Puntuación CVSS y priorización de vulnerabilidades

Después de ejecutar un análisis de vulnerabilidades, una organización puede descubrir cientos o miles de vulnerabilidades en sus sistemas. Intentar aplicar parches a todo de inmediato no es posible ni estratégico: los recursos son limitados y no todas las vulnerabilidades implican el mismo riesgo. La priorización de vulnerabilidades es el proceso de clasificar las vulnerabilidades según el riesgo real que representan para la organización, de modo que los problemas más peligrosos se aborden primero. Una priorización eficaz evita el error común de corregir problemas menores y meramente estéticos mientras una vulnerabilidad crítica de ejecución remota de código permanece en espera.

El Common Vulnerability Scoring System (CVSS) es un marco abierto que proporciona una puntuación numérica estandarizada (0.0-10.0) para representar la gravedad de una vulnerabilidad de seguridad. CVSS es mantenido por FIRST (Forum of Incident Response and Security Teams) y es el sistema de puntuación principal utilizado en la NVD (National Vulnerability Database). La versión actual, CVSS v3.1, calcula las puntuaciones según tres grupos de métricas: Base (características intrínsecas de la vulnerabilidad), Temporal (factores que cambian con el tiempo) y Environmental (modificadores específicos de la organización). Solo se requiere la puntuación Base; las demás son ajustes opcionales.

La puntuación Base se calcula a partir de dos grupos de métricas. Las métricas de explotabilidad describen cómo se puede atacar la vulnerabilidad: Attack Vector (AV) — Network (remoto), Adjacent, Local o Physical; Attack Complexity (AC) — Low o High; Privileges Required (PR) — None, Low o High; User Interaction (UI) — None o Required. Una vulnerabilidad explotable a través de la red, sin autenticación ni interacción del usuario, obtiene la máxima puntuación de explotabilidad (AV:N/AC:L/PR:N/UI:N). Estos factores se combinan con las métricas de impacto para producir la puntuación Base.

Las métricas de impacto miden las consecuencias en las tres dimensiones de la tríada CIA si se explota la vulnerabilidad. Confidentiality Impact (C) — None, Low o High (cuántos datos pueden divulgarse). Integrity Impact (I) — None, Low o High (cuántos datos pueden modificarse). Availability Impact (A) — None, Low o High (cuánta interrupción del servicio se produce). Scope (S) — Unchanged o Changed (si el impacto de la vulnerabilidad se extiende más allá del componente vulnerable a otros componentes o sistemas). Un alcance Changed significa que una vulnerabilidad explotada correctamente puede afectar a sistemas fuera de su alcance inicial, lo que aumenta considerablemente la puntuación.

Las métricas temporales ajustan la puntuación Base según factores que cambian con el tiempo. Exploit Code Maturity (E) — indica si existe un exploit funcional (Unproven, Proof-of-Concept, Functional, High). Una vulnerabilidad con un exploit público preparado para causar daños es más urgente que otra sin ningún exploit conocido. Remediation Level (RL) — Official Fix, Temporary Fix, Workaround o Unavailable. Una vulnerabilidad con un parche oficial del proveedor reduce la urgencia en comparación con otra que no tiene solución. Report Confidence (RC) — Unknown, Reasonable o Confirmed. Una vulnerabilidad confirmada y reproducida ampliamente tiene una valoración más fiable que un informe no confirmado.

Las métricas ambientales permiten a las organizaciones personalizar la puntuación CVSS según su contexto específico. Las Modified Base Metrics permiten cambiar cualquier métrica Base para reflejar el entorno de la organización (por ejemplo, una vulnerabilidad accesible a través de la red puede tener AV:L si, en esa configuración concreta, el servicio solo es accesible localmente). Los valores de CIA Requirement (Low, Medium, High) reflejan la importancia de cada dimensión CIA para la organización: un hospital puede valorar Availability como High en los sistemas de monitorización de pacientes, mientras que una institución de investigación puede dar la máxima importancia a Confidentiality. La puntuación ambiental hace que CVSS tenga en cuenta el contexto y sea más útil para tomar decisiones reales de priorización.

Tres sistemas relacionados funcionan junto con CVSS. CVE (Common Vulnerabilities and Exposures) es una lista de vulnerabilidades de seguridad conocidas públicamente, cada una con un identificador único (CVE-2021-44228 es Log4Shell). CWE (Common Weakness Enumeration) categoriza tipos de debilidades de software (CWE-79 es XSS y CWE-89 es SQL Injection); clasifica la causa raíz, no una instancia específica. La NVD (National Vulnerability Database) enriquece las entradas de CVE con puntuaciones CVSS, referencias, intervalos de productos afectados y enlaces de corrección. Los equipos de seguridad se suscriben a NVD y a los avisos de los proveedores para recibir notificaciones sobre nuevos CVE relevantes para su inventario de software.

Las puntuaciones CVSS representan la gravedad técnica de forma aislada, pero no tienen en cuenta el contexto de la organización. La priorización basada en el riesgo modifica la urgencia de corrección según: la criticidad del activo (un sistema ERP crítico tiene mayor prioridad que un servidor de pruebas), la explotabilidad en la práctica (el catálogo KEV — Known Exploited Vulnerabilities — de CISA enumera los CVE que se están explotando activamente), la exposición (¿el sistema vulnerable está expuesto a Internet?) y los controles compensatorios (¿hay un WAF que bloquee la ruta del ataque?). Una vulnerabilidad con CVSS 7.5 en un sistema crítico para el negocio, expuesto a Internet y con un exploit público puede ser mucho más urgente que una con CVSS 9.0 en un servidor interno de pruebas aislado.

Varios marcos y herramientas mejoran la priorización basada en CVSS. EPSS (Exploit Prediction Scoring System) estima la probabilidad de que un CVE se explote en la práctica durante los próximos 30 días, mediante machine learning aplicado a datos de inteligencia sobre amenazas. EPSS alto + CVSS alto = máxima prioridad. SSVC (Stakeholder-Specific Vulnerability Categorization) es un árbol de decisión de CISA y Carnegie Mellon que tiene en cuenta el estado de explotación, el impacto en la seguridad y las infraestructuras críticas, y si el sistema es esencial para la misión. Estos marcos ayudan a las organizaciones a ir más allá de ordenar simplemente por puntuación CVSS y a tomar decisiones de corrección realmente informadas por el riesgo.

Los profesionales de seguridad deben traducir las puntuaciones técnicas de CVSS a un lenguaje empresarial que permita tomar decisiones de gestión. En lugar de decir «Tenemos una vulnerabilidad RCE sin autenticación con CVSS 9.8 en nuestro servidor web público», diga «Un atacante desde Internet puede tomar el control total de nuestro sitio web orientado a clientes sin necesidad de credenciales, lo que podría permitirle acceder a los 500.000 registros de clientes y a nuestro sistema de procesamiento de pagos; debemos aplicar el parche del proveedor o desconectar el servidor en un plazo de 24 horas». Explicar el impacto empresarial (datos en riesgo, pérdidas financieras y consecuencias normativas) impulsa decisiones ejecutivas más rápidas que las puntuaciones por sí solas.

La priorización de vulnerabilidades solo aporta valor cuando está conectada con un proceso eficaz de gestión de parches. El ciclo de vida de la gestión de vulnerabilidades incluye: Identify (analizar), Analyze (CVSS + contexto), Prioritize (clasificar el riesgo + SLA), Remediate (implementar parches mediante SCCM/Intune/Ansible), Verify (volver a analizar para confirmar que se ha aplicado el parche) y Report (informar de las tendencias a la dirección). Las herramientas de gestión de parches automatizan la implementación a gran escala y realizan un seguimiento de los sistemas actualizados y de los que siguen expuestos. El plazo del SLA de corrección comienza cuando se descubre una vulnerabilidad, por lo que la frecuencia de los análisis está directamente relacionada con el tiempo medio de corrección.

En esta lección ha aprendido que CVSS puntúa las vulnerabilidades en una escala de 0.0 a 10.0 mediante métricas Base (explotabilidad + impacto), Temporal (madurez del exploit + disponibilidad de una solución) y Environmental (contexto de la organización); el catálogo KEV de CISA y las puntuaciones EPSS mejoran la priorización basada en CVSS al identificar qué vulnerabilidades se están explotando activamente en la práctica; y una gestión eficaz de vulnerabilidades conecta los resultados de los análisis con los flujos de trabajo de gestión de parches mediante SLA definidos según la gravedad. Con esto concluye el módulo de gestión de vulnerabilidades; a continuación profundizaremos en la seguridad de las aplicaciones y en OWASP Top 10.