Recomendaciones de seguridad

Las debilidades encontradas se convierten en recomendaciones con pasos de remediación. Según la documentación de Microsoft, cada dispositivo se puntúa con tres factores: la amenaza (exploits públicos, alertas, campañas activas), la probabilidad de brecha (la postura de seguridad de la organización) y el valor de negocio (los activos y procesos críticos). El modelo nuevo de puntaje de exposición añade además datos de predicción de explotación (EPSS) y contexto del activo, como estar expuesto a internet.

Por eso dos recomendaciones con el mismo número de dispositivos pueden tener prioridades muy distintas.

Una recomendación con exploit público y alerta activa significa que el fallo ya se usa o se puede usar sin esfuerzo, y que algo en la organización ya lo está viendo. Es la señal más fuerte de la tabla, más que el número de dispositivos expuestos o la reducción estimada.

Lee recomendaciones y busca la que reúne las dos señales.

Para explicar al jefe de TI cuánto trabajo urgente hay, a veces basta una suma sobre la tabla: los dispositivos expuestos por las recomendaciones que tienen exploit público. Es una suma de filas, no un conteo de dispositivos únicos: un mismo equipo puede aparecer en dos recomendaciones.

Cuando una recomendación no se puede aplicar todavía, el analista registra una excepción con justificación y duración. La documentación de Microsoft describe que la recomendación deja de estar activa y pasa a estado de excepción completa o parcial, esta última por grupo de dispositivos. Las excepciones caducan: al vencer, la recomendación vuelve a contar.

Desde una recomendación se puede enviar una solicitud de remediación que abre un ticket en Intune para que un administrador de TI la atienda, y se sigue en la página de remediación. La solicitud es un puente entre seguridad y TI: no instala nada por sí misma.