Scoring e Priorização (CVSS, EPSS, estimativa de risco)

Nota do capítulo 05 (Análise e Produção de Inteligência), aplicação tática da análise de ameaças.
Examina o que o CVSS mede e onde ele falha, apresenta o EPSS como probabilidade de exploração e o catálogo KEV do CISA como evidência de exploração em curso, e propõe a combinação das três fontes com exposição e criticidade do ativo.
Inclui política de priorização e exemplo de matriz de priorização de vulnerabilidades. Dialoga com as notas de indicadores do capítulo 03 e com o EASM do capítulo 12.

1. Contexto e Posicionamento na Biblioteca

Priorização de vulnerabilidades é o caso de uso de inteligência de ameaças com o maior retorno imediato e o maior desperdício potencial. Uma organização de porte carrega dezenas de milhares de vulnerabilidades em aberto e consegue remediar centenas por mês, e a diferença entre priorizar bem e priorizar mal é a diferença entre fechar a porta que o adversário usa e polir portas que ninguém tenta. O scoring, o atributo numérico que ordena a fila, é onde a inteligência entra: a severidade intrínseca da falha é só um dos fatores, e a probabilidade de exploração, a exposição real e a criticidade do ativo completam o risco.

Na biblioteca, esta nota aplica o método analítico do capítulo a um objeto concreto: a fila de vulnerabilidades. As notas de indicadores do capítulo 03 fornecem a noção de validade e contexto que o EPSS e o KEV materializam em números, a nota de superfície do capítulo 12 fornece a exposição que aqui entra como fator, e o framework de priorização alimenta diretamente o ciclo de remediação do processo de gestão de vulnerabilidades e o CTI.2 de avaliação de ameaças da seção 15. A tese central é que CVSS, EPSS e KEV medem coisas diferentes, e que o erro da prática é tratar qualquer um deles, sozinho, como decisão.

2. CVSS: O Que Mede e Suas Limitações

O CVSS, Common Vulnerability Scoring System, é o padrão da indústria para expressar severidade de vulnerabilidade, com o v3.1 consolidado em uso e o v4.0 em adoção crescente. O escore base é calculado a partir de características intrínsecas da falha: vetor de acesso, complexidade, privilégios exigidos, interação do usuário e impacto em confidencialidade, integridade e disponibilidade. O CVSS mede severidade técnica intrínseca, e mede isso bem, com reprodutibilidade suficiente para comparar falhas entre si dentro de uma mesma dimensão.

O problema começa quando o escore de severidade é lido como escore de risco, porque a distância entre os dois conceitos é exatamente a distância entre a falha e o ataque. A tabela abaixo resume as limitações que a prática precisa compensar.

O v4.0, em adoção crescente desde 2023, melhora parte do quadro com métricas de segurança automática, de recuperação e de requisitos de ameaça, e adiciona o escore suplementar para avaliações contextuais. A melhora é real, mas não muda a natureza do instrumento: o escore base continua calculado sem conhecimento da ameaça em campo, do ativo e da exposição, e a leitura de severidade como risco continua sendo o erro central a corrigir, independentemente da versão.

A consequência acumulada dessas limitações é uma fila ordenada por severidade intrínseca, que não corresponde à ordem de exploração real observada no mercado. A resposta de mercado foi adicionar camadas de inteligência de ameaça sobre o CVSS, e é isso que o EPSS e o KEV fazem, cada um com uma natureza diferente: um estima o futuro, o outro registra o presente.

3. EPSS: Probabilidade de Exploração

O EPSS, Exploit Prediction Scoring System, mantido pelo FIRST, estima a probabilidade de que uma vulnerabilidade seja explorada em campo nos próximos 30 dias, expressa em valor entre 0 e 1. O modelo é treinado sobre dados observados de exploração e usa dezenas de características da vulnerabilidade, incluindo idade, presença de exploit público, exposição de produtos afetados e sinais de atividade em fontes de ameaça. O resultado acompanha um percentil, que indica posição da CVE em relação a todas as demais, e a leitura correta usa os dois números: probabilidade de 0,05 no percentil 97 significa vulnerabilidade pouco provável de ser explorada, mas ainda assim mais provável que a quase totalidade da base.

O valor do EPSS na priorização é direto: ele move a fila da severidade para a probabilidade, e é a camada de ameaça que o CVSS não tem. A CVE-2021-44228, conhecida como Log4Shell, estabilizou com probabilidade próxima de 1 no pico da exploração, enquanto milhares de CVEs com escore 9.8 permanecem abaixo de 0,01, e é essa diferença que o CVSS não captura por construção. As limitações também devem estar escritas na política. O modelo reflete o observado, e exploração em escala menor ou silenciosa pode demorar a refletir; software nichado tende a receber escore baixo por base estatística, e não por segurança; e o valor muda todos os dias, o que exige consumo automatizado via API e proíbe o congelamento de números em planilha sem atualização.

O consumo operacional do EPSS é diário e automatizado, via API pública do FIRST, com o resultado gravado na base de gestão de vulnerabilidades e versionado por data. A pergunta que o EPSS responde é sobre a fila do mercado; a pergunta que ele não responde é sobre a fila da organização, porque exploração direcionada contra o setor específico não está no modelo. Por isso o EPSS qualifica a decisão, e o KEV e a telemetria própria são quem a confirmam.

4. KEV: Evidência de Exploração Conhecida

O KEV, Known Exploited Vulnerabilities, é o catálogo do CISA de vulnerabilidades com exploração ativa confirmada, abastecido por evidência de uso em campo e por compromissos de autoridade em relação a cada entrada. A natureza do KEV é diferente do EPSS: o KEV não estima probabilidade, ele registra o fato de que a exploração já aconteceu, e por isso é o sinal mais forte de priorização que existe na prática. O catálogo nasceu da diretriz BOD 22-01, que obriga agências federais dos EUA a remediar entradas do catálogo em prazos fixos, tipicamente duas semanas para falhas novas, mas o uso do KEV é universal entre operadores maduros exatamente porque o critério de entrada é evidência, e não especulação.

A operação com o KEV tem três regras práticas. Primeiro, entrada no KEV atalha a discussão: CVE no KEV é prioridade máxima por definição da política, e a discussão restante é sobre prazo e janela de mudança, não sobre se remediar. Segundo, ausência no KEV não é prova de segurança, porque o catálogo tem critério de inclusão conservador e cobertura concentrada em produtos comuns, e dependência do KEV como filtro exclusivo cega para exploração direcionada. Terceiro, o catálogo é dinâmico e deve ser consumido por feed automatizado, com o mesmo rigor de atualização exigido do EPSS, porque a entrada nova é o evento acionável.

O evento acionável merece detalhe: CVE adicionada ao catálogo hoje, com ativo afetado presente no inventário, é hipótese de comprometimento imediato e tema natural de flash report quando o ativo é exposto. O histórico de inserção também é dado analítico: entradas antigas com exploração contínua sustentam decisões de arquitetura e de substituição de produto, e não apenas decisões de remediação pontual.

5. Combinação CVSS, EPSS, Exposição e Criticidade

A política madura de priorização combina quatro fatores em decisão hierárquica, e não em média. A severidade, medida pelo CVSS, qualifica a magnitude do dano potencial; a ameaça, medida pelo EPSS e pelo KEV, qualifica a probabilidade e a confirmação de exploração; a exposição, derivada do inventário e da gestão de superfície, qualifica a acessibilidade do ativo; e a criticidade do ativo, derivada do inventário de negócio, qualifica o impacto real. A regra de decisão da política desta biblioteca é a tabela abaixo, com SLAs sugeridos para calibração por porte de equipe.

A hierarquia é deliberadamente conservadora na ponta superior, porque evidência de exploração muda o cálculo do risco mais que qualquer estimativa. A abordagem SSVC, Stakeholder-Specific Vulnerability Categorization, é o complemento conceitual recomendado: em vez de somar escores, ela percorre árvore de decisão com perguntas sobre exploração, automação técnica, exposição e impacto da missão, e entrega categorias de ação. Equipes com maturidade maior adotam SSVC para os casos de fronteira, e a política em tabela para o volume de rotina.

Toda política de priorização precisa de válvula para o caso impossível, e a exceção documentada é essa válvula. Ativo que não pode ser atualizado dentro do SLA recebe compensação registrada, com dono, prazo e critério de revisão, e o risco aceito é assinado no nível que a política define, e não pelo analista que classificou. A exceção sem registro é o mecanismo pelo qual a fila de P1 se transforma em ficção administrativa, e a métrica de exceções abertas deve ser visível no reporte executivo.

6. Exemplo: Matriz de Priorização de Vulnerabilidades

A matriz abaixo aplica a política da seção 5 sobre dez vulnerabilidades típicas de um portfólio real, com os quatro fatores lado a lado e a prioridade resultante.

A matriz deixa visível o valor da combinação. A Spring4Shell, com escore crítico de severidade, fica atrás das entradas do KEV porque não tem sinal de exploração no contexto da organização, e a CVE-2015-1635, com severidade mediana, sobe acima da CVE-2012-0158 porque tem exploração confirmada, ainda que em contexto de baixa criticidade. A leitura por coluna isolada produziria fila diferente e errada, e é justamente a diferença entre as filas que justifica a política. A consulta abaixo automatiza a atribuição de prioridade na base de gestão de vulnerabilidades.

SELECT
  v.cve,
  v.cvss_base,
  e.epss,
  CASE WHEN k.cve IS NOT NULL THEN 1 ELSE 0 END AS em_kev,
  a.exposto_internet,
  a.criticidade,
  CASE
    WHEN k.cve IS NOT NULL AND a.exposto_internet = 1 THEN 'P1'
    WHEN k.cve IS NOT NULL AND a.criticidade >= 4       THEN 'P1'
    WHEN e.epss >= 0.5 AND a.exposto_internet = 1       THEN 'P2'
    WHEN v.cvss_base >= 9.0 AND a.criticidade >= 4      THEN 'P2'
    WHEN k.cve IS NULL AND v.ano <= 2016 AND a.criticidade <= 2
                                                        THEN 'P4'
    WHEN v.cvss_base >= 7.0                             THEN 'P3'
    ELSE 'P4'
  END AS prioridade
FROM vulnerabilidades v
LEFT JOIN epss_diario e ON e.cve = v.cve
LEFT JOIN kev          k ON k.cve = v.cve
JOIN ativos            a ON a.id = v.ativo_id
ORDER BY prioridade, e.epss DESC, v.cvss_base DESC;

A consulta pressupõe três bases sincronizadas: o inventário de ativos com criticidade e exposição, o consumo diário de EPSS via API e o feed do KEV. A sincronização é o custo real da priorização por risco, e é aí que a integração com o inventário e com a gestão de superfície decide se a política funciona ou fica no papel.

7. Operação Contínua e Métricas

A priorização é rotina diária, e não projeto trimestral, e a operação segue o ciclo abaixo em cadência fixa, com o delta do dia como principal produto.

Rotina diaria de priorizacao
1. Consumir o EPSS do dia via API e atualizar a tabela epss_diario.
2. Consumir o feed do KEV e registrar entradas novas com data de insercao.
3. Recalcular prioridades e publicar o delta: CVEs que subiram para P1 ou P2.
4. Notificar o dono de cada ativo reclassificado com prazo recalculado.
5. Registrar excecoes novas e revisar as excecoes vencidas.

A rotina só se sustenta com métricas de acompanhamento, porque priorização sem medição degrada para fila por severidade em poucos meses. O conjunto mínimo recomendado está na tabela abaixo.

A métrica de reclassificações é a que melhor mede se a política está viva: fila estática demais indica feeds sem consumo, e fila em mudança constante sem causa documentada indica política instável.

8. Erros Comuns e Pontos de Atenção

• Remediar por ordem de CVSS: fila ordenada só por severidade deixa CVEs com exploração ativa atrás de CVEs sem sinal de exploração, e a fila perde conexão com o risco real.
• Tratar EPSS como verdade: o modelo estima probabilidade sobre dados observados, tem viés para software comum e muda diariamente, e o escore qualifica a decisão, não a substitui.
• Congelar números em planilha: EPSS e KEV mudam todos os dias, e base estática prioriza com informação vencida exatamente nas CVEs que mais mudam.
• Ignorar exposição e criticidade: os dois fatores que transformam severidade em risco vêm do inventário, e sem inventário confiável a política degrada para CVSS puro.
• Usar ausência no KEV como prova de segurança: o catálogo tem critério conservador e concentração em produtos comuns, e exploração direcionada não entra nele.
• Média de escores no lugar de hierarquia: risco não é soma ponderada de dimensões heterogêneas, e a média apaga justamente a entrada no KEV, que é o sinal mais forte.
• Priorizar sem capacidade de execução: política que classifica o portfólio inteiro como P1 não prioriza nada, e os SLAs precisam caber na capacidade real de remediação.
• Esquecer compensação: vulnerabilidade P4 pode exigir compensação imediata em vez de remediação, e a priorização se aplica também à escolha do tratamento, e não só ao prazo.
• Tratar priorização como projeto: política implementada uma vez e não alimentada diariamente prioriza com dados vencidos em poucas semanas, e a rotina da seção 7 é o controle.
• Priorizar sem telemetria própria: EPSS e KEV descrevem o mercado, e a organização com detecção madura usa o sinal interno, como tentativas de exploração observadas, para reclassificar antes do feed.

9. Integração com o Restante da Biblioteca

Esta nota aplica o ciclo de inteligência à fila de remediação, e cada fator da combinação vem de uma nota vizinha. O EPSS e o KEV são as fontes de ameaça consumidas pelo pipeline do capítulo 02, com o mesmo rigor de avaliação de fonte exigido lá; a exposição vem da gestão de superfície do capítulo 12 e do IOE do capítulo 03; e a criticidade vem do inventário do capítulo 02 da seção 15. No lado do adversário, o KEV e o EPSS são insumo direto para o TH.10 de caça por IOC e para o CTI.2 de avaliação de ameaças, porque exploração confirmada de falha presente no portfólio próprio é a hipótese de hunting de maior retorno imediato.

A síntese desta nota é a separação de conceitos que a prática confunde desde sempre: severidade é sobre a falha, ameaça é sobre o adversário, exposição é sobre a superfície e criticidade é sobre o negócio. A decisão madura combina as quatro, e o produto não é um número novo, e sim uma fila que muda de ordem quando o mundo muda, com prazo, dono e evidência para cada posição.