Quem ordena a fila de correções pela nota de gravidade do CVSS gasta a maior parte da capacidade de manutenção em falhas que nunca serão atacadas: a fração de vulnerabilidades com atividade de exploração observada em qualquer janela de um mês fica na casa de um dígito. O problema atinge qualquer equipe cuja lista de CVEs cresce mais rápido do que a agenda de mudança, do operador de TI ao dono de aplicação. A ação prioritária é trocar a ordenação por gravidade por uma ordenação por probabilidade calibrada de ataque — o EPSS — e só depois aplicar o contexto local de presença, exposição e consequência.
O que o EPSS realmente mede
O Exploit Prediction Scoring System (EPSS) é mantido pela FIRST, o fórum internacional de equipes de resposta a incidentes, e funciona como um modelo de aprendizado de máquina que estima a probabilidade de uma falha publicada ser explorada na natureza nos próximos 30 dias. A nota sai todos os dias, em escala entre 0 e 1, acompanhada do percentil da falha dentro da população, e os dados são abertos, distribuídos em CSV e por API — o que permite plugá-los direto no inventário, no scanner ou no painel, sem depender de fornecedor.
A diferença para o CVSS está no tipo de número. O CVSS mede gravidade técnica numa escala ordinal: nada garante que um 9,8 seja mais atacado que um 7,1. O EPSS entrega probabilidade calibrada: em agregado, falhas com nota perto de 5% registram atividade de exploração cerca de 5% das vezes. Esse número entra em conta de gerência: quantos eventos esperar no mês, qual a chance de ao menos uma falha de um servidor ser atacada, quanto esforço cada ponto do limiar compra. O motor, segundo a documentação do modelo, é um classificador XGBoost treinado com cerca de 120 milhões de linhas de dados históricos, alimentado por telemetria de exploração de parceiros comerciais e abertos, inteligência de ameaças, disponibilidade de código de exploit, descrições das falhas e características de fabricante e produto — cerca de 2.800 sinais no total.
A distribuição tem cauda longa, e isso muda a leitura. A média das notas gira em torno de 2,8% e a mediana em torno de 0,7%. Um limiar de 50%, que parece razoável para quem cresceu com nota de prova, quase esvazia a fila: a maioria das falhas mora abaixo de 1%. Por isso a FIRST publica o percentil junto da nota — a posição na população diz mais que o valor absoluto.
Da nota à decisão: limiares
O caminho curto para adotar é traduzir a política atual. A documentação da FIRST estima o esforço equivalente entre regimes: um programa que só corrige o que o CVSS chama de crítico trabalha, no EPSS, com o percentil 90 como ponto de corte — notas a partir de 0,04, ou 4% de probabilidade de exploração. Um programa que corrige alto e acima cobre quase metade das falhas publicadas; o equivalente fica perto de 0,008, ou 0,8%. A tabela resume a tradução e a ação sugerida por faixa.
| Política atual | Equivalente no EPSS | Ação sugerida |
|---|---|---|
| Corrige só o crítico do CVSS | nota ≥ 0,04 (faixa do percentil 90) | P1 — corrigir na janela padrão de mudança |
| Corrige alto e acima | nota ≥ 0,008 (0,8%) | P2 — janela estendida com monitoramento |
| Falha no catálogo KEV | corrigir independente da nota | P1 — exploração confirmada vence o modelo |
| Nota baixa em ativo exposto | reavaliar com contexto local | P2 — exposição pode elevar a prioridade |
Vale repetir o aviso da própria FIRST: o EPSS não é score de gravidade nem score de risco completo. Ele responde a uma pergunta — qual a chance de atividade de exploração — e precisa ser combinado com impacto, que depende do seu ambiente. Definir onde fica o corte é decisão de apetite, não de estatística: limiar baixo compra cobertura e custa esforço; limiar alto economiza e aceita risco. Para amarrar o corte ao risco que a organização aceita, a discussão fica melhor ao lado de um modelo explícito de apetite, como o CIS RAM, que prioriza controles pelo risco aceitável.
O sinal regulatório americano
O movimento não é só técnico. A agência americana CISA publicou a diretiva BOD 26-04, de priorização de atualizações de segurança com base em risco, que revoga as diretivas BOD 22-01 e BOD 19-02 e abandona a ideia de tratar toda falha com o mesmo relógio. Pela nova regra, a urgência de correção passa a ser decidida por exposição do ativo e status no KEV, somados à possibilidade de automatizar o ataque e ao impacto técnico — se o invasor obtém controle parcial ou total do componente afetado. As agências federais americanas passam a receber prazos diferentes conforme essa combinação, e a filosofia serve a qualquer organização: recurso finito vai primeiro para o que é exposto, automatizável e grave.
O EPSS entra nessa arquitetura como a variável de probabilidade. A documentação da FIRST mapeia onde o valor alimenta estruturas consagradas: aproxima a frequência de evento de ameaça no FAIR, informa o componente de atividade do atacante na análise de verossimilhança do NIST SP 800-30 e do NIST CSF 2.0 e cobre a verossimilhança de ameaça prevista na ISO 27005. O número não substitui o julgamento; substitui a parte do julgamento que o analista não consegue calibrar sozinho.
Implantação prática em quatro passos
- Baixe a nota diária. O CSV diário ou a API devolve nota e percentil para cada CVE. Automatize o download e guarde o histórico: a variação da nota ao longo da semana é sinal em si — salto de 2% para 40% indica código de exploit novo ou campanha em curso.
- Cruze com o inventário. Nota alta em falha que não existe no parque não gera trabalho. O join com o inventário de ativos elimina a maior parte da fila antes de qualquer discussão de prioridade.
- Classifique exposição e consequência. Para o que sobrou, marque se o ativo é alcançável pela internet, se a exploração exige autenticação e o que acontece com o negócio se o componente cair. Esses três campos convertem probabilidade populacional em risco local.
- Fixe o limiar e meça. Defina o corte a partir da tradução da política atual, publique a regra e acompanhe, a cada mês, cobertura versus esforço: quantas falhas acima do corte foram corrigidas e quanto da exploração observada ficou abaixo dele.
O passo 4 só vale se o número for tratado como indicador. Um programa que já mede o SGSI com métricas formais pode incluir a taxa de correção acima do limiar e o tempo médio de atendimento por faixa de percentil; o guia de métricas de segurança com ISO 27004 mostra como amarrar esses indicadores a um sistema de gestão.
Erros que anulam o cálculo
- Lavagem de nota. Multiplicar EPSS por CVSS para gerar um risco combinado produz número sem significado: um é probabilidade calibrada, o outro é escala ordinal. Combine por regra de decisão, não por aritmética.
- Confundir improvável com seguro. Em cem falhas com nota de 5%, espera-se cerca de cinco eventos no mês e a chance de ao menos uma ultrapassa 99%. Probabilidade baixa em população grande ainda é volume.
- Ignorar confirmação. Evidência recente de exploração vence a nota: o modelo reflete o perfil de ameaça acumulado no treino, não uma consulta ao feed de ataque de ontem.
- Agir sem contexto. A nota não sabe o que está no seu ambiente, nem controle compensatório, nem criticidade do ativo. Presença, alcançabilidade e consequência continuam sendo trabalho local.