Gestão de Vulnerabilidades Além do CVSS: Contexto e Risco Real

Uma vulnerabilidade com CVSS 9.8 e outra com CVSS 5.3 podem representar o risco exatamente oposto do que a pontuação sugere — tudo depende do contexto onde cada uma vive.

O CVSS mede severidade, não risco

O CVSS Base Score descreve a gravidade técnica de uma falha isoladamente: complexidade de exploração, impacto em confidencialidade/integridade/disponibilidade. Ele não sabe se o ativo está exposto à internet, se há compensating controls, ou se o serviço sequer está em uso.

Um exemplo prático

Um CVE 9.8 num servidor de base de dados isolado numa VLAN sem rota para a internet, atrás de firewall e sem serviço acessível externamente, tem uma probabilidade de exploração real muito baixa. Um CVE 7.5 numa aplicação web na DMZ, acessível publicamente e sem WAF, é um risco imediato — mesmo com pontuação menor.

Um modelo de priorização mais honesto

• Exposição: o ativo é alcançável pela internet, por uma rede de parceiros, ou só internamente?
• Exploração conhecida: existe exploit público ou uso ativo reportado (catálogo KEV da CISA, feeds de threat intel)?
• Criticidade do ativo: o que esse sistema processa, e o que acontece se ele cair ou for comprometido?
• Controlos compensatórios: IPS, segmentação, MFA, monitorização — algo já reduz a probabilidade de exploração bem-sucedida?

Frameworks como o EPSS (Exploit Prediction Scoring System) ajudam a estimar a probabilidade real de exploração e, combinados com CVSS + contexto de exposição, produzem uma fila de priorização muito mais próxima do risco de negócio do que o CVSS isolado jamais conseguiria.