Árboles de decisión SSVC

SSVC es un método de CISA y la Universidad Carnegie Mellon. En vez de sumar métricas en una puntuación, recorre un árbol con puntos de decisión: entre otros, el estado de la explotación (ninguna, prueba de concepto o activa), si el aprovechamiento es automatizable, el impacto técnico y la prevalencia de la misión o el impacto en el bienestar público. Cada hoja es una decisión con nombre: la versión de CISA usa Track, Track*, Attend y Act.

Cada organización puede construir el suyo con sus propias salidas. Lo que importa es que el árbol sea explícito: dos personas con los mismos datos llegan a la misma decisión, y la decisión queda explicada por el camino recorrido.

El árbol de Huarango está en ssvc/arbol-huarango.txt. Se lee de arriba abajo y decide la primera regla que se cumple. Los puntos de cada aviso están en ssvc/avisos-a-decidir.txt, y su significado en ssvc/puntos-de-decision.txt. Hay un orden que importa: una regla puede cumplirse y aun así no ser la que decide, si otra anterior ya aplicó.

Con el árbol y los seis avisos, obtén la decisión de cada uno. Una decisión «Inmediata» obliga a cerrar en dos días y se reserva para lo que está explotándose en algo abierto a internet.

La puntuación CVSS no es un punto de decisión del árbol. Eso produce resultados que sorprenden a quien solo mira el número: uno de los avisos con puntuación Critical termina en la decisión más baja, y es correcto según el árbol aprobado. Encuéntralo.

La decisión «Fuera de ciclo» saca el aviso del calendario habitual de parches y fija un plazo de 14 días. Cuenta cuántos de los seis avisos terminan ahí, siguiendo siempre la primera regla que se cumple.