Puntuación de riesgo real

Según la documentación de Rapid7, Active Risk da a cada vulnerabilidad una puntuación de 0 a 1000. Parte del CVSS más reciente disponible y le suma inteligencia de amenazas: si existe un exploit funcional, si se está explotando en la práctica y la evaluación de fuentes de amenazas como AttackerKB, Metasploit, ExploitDB o la lista KEV de CISA.

Su antecesora, Real Risk, combinaba el impacto base, la probabilidad inicial de compromiso y la madurez de la exposición con el tiempo. Rapid7 retiró Real Risk, Temporal, TemporalPlus, Weighted y PCI ASV 2.0 el 21 de enero de 2026 y recomienda Active Risk.

Lee hallazgos: cada fila trae el CVSS, el riesgo activo y si se explota en la práctica. Ordenar por CVSS y ordenar por riesgo activo no da el mismo resultado, y esa diferencia es lo que justifica la puntuación propia. Las cifras de riesgo de la tabla son del ejercicio.

La documentación de Rapid7 señala que no es lo mismo comprometer una base de datos con datos de tarjetas que un servidor de impresión, y ofrece ajustar el riesgo con etiquetas de criticidad. La etiqueta la pone la empresa, no el escáner: expresa lo que importa al negocio. Mira activos.

La tabla tendencia muestra el riesgo total de la consola mes a mes y la estrategia activa en cada uno. Un cambio de estrategia cambia la escala con la que se mide, y mezclar los meses antes y después es mezclar reglas.

Rapid7 advierte en sus preguntas frecuentes que los datos históricos no se recalculan: solo los datos nuevos usan Active Risk. Entre enero y febrero el total de la consola subió de 17900 a 21400.