CVE & CVSS

Imagínate como una persona sentada en el despacho de help desk de una oficina de IT gestionando a varios clientes. Lidias con cientos de quejas a diario respecto a varios problemas. Veamos cómo los CVE y los CVSS pueden ayudarte a llevar un control de estas quejas y preguntas.

CVE

CVE significa Common Vulnerabilities and Exposures. Es un número único para cada una de las quejas y preguntas. Si hay alguna actualización a un problema, puedes seguirlo fácilmente usando el número CVE único. Saliendo del ejemplo, el CVE es un número único dado a una vulnerabilidad. Fue desarrollado por la corporación MITRE. Cuando se encuentra una nueva vulnerabilidad, se le da un identificador CVE único como referencia y se publica en la base de datos online de CVE. Esta publicación apunta a hacer a las personas conocedoras de ellas para que las resuelvan.

• Prefijo CVE: Cada número tiene el prefijo CVE al principio.
• Año: En el medio aparece el año en el que se descubrió la vulnerabilidad.
• Dígitos arbitrarios: La última parte del número CVE contiene 4 o más dígitos arbitrarios.

CVSS

CVSS significa Common Vulnerability Scoring System. Si volvemos al ejemplo del help desk, siempre necesitaríamos priorizar las quejas. La forma más eficiente es por nivel de severidad. Si todas se registran con un nivel entre 0 y 10, donde 0 es el riesgo menor y 10 el mayor, se vuelve más fácil decidir qué quejas atender primero. Este número se calcula atendiendo a múltiples factores como el impacto, la facilidad de la explotación, etc.