O item que fornece uma maneira de capturar as principais características de uma vulnerabilidade e produzir uma pontuação numérica que reflete sua gravidade é o
- A)A CVSS ( common vulnerability scoring system ).
Correta: o CVSS e o padrao que atribui uma pontuacao numerica para representar a gravidade de uma vulnerabilidade.
- B)XSS ( cross site script ).
Errada: XSS e uma tecnica de ataque de injeção de script, nao um sistema de avaliacao de severidade.
- C)SQLi (SQL injection).
Errada: SQLi e uma vulnerabilidade/ataque por injeção em banco de dados, nao um metodo de pontuacao.
- D)NVD ( national vulnerability database ).
Errada: NVD e uma base nacional de vulnerabilidades, que registra informacoes e frequentemente referencia o CVSS, mas nao faz a pontuacao em si.
- E)BO ( buffer overflow ).
Errada: buffer overflow e um tipo de vulnerabilidade/exploitação de memoria, nao um sistema para medir gravidade.
Gabarito: A
Quando a banca fala em um item que captura as principais caracteristicas de uma vulnerabilidade e gera uma pontuacao numerica da gravidade, ela esta descrevendo o CVSS, o Common Vulnerability Scoring System. Pense nele como uma "tabela de nota" para vulnerabilidades: ele ajuda a comparar riscos de forma padronizada, em vez de ficar no achismo. Isso e muito usado junto com bases como a NVD, mas sao coisas diferentes: uma coisa e o sistema de pontuacao, outra e o repositório que divulga informacoes sobre vulnerabilidades. O CVSS classifica a severidade considerando fatores tecnicos, como impacto, explorabilidade e escopo, produzindo uma nota que facilita priorizacao. Em provas, a ideia central e simples: se a questao pede a ferramenta/metodo que transforma caracteristicas da falha em score numerico, voce deve lembrar do CVSS. O gabarito A esta correto porque o CVSS foi criado exatamente para padronizar a avaliacao de severidade de vulnerabilidades. Ja as demais alternativas sao exemplos de ataques, tecnicas ou bases de dados, mas nao o sistema de pontuacao em si. Na pratica, o CVSS e referencia amplamente adotada no meio tecnico e aparece em catalogos como o NVD para indicar a criticidade das falhas.