Detección de vulnerabilidades desde el agente

El módulo de detección de Wazuh guarda un estado por hallazgo. Entre sus campos están vulnerability.id (el CVE), vulnerability.severity, vulnerability.score.base, vulnerability.category (paquetes o sistema operativo), vulnerability.detected_at y vulnerability.status, además del nombre y la versión del paquete. La tabla campos_del_hallazgo los lista.

El estado puede ser Active o Solved. Un hallazgo pasa a Solved cuando deja de figurar en el inventario del equipo, por ejemplo porque se actualizó o se quitó el paquete afectado. Es decir, el cierre lo decide el inventario siguiente, no una persona que lo marque.

Un CVE puede afectar a varios equipos a la vez. En la tabla vulnerabilidades, un mismo identificador puede aparecer en filas de agentes distintos con paquetes de versión distinta. Para el analista es un solo problema que tiene dos instancias y que probablemente se corrige con una sola decisión, aunque se ejecute en dos equipos.

La clase de severidad resume la puntuación base. Para decidir qué atender primero no basta el total de filas: hay que contar solo lo que sigue activo y es grave. Filtra por estado y por severidad, o lee la tabla completa y cuenta.

Los hallazgos en Solved no se atienden, pero se conservan: sirven de evidencia de que el ciclo funcionó y permiten medir cuánto tarda en cerrarse cada hallazgo. Buscar los Solved es parte de la revisión.