Comprender las vulnerabilidades sin jerga
Cuatro siglas son suficientes para clasificar cualquier alerta de seguridad. CVE te dice con qué defecto estás lidiando. CVSS te dice cuánto daño podría causar. EPSS le indica la probabilidad de que sea explotado. KEV te dice si ya lo es. Desde lo más teórico hasta lo más seguro.
Un viernes por la noche recibe una alerta: "CVSS 9.8, crítico". ¿Deberías cancelar tu fin de semana? Estas cuatro guías le brindan lo que necesita para decidir en treinta segundos y defender esa decisión en la reunión del lunes.
Por dónde empezar: el orden de lectura
Léalos en este orden. Cada uno se basa en el anterior y ninguno lleva más de ocho minutos.
- CVE Primero, porque es el número del que depende todo lo demás. Sin él, dos herramientas no pueden estar seguras de que significan el mismo defecto.
- CVSS a continuación, porque es el número que verá en todas partes y el que con mayor frecuencia se lee mal.
- EPSS tercero, porque soluciona la principal debilidad de CVSS: la gravedad no es probabilidad.
- El KEV último, porque es el único de los cuatro que no predice nada: observa. Una vez que comprenda esto, la priorización se vuelve simple.
Los cuatro marcos, uno al lado del otro
Aquí está la tabla que hace que todo encaje: estos cuatro marcos no responden a la misma pregunta, no son publicados por las mismas organizaciones y no envejecen al mismo ritmo.
| Estándar | Pregunta que responde | tipo de respuesta | quien lo publica | ¿Cambios? |
|---|---|---|---|---|
| CVE | ¿De qué defecto estamos hablando? | un identificador | El Programa CVE (MITRE), a través de cada CNA | Su estado, nunca su número |
| CVSS | ¿Cuánto daño si se explota? | Una puntuación de 0 a 10 | FIRST, aplicado por NVD y CNA | No, para la puntuación base |
| EPSS | ¿Qué posibilidades hay de que se explote en 30 días? | Una probabilidad de 0 a 1 | FIRST | Sí, recalculado diariamente |
| KEV | ¿Está siendo explotado en este momento? | Un hecho observado: sí o no | CISA | Sí, mediante incorporaciones sucesivas |
Qué podrás hacer después
- Lea un vector CVSS campo por campo y diga en voz alta lo que describe.
- Dile al EPSS puntuación (una probabilidad) de su percentil (una clasificación): la confusión más común sobre este marco.
- Explique en una frase por qué un CVE en su entorno va delante de otro.
- Detecte una alerta inutilizable: un CVE sin una versión afectada no puede compararse con ningún inventario mediante ninguna herramienta.
Los marcos alrededor de CVEs
Una vez que tenga los cuatro conceptos básicos, tres taxonomías completan el cuadro: CWE nombra el tipo de defecto detrás del defecto, CAPEC describe como es explotado y CNA son las organizaciones que asignan identificadores y, por lo tanto, en la práctica, determinan la calidad de sus alertas. Nuestro fuentes de datos detalla los feeds que verificamos.