Inteligencia de amenazas y gestión de vulnerabilidades
Aprenda a realizar el seguimiento de vulnerabilidades, priorizarlas con CVSS e inteligencia de amenazas y ejecutar un ciclo continuo de corrección en una canalización DevSecOps.
Inteligencia de amenazas y gestión de vulnerabilidades es una lección gratuita de Secure Coding & OWASP Top 10 for Backend en CoddyKit. Esta es la lección 4 de 4. Puedes leer la lección completa abajo gratuitamente — luego la practicas en el navegador con un editor de código integrado y un tutor de IA 24/7. Forma parte de la ruta de aprendizaje de Secure Coding & OWASP Top 10 for Backend, y tu progreso se sincroniza en la web y la app de CoddyKit. El curso de Secure Coding & OWASP Top 10 for Backend incluye 4 lecciones en total.
Partes de esta lección aún no han sido traducidas y se muestran en inglés.
Why Vulnerability Management?
New vulnerabilities appear daily. Vulnerability management is the ongoing process of discovering, prioritizing, and remediating weaknesses before attackers exploit them. It is a continuous loop, not a one-time scan.
The Management Lifecycle
The lifecycle has clear stages:
- Discover: find vulnerabilities via scans and feeds
- Prioritize: rank by risk
- Remediate: patch, mitigate, or accept
- Verify: confirm the fix
- Report: track metrics over time
CVE and CVSS
A CVE is a unique identifier for a known vulnerability. CVSS is a 0-10 score describing severity based on factors like attack vector and impact. CVSS gives a baseline, but it is not the whole story.
Reading a CVSS Score
CVSS bands roughly map to urgency. Use them to triage, but always combine with context.
def severity(score):
if score >= 9.0:
return 'Critical'
if score >= 7.0:
return 'High'
if score >= 4.0:
return 'Medium'
if score > 0.0:
return 'Low'
return 'None'
for s in [9.8, 7.5, 4.3, 2.1]:
print(s, severity(s))Threat Intelligence
Threat intelligence adds real-world context: Is this CVE being actively exploited? Is there public exploit code? Feeds like CISA KEV and EPSS help you focus on what attackers are actually using right now.
Risk-Based Prioritization
Severity alone is misleading. A medium-CVSS bug under active exploitation on an internet-facing system may outrank a critical bug on an isolated internal tool. Combine severity, exploitability, and asset exposure.
def priority(cvss, exploited, internet_facing):
score = cvss
if exploited:
score += 3
if internet_facing:
score += 2
return round(min(score, 15), 1)
print(priority(5.0, True, True)) # medium CVE but urgent
print(priority(9.0, False, False)) # critical but isolatedSoftware Bill of Materials
An SBOM lists every component and version in your software. When a new CVE drops, an SBOM lets you instantly answer: are we affected, and where?
Integrating into CI/CD
In DevSecOps, vulnerability scanning runs automatically on every build: dependency scanning, container image scanning, and IaC scanning. Builds can fail when a new critical issue is found, shifting detection left.
Remediation Options
Remediation is not always a patch. Your options are:
- Patch or upgrade the component
- Mitigate with a workaround or compensating control
- Accept the risk formally if impact is low
Track each decision with an owner and a deadline.
SLAs and Metrics
Define remediation SLAs by severity (for example, critical within days, high within weeks). Track metrics like mean time to remediate so the program improves measurably over time.
Feeding Incident Response
Vulnerability data and threat intel inform incident response: knowing which CVEs are exploited helps responders recognize attacks faster and patch the right systems first during an incident.
Quick Check
Test your understanding of vulnerability management.
Recap
You learned the vulnerability management lifecycle, how to read CVSS, and how threat intelligence and SBOMs enable risk-based prioritization. Integrating scanning into CI/CD, setting remediation SLAs, and feeding incident response close the loop in a mature DevSecOps program.
Preguntas frecuentes
¿La lección «Inteligencia de amenazas y gestión de vulnerabilidades» es gratis?
Sí — el texto completo de «Inteligencia de amenazas y gestión de vulnerabilidades» es gratis para leer aquí en la web. Para practicarla de forma interactiva (editor de código integrado y tutor de IA 24/7) y desbloquear el resto del curso de Secure Coding & OWASP Top 10 for Backend, actualiza a CoddyKit PRO. El curso de Secure Coding & OWASP Top 10 for Backend incluye 4 lecciones en total.
¿Qué aprenderé en «Inteligencia de amenazas y gestión de vulnerabilidades»?
Aprenda a realizar el seguimiento de vulnerabilidades, priorizarlas con CVSS e inteligencia de amenazas y ejecutar un ciclo continuo de corrección en una canalización DevSecOps. Practicas Secure Coding & OWASP Top 10 for Backend con código real que ejecutas directamente en el navegador, y un tutor de IA 24/7 responde tus preguntas mientras trabajas en la lección.
¿Necesito experiencia previa para empezar Secure Coding & OWASP Top 10 for Backend?
No se requiere experiencia previa. Secure Coding & OWASP Top 10 for Backend en CoddyKit está estructurado para principiantes hasta estudiantes avanzados, así que puedes empezar aquí o desde el inicio y avanzar a tu ritmo. Esta es la lección 4 de 4.
¿Cuánto tiempo toma la lección «Inteligencia de amenazas y gestión de vulnerabilidades»?
La mayoría de las lecciones de CoddyKit toman alrededor de 5–10 minutos. Cada una es compacta e interactiva, así que avanzas constantemente y retomas exactamente por donde dejaste en la web y la app.
¿Puedo escribir y ejecutar código en esta lección de Secure Coding & OWASP Top 10 for Backend?
Sí. Cada lección de Secure Coding & OWASP Top 10 for Backend incluye un editor de código integrado, así que escribes y ejecutas código real directamente en tu navegador y obtienes retroalimentación instantánea de IA — sin configuración local necesaria.
Todas las lecciones de este curso
- Integración de la seguridad en CI/CD (DevSecOps)
- Pruebas de seguridad (SAST, DAST, IAST)
- Respuesta ante incidentes y recuperación ante desastres
- Inteligencia de amenazas y gestión de vulnerabilidades