Calculadora CVSS 3.1
Seleccione las métricas, obtenga el vector y la puntuación base (idéntica a la calculadora de referencia de FIRST.org) y lea debajo del número lo que significa, en inglés sencillo.
Leer un vector de izquierda a derecha
Un vector es una secuencia de campos separados por barras. Cada uno responde a una pregunta, siempre en el mismo orden. Toma el de Log4Shell, CVE-2021-44228:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
| campo | Valor | lo que dice |
|---|---|---|
| AV | Red | Atacable desde Internet, sin estar en la misma red. |
| aire acondicionado | Bajo | No hay condiciones que cumplir: el ataque siempre tiene éxito. |
| relaciones públicas | Ninguno | No se necesita ninguna cuenta en la máquina de destino. |
| interfaz de usuario | Ninguno | Nadie necesita hacer clic. |
| S | Modificado | La falla se extiende más allá de la biblioteca y alcanza a toda la máquina. |
| C / I / A | Alto × 3 | Leer, modificar y cerrar: nada se sostiene. |
La calculadora de arriba reescribe esta cadena en inglés sencillo debajo de la puntuación, con cada clic. Cargue el caso “Log4Shell”, luego cambie un solo campo para ver el mecanismo:
- Alcance cambiado → sin cambios (
S:C→S:U): 10,0 se convierte 9.8. Es el único campo que separa las dos puntuaciones más comunes del NVD. - Privilegios ninguno → alto (
PR:N→PR:H): 10,0 se convierte 9.1. Requerir una cuenta de administrador le quita casi un punto.
que significa el numero
La puntuación base se sitúa entre 0,0 y 10,0 y se divide en cinco bandas. Estas bandas son convenciones: nada distingue inherentemente un 6.9 de un 7.0, excepto un umbral establecido por la especificación.
| Puntuación | Gravedad | Lo que significa en la práctica |
|---|---|---|
| 9.0 – 10.0 | Crítico | Compromiso total, a menudo sin cuenta ni clic. Una explotación exitosa no deja nada en pie. |
| 7.0 – 8.9 | Alto | Fuerte impacto, pero falta una condición: una cuenta, un clic, acceso local. |
| 4.0 – 6.9 | Medio | Impacto parcial o se deben cumplir varias condiciones. |
| 0.1 – 3.9 | Bajo | Fuga menor, denegación de servicio limitada o explotación muy restringida. |
| 0.0 | Ninguno | No se informó ningún impacto en la confidencialidad, la integridad o la disponibilidad. |
Base, temporal, ambiental: tres capas, solo una es sobre ti
el puntuación base describe la falla tal como se publicó. Es el que todo el mundo cita y ya no cambia.
el puntuación temporal lo ajusta al estado del mundo: está circulando un exploit funcional o, por el contrario, se ha publicado una solución oficial. En nuestro ejemplo 9.8, declarar disponible una solución oficial reduce la puntuación a 9.4.
el puntuación ambiental es el único que habla de tu patrimonio. Se basa en dos palancas: los requisitos (lo que valen la confidencialidad, la integridad y la disponibilidad en ese sistema suyo en particular) y las métricas modificadas (lo que cambia su implementación con respecto a la exposición real). Dos ejemplos calculados con la herramienta anterior, partiendo del mismo 9.8:
- Solo se puede acceder al servicio a través de un VPN: Vector de ataque modificado configurado en locales → 8.4.
- Es un entorno de puesta en escena sin datos reales: los tres requisitos establecidos para Bajo → 8.0.
Completar estos campos lleva dos minutos y es lo que convierte una calificación pública en un argumento que puede defender frente a la gerencia.
En la práctica, el lunes por la mañana
El orden que se mantiene en una semana real, de mayor a menor decisivo:
- ¿Se explota la falla hoy? Si está en KEV y el producto se ejecuta en su entorno, lo gestiona en 48 horas, sea cual sea la puntuación.
- ¿Qué posibilidades hay de que se explote en 30 días? Ese es EPSS. Por encima de 0,1, lo programa.
- ¿Qué tan grave es el daño si lo es? Aquí es donde entra en juego CVSS, para romper el empate entre dos fallas igualmente probables.
Ese es el orden que nuestra plataforma aplica en su nombre y la razón por la que comenzamos preguntándole qué corre, no qué teme. Ver cómo se construye el monitoreo CVE dirigido.
Fuentes
- Especificación CVSS 3.1 - FIRST.org, el documento autorizado.
- 3.1 calculadora de referencia - para verificar una puntuación.
- CVSS en el NVD — la fuente de las partituras publicadas en CVEs.
Preguntas frecuentes
¿Se debe arreglar un CVSS 9.8 antes que un 7.5?
No automáticamente. CVSS mide lo que pasaría si la falla fue explotada, nunca la probabilidad de que así sea. Un 7.5 ya incluido en el Catálogo KEV, y por lo tanto explotado hoy, llega antes de un teórico 9.8 para el cual nadie ha publicado un exploit. El orden que funciona: explotación confirmada, luego probabilidad de explotación, luego severidad.
¿Por qué mi puntuación difiere de la que muestra el NVD?
Tres causas, en orden de frecuencia. No seleccionó exactamente el mismo vector: compare las dos cadenas campo por campo. El CVE tiene varias puntuaciones: el CNA (Autoridad de numeración CVE, la organización que asigna el identificador) y los NVD, que divergen periódicamente. O está comparando una puntuación base con una puntuación ambiental.
¿Puede cambiar la puntuación de un CVE después de su publicación?
Sí, y con frecuencia. Un CNA publica un vector provisional, el NVD lo reevalúa, el vendedor a veces lo cuestiona. Las métricas temporales también cambian: un exploit publicado aumenta la madurez, una solución oficial vuelve a bajar la puntuación temporal.
¿Deberías completar las métricas ambientales?
Es la única capa que habla de usted y no del defecto, así que sí, tan pronto como la decisión compromete un presupuesto o una ventana de mantenimiento. En un servicio al que solo se puede acceder a través de un VPN, cambiar el vector de ataque modificado de Red a Local hace que nuestro ejemplo pase de 9.8 a 8.4.
¿El cálculo se realiza en sus servidores?
No. Todo se ejecuta en tu navegador: el vector que creas no se envía a ninguna parte. El botón "Copiar enlace" simplemente codifica el vector en la dirección de la página.
Plan Free, sin tarjeta
Obtenga solo el CVEs que afecta su patrimonio real.
Declare sus componentes una vez. Te avisamos en cuanto un fallo afecte a uno de ellos, ya priorizado por KEV y EPSS, en el canal de tu elección. La primera alerta se activa en la siguiente sincronización.
- Free, sin tarjeta de crédito
- Construido y alojado en Francia
- Exporta tus datos en cualquier momento