Se ha publicado oficialmente la última versión del Sistema Común de Puntuación de Vulnerabilidades (CVSS v4). Esta nueva versión introduce mejoras y funcionalidades adicionales que buscan modernizar el proceso de evaluación de vulnerabilidades.
El CVSS es un sistema de puntuación estándar abierto, introducido en 2005. Desde entonces ha sido utilizado como herramienta fundamental para la gestión de vulnerabilidades en sistemas informáticos a nivel mundial. A lo largo del tiempo, el sistema ha sufrido revisiones y actualizaciones para mantenerse relevante frente a las amenazas y tecnologías cambiantes.
Retos identificados en CVSS v3
El desarrollo de la versión v4 se basa en una serie de retos planteados por la versión anterior, entre los que destacan:
- La puntuación base del CVSS como entrada para el análisis de riesgo. La puntuación base es un factor clave para determinar la gravedad de una vulnerabilidad. Sin embargo, no debe ser el único factor considerado, ya que solo aborda aspectos técnicos sin tener en cuenta el contexto empresarial ni otros factores relevantes en un análisis de riesgos.
- Aplicación exclusiva a sistemas IT. El CVSS se diseñó principalmente para sistemas informáticos. Por lo tanto, puede no captar algunos matices específicos de los sistemas no informáticos o tecnologías operativas que pueden tener perfiles de riesgo diferentes.
- Puntuaciones publicadas por proveedores suelen ser altas o críticas (7.0+). Este fenómeno puede ser un problema si los vendedores exageran la gravedad de las vulnerabilidades, aunque el problema radica más en la aplicación del sistema que en el propio CVSS.
- Falta de precisión – menos de 99 puntuaciones CVSS son discretas en la práctica. Aunque el sistema ofrece un sistema basado en decimales, su uso práctico suele dar lugar a pocas puntuaciones distintas, limitando su nivel de detalle.
- Métricas temporales no tienen impacto real en la puntuación CVSS. Las métricas temporales, que incluyen factores como el estado actual del exploit o el nivel de remediación, suelen tener menos peso en la puntuación final.
- Proceso de cálculo complicado y contradictorio. La puntuación CVSS implica ecuaciones matemáticas complejas que pueden resultar abrumadoras para usuarios no técnicos. La simplificación podría mejorar su usabilidad sin sacrificar precisión.
El equipo de NIST realiza una autocrítica sobre la complejidad y naturaleza aparentemente arbitraria del algoritmo de puntuación CVSS. Aunque el sistema puede parecer confuso, es el resultado de un proceso deliberado para equilibrar diversos factores en la evaluación de vulnerabilidades.
Novedades en CVSS v4
Las principales novedades de CVSS v4 incluyen:
- Más detalle en las métricas base.
- Eliminación de aspectos que generan ambigüedad.
- Simplificación de las métricas de amenazas y mejora de las puntuaciones del nivel de impacto.
- Incorporación de atributos complementarios para respuestas ante vulnerabilidades.
- Aplicabilidad a sistemas OT/ICS/IoT, en contraste con la versión v3.X.
Calculadora CVSS v4
La calculadora de CVSS v4 incorpora varias novedades:
- Uso de grupos de métricas para integrar 15 millones de vectores CVSS en 271 conjuntos equivalentes.
- Solicitud de opinión de expertos para comparar los vectores que representan cada conjunto equivalente.
- Cálculo del orden de los vectores desde el menos severo al más crítico.
- Determinación de los límites entre las Valoraciones de Severidad Cualitativas compatibles con los límites de severidad cualitativos de CVSS v3.X.
- Agrupamiento de los vectores de severidad cualitativa dentro del número de puntuaciones disponibles en un conjunto concreto (ejemplo: 9.0 a 10.0 para riesgo crítico, 7.0 a 8.9 para riesgo alto).
- Uso de interpolación para ajustar las puntuaciones en un grupo de vectores, asegurando cambios en el valor de los resultados al ocurrir un cambio de puntuación.
El acceso a la calculadora se puede encontrar aquí, junto con un curso gratuito sobre CVSS v4.0.