CVSS

CVSS (Common Vulnerability Scoring System) es un sistema de puntuación estandarizado de la gravedad de las vulnerabilidades; genera puntuaciones de 0 a 10 y lo mantiene FIRST.

Propósito

Proporcionar una puntuación cuantitativa unificada y comparable de la gravedad de las vulnerabilidades para ayudar a priorizar.

Mecanismo

CVSS v3.1 se calcula a partir de tres grupos de métricas: Base (intrínseca: vector de ataque, complejidad, privilegios, impacto), Temporal (variable en el tiempo: madurez del exploit, remediación) y Ambiental (específica del entorno: valor de los activos). Produce una puntuación Base (0-10) y una cadena vectorial.

Casos de uso

Priorización de vulnerabilidades
Informes y paneles de seguridad
Cuantificación de cumplimiento y riesgo
Puntuaciones en el escaneo de dependencias

Ejemplos

entrada
```
CVSS:3.1/AV:N/AC:L/PR:N
```
Output
```
Base 7.5 (High)
```
Network vector, low complexity

Errores comunes

Looking only at the Base score while ignoring environmental factors: Adjust actual risk with Environmental metrics

Términos relacionados

CVE (Common Vulnerabilities and Exposures) es un sistema que asigna identificadores únicos (CVE-YYYY-NNNN) a las vulnerabilidades de seguridad divulgadas públicamente, mantenido por MITRE.

OWASP (Open Web Application Security Project) es una organización sin ánimo de lucro que publica la lista Top 10 de vulnerabilidades web y guías de buenas prácticas; es una autoridad en seguridad web.

Penetration Testing

El penetration testing simula el comportamiento de un atacante para ejecutar pruebas de ataque autorizadas contra un sistema, descubriendo vulnerabilidades explotables y evaluando el riesgo real.

References