O sistema CVE existe para resolver um problema de coordenação que antes tornava a gestão de vulnerabilidades quase impossível. Antes dele, dois fornecedores podiam descrever a mesma falha com palavras completamente diferentes, de modo que um defensor não tinha uma maneira confiável de saber se dois avisos se referiam a uma vulnerabilidade ou a duas. Um CVE resolve isso dando a cada vulnerabilidade conhecida um nome único e inequívoco que todos usam, desde pesquisadores e fornecedores até as ferramentas que vasculham sua rede. Este guia explica como o sistema funciona, como um CVE passa pelo seu ciclo de vida, como ele difere das pontuações e catálogos com os quais é frequentemente confundido, e como usar CVEs de fato em um programa de segurança.
Como funciona o sistema CVE
Um identificador CVE é atribuído por um CNA (Autoridade de Numeração de CVE), uma organização autorizada pelo CVE Program a alocar IDs dentro de seu escopo. Muitos grandes fornecedores de tecnologia são CNAs para seus próprios produtos, o que lhes permite atribuir um CVE no momento em que confirmam uma vulnerabilidade. A MITRE opera o programa e atua como coordenadora de nível superior, enquanto a CISA o patrocina. Essa estrutura federada é o que permite que o sistema seja dimensionado para dezenas de milhares de novos CVEs a cada ano.
Vale a pena ser preciso sobre o que uma CVE é e não é. Uma CVE é um identificador e uma breve descrição. Ela não é uma pontuação de gravidade, não é um banco de dados de detalhes de exploração e não é uma correção. Essas funções pertencem a outros sistemas construídos sobre a CVE, descritos abaixo.
A anatomia de um identificador CVE
O formato é deliberadamente simples para que um ser humano ou uma máquina possa analisá-lo instantaneamente:
| Parte | Significado |
|---|---|
| CVE | O prefixo fixo que identifica a norma |
| AAAA | O ano em que o ID foi reservado ou atribuído |
| NNNNN | Um número de sequência exclusivo, de comprimento variável |
Um identificador como CVE-2021-44228 aponta para exatamente uma vulnerabilidade, e qualquer pessoa no mundo pode consultá-lo e saber exatamente a qual falha ele se refere. Essa universalidade é todo o valor do sistema.
O ciclo de vida do CVE
Um registro CVE passa por estados definidos, e conhecê-los ajuda uma equipe a interpretar o que um determinado identificador realmente lhes diz em um determinado momento.
Primeiro, um ID pode ser Reservado por uma CNA, o que significa que o número é alocado, mas os detalhes ainda não são públicos, frequentemente durante uma divulgação coordenada enquanto uma correção está sendo preparada. Em seguida, o CVE é publicado, o que significa que a descrição e as referências se tornam públicas. Por fim, o registro é enriquecido no National Vulnerability Database, onde os analistas adicionam pontuação de gravidade e metadados adicionais. Uma CVE recém-publicada pode, portanto, existir por um curto período antes de ter uma análise completa de gravidade anexada, o que é uma nuance que importa quando você está fazendo a triagem de algo totalmente novo.
O Banco de Dados Nacional de Vulnerabilidades e o enriquecimento
O Banco de Dados Nacional de Vulnerabilidades (NVD), administrado pelo NIST, é baseado na lista CVE e é onde a maioria dos profissionais de segurança realmente utiliza os dados do CVE. O NVD pega cada CVE publicado e adiciona análises, principalmente uma pontuação de gravidade do CVSS, referências e informações sobre produtos, apresentadas em um formato estruturado que permite que os scanners comparem esses dados com seus ativos. Na prática, quando um scanner de vulnerabilidades indica que um servidor está afetado por uma vulnerabilidade específica, ele está comparando seu software com registros CVE enriquecidos do NVD. Qualquer acúmulo de trabalho ou atraso nesse enriquecimento pode deixar CVEs recém-publicados sem uma pontuação por um período, o que é mais um motivo pelo qual equipes experientes não confiam em um único sinal.
CVE, CVSS, CWE, EPSS e KEV: como eles se encaixam
Esta família de siglas é a fonte mais comum de confusão, and compreender como elas se relacionam é o que separa um entendimento superficial da verdadeira fluência. Cada uma responde a uma pergunta diferente:
| Padrão | Pergunta que responde | Mantido por |
|---|---|---|
| CVE | De qual vulnerabilidade específica se trata? | MITRE / CNA |
| CWE | Que tipo de fraqueza é? | MITRE |
| CVSS | Quão grave é, em tese? | PRIMEIRO, pontuado no NVD |
| EPSS | Qual é a probabilidade de ser explorado em breve? | PRIMEIRO |
| CISA KEV | Está sendo ativamente explorado agora mesmo? | CISA |
Uma CVE é uma instância específica de um tipo de vulnerabilidade CWE, classificada quanto à gravidade pelo CVSS, com uma probabilidade de exploração no mundo real pelo EPSS, e sinalizada pelo catálogo KEV da CISA se os atacantes a estiverem explorando agora. Uma equipe que entende essa pilha prioriza muito melhor do que uma que reage apenas às pontuações do CVSS.
O catálogo KEV da CISA: priorizando o que importa
De todos os sinais acima, o catálogo de Vulnerabilidades Conhecidas Exploradas da CISA merece atenção especial, porque ele responde à pergunta que mais importa operacionalmente: quais das milhares de CVEs abertas os invasores estão realmente explorando hoje. Uma vulnerabilidade estar no catálogo KEV é um forte sinal para corrigi-la urgentemente, independentemente de sua pontuação CVSS, porque isso tira a falha do campo teórico e a coloca no de abuso ativo confirmado. Muitas organizações agora estruturam suas prioridades de correção focando primeiro no KEV, depois no EPSS e no CVSS, justamente porque isso direciona a capacidade limitada de remediação para ameaças reais.
Como usar CVEs no gerenciamento de vulnerabilidades
Para uma equipe de segurança, as CVEs são o tecido conjuntivo de todo o programa de gerenciamento de vulnerabilidades. O fluxo de trabalho prático se parece com isto:
- Identificar quais CVEs afetam seu ambiente, cruzando um inventário de ativos preciso com a saída de um scanner extraída da NVD.
- Priorizar usando múltiplos sinais em vez de apenas um. Comece com o catálogo KEV da CISA para qualquer coisa sob exploração ativa, depois pondere a probabilidade do EPSS e a severidade do CVSS em relação ao valor de negócio do ativo afetado.
- Remediar aplicando um patch, reconfigurando ou aplicando um controle compensatório, e então confirme que a correção funcionou.
- Faixa sua exposição ao longo do tempo, medindo a rapidez com que você fecha as CVEs de maior risco, em vez de tentar fechar todas.
A marca da maturidade não é uma contagem de CVEs igual a zero, o que é inalcançável, mas sim um tempo comprovadamente curto para remediar as CVEs que representam risco real.
Os limites do sistema CVE
Uma compreensão completa inclui o que o sistema CVE não cobre. Nem toda vulnerabilidade recebe um CVE. Falhas em software personalizado e interno, muitos problemas encontrados durante um teste de intrusão privado e zero-days não divulgados podem não ter nenhum CVE, porque ninguém solicitou ou publicou um. O sistema também depende de um enriquecimento oportuno, e períodos de atraso podem retardar a pontuação. Nada disso diminui o valor dos CVEs. Significa simplesmente que uma lista de CVEs é um mapa de vulnerabilidades publicamente conhecidas, não um inventário completo do seu risco, e que testar seus próprios sistemas continua sendo essencial.
Conceitos errados comuns
“CVE e CVSS são a mesma coisa.” Eles não são. Uma CVE é a identidade de uma vulnerabilidade. O CVSS é a sua pontuação de gravidade. Uma diz qual é a falha, a outra diz quão grave ela é.
“Se tem uma pontuação CVSS baixa, eu posso ignorá-lo.” Não se estiver no catálogo KEV do CISA. A exploração ativa supera uma pontuação de severidade modesta para fins de priorização.
“Toda vulnerabilidade tem um CVE.” Não. Falhas em software personalizado, muitas descobertas de pentest e zero-days não divulgados frequentemente não têm CVE. Uma lista de CVEs não é um retrato completo do seu risco.
Veja sua rede como um atacante faria — antes que ele o faça!
A Mercurius realiza testes de Red Team com liderança manual, testes de penetração e avaliações de nuvem que não apenas listam vulnerabilidades, mas provam o caminho exato que um adversário seguiria para chegar aos seus ativos mais valiosos e como fechá-lo.
Saiba mais sobre o serviço de pentest e segurança ofensiva da Mercurius
Perguntas frequentes
O que significa CVE? CVE significa “Common Vulnerabilities and Exposures” (Vulnerabilidades e Exposições Comuns). Trata-se de um sistema público de identificadores exclusivos para vulnerabilidades de segurança conhecidas, mantido pela MITRE e patrocinado pela agência norte-americana CISA.
Qual é a diferença entre CVE e CVSS? Um CVE é o identificador exclusivo de uma vulnerabilidade específica, indicando de qual falha se trata. O CVSS é o sistema de pontuação que classifica a gravidade dessa vulnerabilidade de 0,0 a 10,0, indicando o grau de gravidade dela. Normalmente, cada CVE possui uma pontuação CVSS associada a ele no NVD.
Quem atribui os números CVE? Os identificadores CVE são atribuídos pelas Autoridades de Numeração CVE (CNAs), organizações autorizadas pelo Programa CVE. Muitos fornecedores de tecnologia atuam como CNAs para seus próprios produtos, enquanto a MITRE opera e coordena o sistema como um todo.
Todas as vulnerabilidades têm um CVE? Não. Apenas vulnerabilidades publicamente conhecidas que foram relatadas e aceitas recebem um CVE. Falhas em software personalizado, muitos problemas encontrados em um teste de intrusão privado e zero-days não divulgados podem não ter nenhum CVE.
Como devo priorizar as vulnerabilidades (CVEs)? Comece pelo catálogo de vulnerabilidades exploradas conhecidas da CISA, que identifica os CVEs sob ataque ativo; em seguida, avalie a probabilidade de exploração do EPSS e a gravidade do CVSS em relação ao valor do ativo afetado. Priorizar com base na exploração ativa e no impacto nos negócios é mais eficaz do que reagir apenas com base nas pontuações de gravidade.
