Probabilidad y percentil, y los umbrales

La hoja de EPSS publica, junto a la probabilidad, un percentil. El percentil no mide cuánta probabilidad hay: coloca el CVE frente a todos los demás CVE puntuados ese día. Un percentil de 0.90 significa que su puntuación es mayor que la del 90 % de los CVE puntuados; la probabilidad de ese mismo CVE puede ser baja, porque casi todos los CVE tienen probabilidades bajas.

Por eso el percentil sirve para ordenar y para comparar con el resto del universo de CVE, y la probabilidad sirve para decidir cuánto se espera que pase.

Como casi todo el universo de CVE tiene probabilidades pequeñas, un valor modesto puede quedar bastante arriba en el percentil. Ocurre en la hoja de hoy: hay un CVE cuyo percentil supera 0.85 y cuya probabilidad no llega a 0.05. Quien filtrara por «percentil alto» lo trataría como urgente; quien lea la probabilidad ve que sigue siendo muy improbable que se explote en 30 días.

Busca ese CVE con una consulta que combine las dos condiciones.

Una política que dice «todo CVE con EPSS de 0.10 o más pasa a la cola de atención» es sencilla de escribir y de auditar. Pero un umbral es un corte seco: un 0.099 se queda fuera y un 0.101 entra, aunque casi no se diferencien. Antes de fijarlo conviene saber cuántos hallazgos cruzan, para que la cola sea una cantidad que el equipo pueda atender.

La consulta del laboratorio lista los hallazgos de hoy con un EPSS de 0.10 o más. El recuento lo haces tú.

El percentil y la probabilidad contestan preguntas distintas. El percentil responde «¿dónde queda este CVE frente al resto?» y la probabilidad responde «¿qué se espera que pase con este CVE?». Una política de plazos se escribe sobre la probabilidad (o sobre el hecho de que el CVE esté en un catálogo de explotados), porque cada punto de probabilidad significa lo mismo cualquier día. El percentil cambia de sentido con el universo: si ese día se puntúan más CVE, la misma probabilidad puede dar otro percentil.