O que a palavra promete
Validação de exploitabilidade é a confirmação técnica de que uma falha detectada num ativo específico pode de fato ser explorada naquele ativo, nas condições em que ele está.
Um scanner reporta que a versão do componente corresponde a uma CVE conhecida. Isso é correspondência de versão. Validar é outra coisa: é verificar se o caminho existe.
As três condições
Uma falha só é explorável quando três coisas valem ao mesmo tempo.
Alcançável. O componente vulnerável responde de onde o adversário está. Uma biblioteca vulnerável instalada mas nunca chamada por rota alguma não é um caminho.
Pré-condições atendidas. Muita CVE exige configuração específica, autenticação prévia ou um módulo ativado. Se a pré-condição não vale naquele ativo, a nota alta não significa nada ali.
Caminho demonstrável. Existe uma sequência que leva da posição do adversário ao efeito descrito. Sem isso a afirmação continua sendo uma hipótese razoável.
Por que o CVSS não resolve
O CVSS mede gravidade técnica em condições ideais para o atacante. Ele descreve o que aconteceria se a falha fosse explorada, e não diz nada sobre a probabilidade de alguém tentar nem sobre o seu ambiente.
Duas consequências práticas aparecem em qualquer fila real. Existem falhas nota 9.8 publicadas há anos sem um único exploit conhecido, sentadas no topo. E existem falhas de nota média em campanha ativa neste momento, na posição 400 de uma lista ordenada por gravidade teórica.
Ordenar por CVSS produz uma fila cuja ordem não tem relação com o risco. O trabalho é feito de cima para baixo, o orçamento é consumido, e o que ia derrubar a empresa continua parado no meio.
A taxa de validação
Divida o número de achados que passaram por alguma verificação de exploitabilidade pelo total de achados do período.
Na maioria dos programas esse número fica abaixo de 5%. O resto da fila é achado bruto esperando alguém com tempo para conferir um por um, o que não acontece em nenhum tamanho de equipe.
A métrica é útil porque não infla. Total de achados mede o volume que a ferramenta produz; uma fila de 3.000 itens sem validação e uma de 40 validados podem descrever a mesma empresa, e só a segunda dá para executar.
O que a validação não faz
Não substitui a descoberta. Validar bem uma lista incompleta ancora o esforço na parte errada do problema, e produz o efeito mais perigoso de todos: confiança. A empresa trata muito bem tudo que conhece, fecha o trimestre com métrica boa, e o ativo que vai derrubá-la nunca entrou na conta.
Por isso a ordem importa. Descoberta primeiro, validação depois, sobre um conjunto que já reflete o que existe de fato. É a sequência que a gestão contínua de exposição organiza em fases, e é onde a validação da CSURFACE opera.