Priorización: CVSS, EPSS y KEV

Un escaneo empresarial típico devuelve miles de hallazgos. No puede corregirlos todos a la vez, por lo que la priorización determina cuáles deben remediarse primero. Si lo hace bien, reducirá rápidamente el riesgo real; si lo hace mal, desperdiciará esfuerzos en problemas teóricos mientras las vulnerabilidades explotadas siguen abiertas.

Tres fuentes de datos sustentan la priorización moderna: CVSS, EPSS y KEV.

El Common Vulnerability Scoring System (CVSS) califica la gravedad intrínseca de una vulnerabilidad en una escala de 0,0 a 10,0. Tiene en cuenta el vector de ataque, la complejidad, los privilegios necesarios y el impacto en la confidencialidad, la integridad y la disponibilidad.

CVSS responde a la pregunta: ¿qué tan grave sería esto si se explotara? No indica qué probabilidad hay de que se explote.

CVSS tiene tres grupos de métricas:

• Base — características intrínsecas e inmutables (la puntuación que cita la mayoría).
• Temporal — aspectos que cambian con el tiempo (madurez del exploit, nivel de remediación).
• Ambiental — el contexto específico de su organización (importancia del activo, mitigaciones).

La mayoría de los equipos solo utiliza la puntuación base e ignora la ambiental, que es precisamente el contexto que debería ajustar la prioridad.

Aplicar parches estrictamente según CVSS sobrecarga a los equipos: una gran proporción de los CVE obtiene una puntuación Alta o Crítica, pero solo una pequeña parte llega a explotarse en la práctica.

Dar la misma prioridad a todos los CVE con una puntuación de 9,8 puede hacer que corrija una vulnerabilidad difícil de alcanzar antes que otra que se está utilizando activamente en campañas de ransomware. La gravedad es necesaria, pero no suficiente.

El Exploit Prediction Scoring System (EPSS) estima la probabilidad (de 0 a 1) de que una vulnerabilidad se explote en la práctica durante los próximos 30 días, basándose en datos de amenazas reales y aprendizaje automático.

EPSS responde a la pregunta: ¿qué probabilidad hay de que esto sea atacado realmente pronto? Un CVE con un EPSS de 0,92 merece una atención mucho más urgente que uno con 0,001, aunque tengan el mismo CVSS.

EPSS proporciona dos cifras: una probabilidad y un percentil (la posición con respecto a todos los CVE). Un percentil de 0,99 significa que se encuentra entre los que tienen mayor probabilidad de ser explotados.

Utilice EPSS como filtro por umbral: por ejemplo, eleve la prioridad de todo lo que supere una probabilidad determinada, independientemente de su CVSS. Reevalúe periódicamente los resultados, porque EPSS se actualiza a diario a medida que cambia el panorama de amenazas.

CISA mantiene el catálogo de Known Exploited Vulnerabilities (KEV): una lista de CVE cuya explotación en la práctica ha sido confirmada y observada.

Si un CVE aparece en KEV, no es teórico: los atacantes lo están utilizando ahora. KEV es la señal individual más sólida de que la remediación es urgente, y las agencias federales de Estados Unidos tienen la obligación de corregir los elementos de KEV dentro de los plazos establecidos.

Las señales se complementan:

• KEV — explotación activa confirmada (corríjalo ahora).
• EPSS — probabilidad prevista de explotación a corto plazo.
• CVSS — impacto en caso de explotación.

Una regla práctica: todo lo que aparezca en KEV tiene máxima prioridad; después, ordénelo según un EPSS alto y un CVSS alto, ponderados según el contexto de sus activos.

El mismo CVE puede implicar un riesgo real diferente según el activo. Multiplique las puntuaciones técnicas por el contexto:

• ¿El activo está expuesto a Internet o solo es interno?
• ¿Contiene datos confidenciales o ejecuta un servicio crítico?
• ¿Hay controles compensatorios (WAF, segmentación) implementados?

Esta es la idea ambiental de CVSS aplicada mediante programación: dé prioridad a los activos críticos expuestos frente a los equipos de prueba aislados.

Un modelo de puntuación funcional:

• ¿Está en KEV? → acción inmediata; anula todo lo demás.
• ¿EPSS por encima del umbral Y está expuesto a Internet? → urgente.
• ¿CVSS alto, pero EPSS bajo y es interno? → cola estándar.
• ¿Todo es bajo? → agrúpelo con el ciclo rutinario de aplicación de parches.

Documente el modelo para que la priorización sea coherente y defendible, no improvisada.

Errores que debe evitar:

• Tratar el CVSS Base como la imagen completa del riesgo.
• Ignorar KEV porque el CVSS parece moderado (algunas entradas de KEV no son 9+).
• No volver a evaluar nunca: EPSS y KEV cambian, así que debe volver a ordenar periódicamente.
• Olvidar el contexto del activo, que puede convertir un hallazgo de bajo riesgo en uno crítico.

Confirme qué mide realmente cada señal.

La priorización combina tres señales: CVSS para el impacto, EPSS para la probabilidad prevista de explotación y KEV para la explotación activa confirmada. Los elementos de KEV requieren una acción inmediata; en los demás casos, ordénelos según EPSS y CVSS, ponderados por la exposición y el valor del activo.

Evite aplicar parches basándose únicamente en CVSS, vuelva a ordenar los hallazgos cuando cambien los datos y documente el modelo. A continuación, convertiremos los hallazgos priorizados en correcciones completadas mediante la gestión de parches y los SLA.