Priorizar vulnerabilidades apenas pela nota de CVSS e uma prática comum — e razoavel enquanto o volume de achados e pequeno. O problema aparece na escala: em um ambiente de porte médio, e comum acumular milhares de itens classificados como “alto” ou “critico” pelo CVSS. Nesse volume, a nota deixa de discriminar o que realmente importa.
Por que o CVSS isolado não escala
O CVSS mede gravidade técnica assumindo que a vulnerabilidade sera explorada — não diz nada sobre a chance disso acontecer nem sobre o que está em jogo se acontecer. Duas vulnerabilidades com a mesma nota podem representar riscos completamente diferentes dependendo de onde estão.
Fatores que uma priorização contextual incorpora
Probabilidade de exploracao. O EPSS estima, com base em dados observados, a chance de uma vulnerabilidade específica ser explorada no curto prazo. Vulnerabilidades com exploracao ativa documentada — como as listadas no catalogo KEV da CISA — merecem tratamento diferente de vulnerabilidades tecnicamente graves mas sem exploracao conhecida.
Criticidade do ativo. A mesma falha em um servidor que sustenta faturamento e em uma maquina de laboratorio isolada carrega pesos de risco muito diferentes. Essa informação não vem de nenhuma ferramenta de varredura — precisa ser definida pelas áreas de negocio donas dos sistemas.
Exposição. Um ativo acessivel pela Internet tem uma superficie de ataque maior do que um ativo isolado na rede interna. Duas vulnerabilidades identicas em ambientes com exposição diferente não deveriam ocupar a mesma posicao na fila.
Caminhos de ataque. Em ambientes complexos, uma vulnerabilidade isolada pode ter impacto limitado, mas se combinar com outra exposição — uma permissão excessiva, uma credencial fraca — pode abrir um caminho completo até um ativo critico. Analisar esses caminhos revela prioridades que a análise item a item não mostra.
O efeito pratico
Organizações que adotam priorização contextual costumam reduzir de forma expressiva o número de itens tratados como “urgentes” — não porque o risco real diminuiu, mas porque o critério anterior superestimava a urgência de itens que, no contexto real do ambiente, representavam pouco risco pratico. Isso libera capacidade de correcao para os itens que efetivamente importam.
Esse tipo de análise combinada — inventário, contexto de ativo, caminhos de ataque e priorização — e o proposito central de uma plataforma de gerenciamento de exposição como o Tenable One. Veja o que e Exposure Management para o conceito completo.
Perguntas frequentes
CVSS deveria deixar de ser usado?
Não. CVSS continua sendo um insumo valido para descrever gravidade técnica. O problema não e usa-lo, e usa-lo como o único critério de priorização em ambientes de porte médio ou grande.
Priorização contextual exige uma plataforma específica?
O raciocinio pode comecar sem ferramenta — classificando manualmente a criticidade dos ativos mais importantes. Uma plataforma ajuda a escalar esse raciocinio quando o volume de ativos e de achados torna o processo manual inviavel.