Errores comunes al usar EPSS y KEV

La primera línea del borrador dice «Riesgo bajo: EPSS 0.031» para la base de datos de siniestros. Es el error más común: tratar la probabilidad como si fuera el riesgo. FIRST lo deja claro en su documentación: el EPSS estima solo la probabilidad de explotación; no mide cuánto daño haría una explotación exitosa ni si el CVE afecta a tu entorno, y no conoce tus controles. El riesgo de un activo mezcla esa probabilidad con el impacto y con cómo está montado el activo.

Abre el registro de activos del laboratorio y mira qué guarda esa base de datos.

La cuarta línea cita un EPSS de 0.150 con fecha del 21 de septiembre. El valor se recalcula cada día, y una captura vieja puede esconder que la probabilidad subió. Si el informe va a decidir plazos, el valor se vuelve a leer el día en que se decide, o se escribe junto a la fecha en que se leyó.

Compara el valor citado en el borrador con el de hoy y encuentra la línea cuyo valor ya no coincide.

La segunda línea dice «Sin riesgo: EPSS 0». El borrador escribió un cero, pero la hoja de hoy no trae ninguna fila para ese CVE. Un CVE que el modelo todavía no ha puntuado no devuelve valor: la ausencia de dato no es una probabilidad de cero, es ausencia de dato. Se resuelve decidiendo con las otras señales, el catálogo, el CVSS y la exposición, y volviendo a mirar el EPSS cuando aparezca.

Para ese CVE el informe necesita una redacción honesta. «Sin dato» es una redacción válida si se acompaña de lo que sí se sabe. Aquí la extranet de corredores asoma a internet y tiene criticidad media, así que el CVE no se puede aparcar solo porque falte un número.

La tercera línea concluye que, como el CVE del correo no consta en KEV, nadie lo explota. El catálogo es una lista curada: prueba lo que contiene y calla sobre lo demás. Que un CVE no esté en la lista es un dato más, y su EPSS de hoy, el de la hoja, dice cuánta probabilidad hay de que se explote en las próximas semanas.