Qué mide el EPSS y qué no

El EPSS (Exploit Prediction Scoring System) lo mantiene FIRST, el foro de equipos de respuesta a incidentes. Es un modelo que estima la probabilidad de que un CVE publicado se explote en estado real durante los próximos 30 días. El resultado es un número de 0 a 1 que se actualiza cada día y que se publica abierto, junto con su percentil.

Tres palabras importan en esa frase. «Probabilidad»: es una estimación, no un hecho. «En estado real»: se refiere a explotación observada, no a que exista una prueba de concepto. «30 días»: es un horizonte corto, y por eso el valor se mueve.

Un EPSS de 0.12 se lee como una probabilidad estimada de 12 % de explotación en los próximos 30 días. No dice que el fallo sea «12 % grave», ni que afecte a tu red, ni que vaya a ser un 12 % de lo que haría un EPSS de 1.0. Es una probabilidad sobre un hecho concreto: que se observe explotación de ese CVE en algún lugar de internet.

Eso último es lo que más se olvida. El modelo no sabe si tu activo tiene ese producto, si está expuesto o si guarda algo valioso. Mide la amenaza sobre el CVE, no el riesgo sobre tu activo.

Abre la consola del laboratorio y consulta la hoja de hoy (epss_hoy). Cada fila es un hallazgo del escáner de Hilandera con el valor de EPSS de ese día. Ordénala por probabilidad y quédate con el extremo de arriba.

La hoja de hoy es una foto. Si el escáner guarda el valor de EPSS el día que encontró el hallazgo y nadie lo vuelve a mirar, la prioridad queda congelada con una probabilidad vieja. El modelo se recalcula cada día porque cambia lo que se sabe: aparece código de explotación, se ven intentos, el fabricante publica una advertencia.

Abre epss_historia: tres fechas de cuatro CVE de la hoja. Tres de ellos casi no se mueven. Uno se disparó en una semana, y es justo el que habría pasado desapercibido con la captura del 28 de septiembre.