CVSS não é prioridade: como decidir o que corrigir primeiro
A pontuação base descreve gravidade intrínseca num cenário genérico. A fila real precisa de exploração conhecida, exposição, importância do ativo, controlos existentes e custo de recuperação.
Em resumo
O guia de implementação do CVSS v4.0 recomenda enriquecer a pontuação base com métricas de ameaça e ambiente. Ignorar essas etapas pode produzir prioridades e alocação de recursos abaixo do ideal.
- CVSS Base é uma entrada de severidade, não a ordem final da fila.
- O catálogo KEV da CISA ajuda a distinguir vulnerabilidades com exploração conhecida.
- A decisão deve guardar o ativo afetado, a exposição, os controlos, o dono e o prazo.
Severidade não é prioridade
O CVSS Base parte de características intrínsecas e de um cenário de implementação genérico. O próprio guia da FIRST atribui ao consumidor a tarefa de acrescentar inteligência de ameaça e conhecimento do ambiente local.
Dois ativos com a mesma vulnerabilidade podem exigir decisões diferentes. Um pode estar exposto à internet e suportar faturação; outro pode estar isolado, monitorizado e perto de ser retirado. A pontuação é a mesma, o risco operacional não é.
Uma fila em cinco campos
A Velqory recomenda que cada item da fila tenha cinco decisões visíveis, para que prioridade e exceção possam ser revistas.
- Exploração: está no KEV da CISA ou existe outra evidência autorizada de exploração conhecida?
- Exposição: que caminho real permite alcançar o componente vulnerável?
- Impacto: que serviço, dados e obrigações falham se o ativo for comprometido?
- Controlos: segmentação, autenticação, monitorização ou outra mitigação foi testada e continua eficaz?
- Execução: existe correção ou mitigação suportada, responsável, janela e prazo acordado?
A triagem de trinta minutos
Comece por confirmar o identificador e a configuração afetada no NVD e no aviso original disponível. Depois associe o achado ao ativo concreto, confirme exploração conhecida no KEV, identifique controlos já presentes e atribua um responsável.
O resultado não precisa de fingir precisão matemática. Precisa de produzir uma decisão rastreável: corrigir agora, mitigar e calendarizar, aceitar temporariamente com prazo ou demonstrar que o ativo não está afetado.
A exceção também precisa de evidência
Adiar uma correção pode ser uma decisão válida, mas deve indicar o controlo compensatório, quem verificou a sua eficácia, a condição que termina a exceção e a próxima revisão.
Uma lista ordenada apenas por pontuação transfere contexto para conversas privadas. Uma fila enriquecida transforma contexto em trabalho verificável e permite explicar por que razão um valor menor foi tratado primeiro.
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.