El Sistema Común de Puntuación de Vulnerabilidades (CVSS) ha sido actualizado con la publicación oficial de su última versión, CVSS v4. Este sistema estándar abierto es fundamental en la gestión de vulnerabilidades IT a nivel mundial desde 2005.
Objetivos y retos del CVSS v4
Los retos planteados por CVSS v3 han sido abordados con los objetivos de CVSS v4, que incluyen el uso de la puntuación base como entrada para el análisis de riesgo. El sistema está diseñado principalmente para sistemas informáticos de software y hardware.
Características del CVSS v4
El CVSS se compone de cuatro grupos de métricas: Grupo Base, Grupo Amenaza, Grupo Entorno y Grupo Complementario. La calculadora de CVSS v4 incorpora varias novedades, incluyendo la utilización de grupos de métricas para incorporar 15 millones de vectores CVSS en 271 conjuntos equivalentes.
Se ha solicitado la opinión de expertos para comparar los vectores que representan cada conjunto equivalente. Se calcula el orden de los vectores desde el menos severo al más crítico. Se determinan los límites entre las Valoraciones de Severidad Cualitativas compatibles con los límites de severidad cualitativos de CVSS v3.X.
Se agrupan los vectores de severidad cualitativa dentro del número de puntuaciones disponibles en un conjunto concreto. Se usa interpolación para ajustar las puntuaciones en un grupo de vectores, asegurando cambios en el valor de resultados al haber cambio de puntuación.
Aplicabilidad y novedades
CVSS v4 se puede aplicar a sistemas OT/ICS/IoT. Las novedades principales incluyen la nomenclatura CVSS-B, CVSS-BT, CVSS-BE y CVSS-BTE.
Se incorporan nuevos conceptos como sistema vulnerable, sistema subsiguiente y sistemas protegidos por firewalls. Se introduce una nueva métrica base: requisitos de ataque (AT).
Riesgos del CVSS v4
La puntuación base del CVSS no debe ser el único determinante. La falta de precisión – menos de 99 puntuaciones CVSS son discretas en la práctica.
Las métricas temporales no tienen un impacto real en la puntuación CVSS.
Mitigaciones recomendadas
Simplificación de métricas de amenazas y mejora de puntuaciones del nivel de impacto. Incorporación de atributos complementarios para respuestas ante vulnerabilidades.
Se debe marcar como 'Adyacente' la métrica 'Vector de ataque modificado' (MAV) cuando un sistema está protegido por firewalls.