CVSS
2 artigos com esta tag
Qual CVE corrigir primeiro: o que CVSS, EPSS e KEV realmente medem
CVSS é gravidade, EPSS é probabilidade de exploração e KEV é exploração confirmada. Um não substitui o outro. Nossos dados das 1.695 entradas do KEV: 64% estão abaixo de CVSS 9 e 24% abaixo de EPSS 0,1 — tanto «corrigir só as notas altas» quanto «EPSS baixo, deixa para depois» falham na prática. Ordene por KEV, depois EPSS, depois CVSS, e defina o prazo pela sua própria exposição.
O que é CVSS? A pontuação de severidade de vulnerabilidades e como ela é calculada
O CVSS classifica a severidade de 0.0 a 10.0. A pontuação é calculada a partir de métricas definidas (vetor de ataque, complexidade, privilégios, interação do usuário, escopo, impacto CIA) por uma fórmula pública — não um palpite. Conheça o critério e você consegue ler o que um 10.0 significa. Ainda assim, priorize com o KEV (está sendo explorada) e se você o usa.