamento de vulnerabilidades continuam cometendo erros t\u00edpicos:<\/p>\n

    \n
  1. Usar a pontua\u00e7\u00e3o base do CVSS como o principal indicador de risco. O CVSS mede a gravidade de uma vulnerabilidade, n\u00e3o quando ela ser\u00e1 explorada ou o impacto potencial de sua explora\u00e7\u00e3o na organiza\u00e7\u00e3o sob ataque. \u00c0s vezes, uma vulnerabilidade cr\u00edtica \u00e9 inofensiva no ambiente de uma empresa espec\u00edfica porque reside em sistemas insignificantes e isolados. Por outro lado, um ataque de ransomware em larga escala pode come\u00e7ar com uma vulnerabilidade de vazamento de informa\u00e7\u00f5es aparentemente in\u00f3cua com uma pontua\u00e7\u00e3o 6 no CVSS.<\/li>\n
  2. Usar a pontua\u00e7\u00e3o CVSS b\u00e1sica sem ajustes de Amea\u00e7a\/Temporal e Ambientais. A disponibilidade de patches, exploits p\u00fablicos e medidas compensat\u00f3rias influencia significativamente como e com que urg\u00eancia uma vulnerabilidade deve ser tratada.<\/li>\n
  3. Concentrar-se apenas em vulnerabilidades acima de uma determinada pontua\u00e7\u00e3o. Essa abordagem \u00e0s vezes \u00e9 exigida por reguladores governamentais ou setoriais (\u201ccorrigir vulnerabilidades com pontua\u00e7\u00e3o CVSS acima de 8 dentro de um m\u00eas\u201d). Como resultado, as equipes de ciberseguran\u00e7a enfrentam uma carga de trabalho continuamente crescente que, na realidade, n\u00e3o torna sua infraestrutura mais segura. A quantidade de vulnerabilidades com pontua\u00e7\u00f5es CVSS altas identificadas anualmente tem aumentado rapidamente nos \u00faltimos 10 anos<\/a>.<\/li>\n
  4. Usar o CVSS para avaliar a probabilidade de explora\u00e7\u00e3o. Essas m\u00e9tricas s\u00e3o mal correlacionadas: apenas 17% das vulnerabilidades cr\u00edticas<\/a> s\u00e3o exploradas em ataques.<\/li>\n
  5. Usar apenas a classifica\u00e7\u00e3o CVSS. A sequ\u00eancia de vetores padronizada foi introduzida no CVSS para que os defensores pudessem entender os detalhes de uma vulnerabilidade e calcular independentemente sua import\u00e2ncia dentro de sua pr\u00f3pria organiza\u00e7\u00e3o. O CVSS 4.0 foi especificamente revisado para facilitar a contabiliza\u00e7\u00e3o do contexto de neg\u00f3cios usando m\u00e9tricas adicionais. Quaisquer esfor\u00e7os de gerenciamento de vulnerabilidades baseados exclusivamente em uma classifica\u00e7\u00e3o num\u00e9rica ser\u00e3o amplamente ineficazes.<\/li>\n
  6. Ignorar fontes adicionais de informa\u00e7\u00e3o. Confiar em um \u00fanico banco de dados de vulnerabilidades e analisar apenas o CVSS \u00e9 insuficiente. A aus\u00eancia de dados sobre patches, provas de conceito funcionais e casos de explora\u00e7\u00e3o do mundo real dificultam a decis\u00e3o de como lidar com as vulnerabilidades.<\/li>\n<\/ol>\n

    O que o CVSS n\u00e3o revela sobre uma vulnerabilidade<\/h2>\n

    O CVSS \u00e9 o padr\u00e3o do setor para descrever a gravidade de uma vulnerabilidade, as condi\u00e7\u00f5es sob as quais ela pode ser explorada e seu impacto potencial em um sistema vulner\u00e1vel. No entanto, al\u00e9m dessa descri\u00e7\u00e3o (e da pontua\u00e7\u00e3o CVSS b\u00e1sica), h\u00e1 muito mais que o sistema n\u00e3o cobre:<\/p>\n