Priorización de parches: por qué el CVSS por sí solo frena a tu SOC

Un SOC que trata por igual cada vulnerabilidad CVSS crítica parchea primero las equivocadas. Más de 40.000 nuevas vulnerabilidades al año no pueden cerrarse todas en 24 horas, y el número CVSS por sí solo no dice nada sobre cuáles aprovechará realmente un atacante mañana. Quien prioriza necesita dos señales adicionales junto a la gravedad: la probabilidad de explotación y la cuestión de si ya está en curso.

Relacionado:La verificación estática de terceros ya no es suficiente  /  El kernel compartido es la brecha

Por qué el número CVSS por sí solo lleva a error

¿Qué es EPSS? El Exploit Prediction Scoring System asigna a cada vulnerabilidad una probabilidad entre 0 y 1 de que sea explotada en los próximos 30 días. Responde a una pregunta distinta a la de CVSS: no qué tan grave sería el daño, sino qué tan probable es que se produzca.

Esta diferencia es decisiva en el día a día. CVSS evalúa la gravedad en el peor caso, y precisamente por eso se acumulan en cada análisis de vulnerabilidades decenas de entradas con la calificación de crítica. Un equipo que procesa esa lista de arriba abajo dedica días a brechas que nadie ataca nunca, mientras una vulnerabilidad de gravedad media con exploit activo espera al final de la lista. La gravedad sigue siendo relevante, pero no sirve como criterio de ordenación.

Aquí se genera el alivio operativo. Quien aplaza conscientemente las brechas con baja probabilidad de explotación gana tiempo para las vulnerabilidades con exploit activo o probable. El requisito es que la priorización se base en más de un único número.

Tres señales establecen el orden de los parches

CVSS, EPSS y el catálogo KEV no compiten entre sí, responden a preguntas distintas. Solo combinados ofrecen un orden de prioridad sólido.

Una vulnerabilidad con una puntuación CVSS media pero alta probabilidad EPSS suele merecer una actuación más rápida que una calificada como crítica con escasa probabilidad de explotación. Si además figura en el catálogo KEV, la urgencia es inequívoca.

Los niveles ordenan lo que el CVSS deja abierto

De las tres señales surge un orden manejable cuando el SOC las traduce en niveles. La siguiente lógica puede adaptarse al apetito de riesgo propio, pero mantiene la misma estructura.

El nivel inferior es el mayor alivio. Cuando las vulnerabilidades con valores EPSS bajos pasan de forma fiable al funcionamiento normal, quedan disponibles tiempo de análisis y de aplicación de parches para los niveles 0 y 1. Es importante tener en cuenta que un sistema accesible y crítico eleva el nivel: una brecha activamente explotada en un servidor de pruebas aislado no es un Nivel 0.

Lo que sostiene la lógica de niveles y lo que la hace colapsar

El método se sostiene o cae según su mantenimiento. Tres condiciones determinan si el modelo se convierte en un alivio real.

La columna de la derecha describe el caso habitual en el que un buen modelo va degradándose lentamente. Una priorización que nadie mantiene vuelve a ser, a las pocas semanas, una lista ordenada por CVSS, solo con más pasos intermedios.

Preguntas frecuentes

Cada pregunta está bloqueada. Un toque desbloquea la respuesta.