Cuando los equipos de seguridad hablan de vulnerabilidades y gestión de parches, dos términos aparecen casi siempre: CVE y CVSS. A menudo se utilizan juntos, y ambos desempeñan funciones únicas en la evaluación y gestión de vulnerabilidades.
Un CVE identifica una vulnerabilidad de ciberseguridad conocida públicamente, mientras que CVSS describe su gravedad. Uno le da un nombre común a la vulnerabilidad, mientras que el otro proporciona a los equipos una forma estructurada de comprender su impacto potencial.
En este artículo, exploraremos la diferencia entre CVE y CVSS, qué hace cada uno y por qué es importante evaluar ambos a la hora de corregir vulnerabilidades.
¿Qué es un CVE?
El Sistema de Vulnerabilidades y Exposiciones Comunes (CVE, por sus siglas en inglés) es un sistema estandarizado para identificar y catalogar vulnerabilidades de ciberseguridad divulgadas públicamente. Cada registro CVE publicado tiene un identificador único, lo que proporciona a proveedores, investigadores, herramientas de seguridad y equipos de operaciones de seguridad una forma coherente de referirse a la misma vulnerabilidad.
La Autoridad de Numeración de CVE (CNA) asigna periódicamente identificadores CVE y publica los registros correspondientes. Un identificador CVE sigue el formato CVE-AAAA-NNNN. El año generalmente indica la fecha de asignación del identificador o la fecha de divulgación pública de la vulnerabilidad, mientras que la última parte es una secuencia única de al menos cuatro dígitos.
¿Por qué es importante el CVE?
La función principal de CVE es la identificación estandarizada. Un identificador CVE proporciona a proveedores, investigadores, herramientas de seguridad y defensores una referencia común para hablar de la misma vulnerabilidad en sistemas, plataformas o tecnologías específicas.
Ejemplo de CVE:
CVE-2021-44228 (Log4Shell): Una vulnerabilidad crítica en las versiones afectadas de Apache Log4j2. Permitía a un atacante que controlaba la entrada registrada desencadenar la ejecución remota de código bajo configuraciones vulnerables.
¿Qué es CVSS?
El Sistema Común de Puntuación de Vulnerabilidades (CVSS, por sus siglas en inglés) es un marco para clasificar, evaluar y comunicar la gravedad técnica de las vulnerabilidades de software. Mientras que CVE identifica la vulnerabilidad, CVSS evalúa características como las condiciones necesarias para su explotación y el impacto potencial en la confidencialidad, la integridad y la disponibilidad.
CVSS genera una puntuación numérica de 0.0 a 10.0 que se puede correlacionar con calificaciones cualitativas que van desde Ninguna hasta Crítica. La puntuación proporciona una señal de gravedad consistente, pero no debe considerarse una medida completa del riesgo empresarial ni de la prioridad de remediación.
| Puntaje CVSS | Gravedad asociada |
|---|---|
| 0.0 | Ninguna |
| 0.1 – 3.9 | Bajo |
| 4.0 – 6.9 | Media |
| 7.0 – 8.9 | Alto |
| 9.0 – 10.0 | Critical |
Las puntuaciones más altas indican una mayor gravedad técnica, pero la prioridad de la remediación también debe tener en cuenta factores como la exposición, la explotación activa, la importancia de los activos y las medidas de mitigación disponibles.
¿Por qué es importante CVSS?
CVSS proporciona a los equipos de seguridad una forma estandarizada de comparar la gravedad técnica y las características de las vulnerabilidades de software. Esto resulta útil para la evaluación inicial, especialmente cuando los equipos revisan un gran número de hallazgos.
Sin embargo, CVSS debería ser un factor más en la priorización, no el único. La exposición de los activos, la importancia para el negocio, la explotación activa y la disponibilidad de soluciones pueden influir en qué vulnerabilidad merece atención prioritaria.
CVE vs CVSS: Diferencias clave
Aunque CVE y CVSS están estrechamente relacionados, no son intercambiables. CVE indica a los equipos con qué vulnerabilidad están lidiando. CVSS les ayuda a comprender la gravedad de dicha vulnerabilidad. A continuación, se presenta una breve descripción de sus diferencias:
| Factor | CVE | CVSS |
|---|---|---|
| Propósito | Identifica y cataloga las vulnerabilidades conocidas públicamente. | Describe y comunica la gravedad de la vulnerabilidad. |
| Función | Le da a una vulnerabilidad un ID único. | Asigna una puntuación numérica de gravedad a una vulnerabilidad. |
| Métricas clave utilizadas | Nombre del proveedor, versiones de productos afectadas, descripción y fechas de publicación. | Vector de ataque, complejidad, privilegios requeridos, interacción del usuario e impacto. |
| Mantenido por | Corporación MITRE a través del Centro Nacional de Investigación y Desarrollo Financiado por el Gobierno Federal en Ciberseguridad (FFRDC) | Foro de Equipos de Respuesta a Incidentes y Seguridad (FIRST) |
| Caso de uso | Seguimiento, referencia, búsqueda y mapeo de vulnerabilidades en diferentes herramientas y avisos. | Apoyo en la clasificación de vulnerabilidades y comparación de gravedades. |
| Enfócate | Identificación de vulnerabilidad | Severidad técnica |
| Ejemplo | CVE-2021-44228 | CVSS 10.0 o CVSS 9.8 |
Limitaciones de CVE y CVSS
CVE y CVSS son útiles, pero ninguno ofrece una visión completa de la gestión de vulnerabilidades.
Un CVE identifica una vulnerabilidad, pero no indica si esa vulnerabilidad afecta a su entorno, si el sistema afectado está expuesto o si los atacantes la están explotando activamente.
Una distinción útil es que la gravedad no es lo mismo que el riesgo. CVSS describe las características técnicas de una vulnerabilidad. La prioridad de remediación real también depende de si su organización se ve afectada, del grado de exposición del activo, de si se está produciendo una explotación y de la importancia del sistema afectado.
Por ejemplo, una vulnerabilidad crítica en un sistema de prueba aislado puede merecer menos atención inmediata que una vulnerabilidad de menor gravedad que afecte a un activo expuesto y crítico para el negocio.
Por lo tanto, CVE responde a la pregunta: "¿De qué vulnerabilidad se trata?". CVSS responde a la pregunta: "¿Qué tan grave es técnicamente?". Para una priorización eficaz, es necesario combinar estas señales con el contexto de su entorno.
Para envolverlo
CVE y CVSS responden a preguntas diferentes. CVE proporciona a los equipos de seguridad un identificador común para una vulnerabilidad, mientras que CVSS ofrece una forma estandarizada de describir su gravedad técnica. Cuando se utilizan conjuntamente, y se combinan con la exposición de los activos, la importancia para el negocio y el contexto de la amenaza, proporcionan una base más sólida para la priorización de vulnerabilidades que cualquiera de las dos señales por separado.
Veltar software de gestión de vulnerabilidades Utiliza información de CVE y CVSS, junto con parámetros adicionales como Vulnerabilidades Explotadas Conocidas (KEV) y el Sistema de Puntuación de Predicción de Explotación (EPSS), como datos de entrada para la evaluación del riesgo de los dispositivos. Esto ayuda a los equipos de TI y seguridad a identificar los puntos finales vulnerables y priorizar la remediación según la gravedad y el contexto del dispositivo. Los datos de vulnerabilidad se pueden vincular fácilmente a los puntos finales que requieren atención, en lugar de considerar cada CVE como una prioridad operativa igual.
