Ventana de exposición

La ventana completa de una vulnerabilidad tiene varios tramos: desde que el fallo entra en una versión hasta que alguien lo encuentra, desde que se encuentra hasta que hay corrección, desde que hay corrección hasta que se publica el aviso, y desde el aviso hasta que cada cliente aplica el parche. Los tres primeros los controlan el fabricante y quien investiga. El último es del cliente, y es sobre el que trabaja el analista.

Por eso, en esta sala la ventana del cliente corre desde el aviso hasta el día del parche en cada instalación. Abre la tabla activos y la tabla linea: la primera dice cuándo se parchó cada una; la segunda, cuándo salió el aviso.

Medir en días naturales, de la fecha del aviso a la del parche, convierte una impresión («tardamos un poco») en un número que se puede comparar entre activos, entre trimestres y contra un plazo de política. La fecha de partida no cuenta.

Una ventana que no se ha cerrado no tiene duración final: crece cada día. Es la que más conviene localizar en un informe, porque sus días no figuran como número y es fácil que pasen inadvertidos. En activos, una instalación todavía no tiene fecha de parche.

El activo dp-agenda-qa tardó 70 días en parchar, mucho más que cualquier otro. Pero no se ve desde internet. En cambio, los dos activos expuestos tardaron menos. La nota que el aviso añadió el 3 de agosto, sobre explotación observada en instalaciones de terceros, es otro dato que cambia la lectura.