CVSS: cosa significa il punteggio
CVSS (Common Vulnerability Scoring System) è lo standard aperto, mantenuto dall'organizzazione internazionale FIRST, che assegna a una vulnerabilità un punteggio da 0.0 a 10.0 in base alle sue caratteristiche tecniche.
In breve
Il CVSS traduce in un numero quanto è facile sfruttare una vulnerabilità e quanto danno può fare. Il numero si legge con una scala qualitativa, uguale nelle versioni 3.1 e 4.0:
| Punteggio | Severità |
|---|---|
| 0.0 | Nessuna |
| 0.1 – 3.9 | Bassa |
| 4.0 – 6.9 | Media |
| 7.0 – 8.9 | Alta |
| 9.0 – 10.0 | Critica |
Come funziona
Nella versione 3.1 il punteggio base nasce da otto metriche: vettore d'attacco (rete, rete adiacente, locale, fisico), complessità dell'attacco, privilegi richiesti, interazione dell'utente, ambito (scope) e impatto su riservatezza, integrità e disponibilità. Il risultato si scrive anche come stringa: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H vale 9.8, cioè sfruttabile da Internet, senza credenziali, senza che nessuno clicchi nulla, con impatto pieno.
La versione 4.0, pubblicata dal FIRST a fine 2023, toglie la metrica di ambito, aggiunge i requisiti d'attacco (AT) e separa l'impatto sul sistema vulnerabile da quello sui sistemi a valle. I gruppi di metriche diventano Base, Threat, Environmental e Supplemental, e la notazione dice quali sono stati usati: CVSS-B per il solo punteggio base, CVSS-BT se si considera la minaccia, CVSS-BTE se si aggiunge il contesto.
Perché è importante
Il CVSS è il linguaggio comune per ordinare centinaia di rilievi. Ma misura la gravità tecnica, non il rischio per la tua azienda. Il punteggio pubblicato è quasi sempre solo quello base: non sa se il sistema è esposto su Internet, se custodisce dati sensibili, se la vulnerabilità è già sfruttata da qualcuno. Per decidere le priorità conviene incrociarlo con la criticità dell'asset e con segnali di sfruttamento reale, come il catalogo KEV della CISA delle vulnerabilità sfruttate attivamente.
Esempio
Un vulnerability assessment trova due problemi: un CVE con punteggio 9.8 su un server di test isolato, spento quasi sempre, e uno con punteggio 6.5 sul portale clienti esposto su Internet, che gestisce dati personali. Ordinando per solo CVSS si interviene prima sul server di test. Ragionando sul rischio, il portale passa davanti. Il punteggio resta lo stesso: cambia la decisione, che va scritta nell'analisi dei rischi e nel piano di patch management.
Termini collegati
- CVE: l'identificativo della vulnerabilità a cui il punteggio si riferisce
- Rischio residuo
- Zero-day
- Attack Surface Management
Dove lo trovi in Dottor Box
Ogni rilievo del vulnerability assessment ha la severità CVSS, nelle fasce critico, alto, medio e basso. Nella Superficie di Attacco dichiari la criticità di ciascun asset, così il punteggio tecnico si legge insieme all'importanza di ciò che è colpito.
Vulnerability Assessment
Sei controlli dall'interno e dall'esterno, con severità CVSS, storico e avvisi sulle novità.
Scopri di più VedereSuperficie di Attacco
Il registro ragionato di reti, indirizzi, applicazioni e domini da proteggere, con la criticità di ciascuno.
Scopri di più DimostrareReportistica
Executive, tecnico e presentazione con grafici modificabili, generati anche in automatico.
Scopri di più