CVSS
2 artículos con esta etiqueta
Qué CVE parchear primero: qué mide de verdad CVSS, EPSS y KEV
CVSS es gravedad, EPSS es probabilidad de explotación y KEV es explotación confirmada. No se sustituyen entre sí. Nuestros datos de las 1.695 entradas de KEV: el 64 % está por debajo de CVSS 9 y el 24 % por debajo de EPSS 0,1, así que tanto «parchear solo lo de puntuación alta» como «EPSS bajo, que espere» fallan en la práctica. Ordena por KEV, luego EPSS, luego CVSS, y fija el plazo según tu propia exposición.
¿Qué es CVSS? La puntuación de gravedad de vulnerabilidades y cómo se calcula
CVSS valora la gravedad de 0.0 a 10.0. La puntuación se calcula a partir de métricas definidas (vector de ataque, complejidad, privilegios, interacción del usuario, alcance, impacto en CIA) mediante una fórmula pública, no a ojo. Conoce la rúbrica y podrás leer qué significa un 10.0. Aun así, prioriza con KEV (si se explota) y con si lo usas.