Probabilidad de explotación: usos y límites

5 tareas · 40 min · Principiante

El EPSS se puede usar bien o mal. Bien, como una entrada más para decidir dónde se mira primero y con un umbral que el equipo pueda sostener. Mal, como un veredicto, leyendo el percentil como probabilidad o confundiendo un cambio de modelo con un cambio en la amenaza. Miércoles 14 de octubre de 2026: la Clínica Aquitania del Lago quiere fijar un umbral de EPSS para su cola y tiene la serie de tres CVE, las versiones del modelo y un ejercicio sobre su semestre pasado. Se leen tablas ficticias en la consola; las dos versiones del modelo son las que publica FIRST.

0 de 5 · 0%

Objetivo de la sala

FIRST recomienda comunicar el EPSS con la probabilidad y, si acaso, el percentil al lado: por ejemplo «0.090 (percentil 92)». La probabilidad conserva su significado en cualquier contexto. El percentil se calcula contra todos los CVE puntuados, no contra los que tiene la clínica, y cambia aunque la probabilidad no cambie. Además, del percentil no se puede volver a la probabilidad.

Ejecuta SELECT * FROM epss_hoy y mira las dos columnas de CVE-2099-47121.

Responde para continuar

CVE-2099-47121 tiene EPSS 0.090 y percentil 0.92. ¿Qué frase es correcta?

Está entre el 8 % de CVE con más probabilidad, luego la clínica debe tratarlo como explotado Se estima un 9 % de ver explotación en 30 días, más que el 92 % de los CVE Hay un 92 % de probabilidad de que se explote en la clínica durante el próximo mes

Ver pista de ayuda

Una columna es la probabilidad; la otra compara con todos los CVE puntuados.

El modelo de EPSS se reentrena cuando su rendimiento se degrada, en la práctica alrededor de una vez al año, y cada versión nueva movió las puntuaciones el día en que empezó a publicarse. FIRST lo advierte: una serie que cruza ese día refleja un cambio de método, no un cambio en la vulnerabilidad. Antes de explicar un salto con el mundo, se descarta que lo explique el modelo.

Ejecuta SELECT * FROM historia, SELECT * FROM eventos y SELECT * FROM versiones_modelo y busca el salto que no tiene ningún evento detrás.

Responde para continuar

¿Qué CVE tiene un salto de EPSS que coincide exactamente con el inicio de una versión nueva del modelo y con ningún evento anotado? Escribe su identificador.

Ver pista de ayuda

Compara la fecha de cada salto con la columna publica_desde y con la tabla eventos.

Elegir un umbral es elegir un equilibrio. FIRST lo mide con tres números: cobertura, la fracción de lo que acabó explotado que el umbral habría marcado; eficiencia, la fracción de lo marcado que de verdad se explotó; y esfuerzo, cuánto hay que atender. Bajar el umbral sube la cobertura y el esfuerzo; subirlo mejora la eficiencia y deja escapar más. No hay un umbral universal.

La tabla retro repite el semestre pasado de la clínica con cinco umbrales posibles.

Responde para continuar

Con el umbral 0.10, ¿qué cobertura habría tenido la clínica el semestre pasado? Escribe solo el número entero del porcentaje, sin el signo.

Ver pista de ayuda

Divide explotadas_entre_marcadas entre explotadas_en_total en la fila del umbral 0.10 y multiplica por 100.

La recomendación de FIRST es práctica: elegir un umbral cuyo volumen de trabajo el equipo pueda sostener y cuya cobertura encaje con el riesgo que la organización acepta. Un umbral que marca el triple de lo que el equipo puede atender no prioriza nada: solo cambia el nombre de la cola atrasada.

Ejecuta SELECT * FROM capacidad y vuelve a SELECT * FROM retro.

Responde para continuar

¿Qué umbral da la mayor cobertura sin marcar más hallazgos de los que el equipo puede atender en un semestre? Escribe el umbral tal como aparece en la tabla.

Ver pista de ayuda

Descarta los umbrales cuya columna marcadas supera la capacidad y, entre los que quedan, elige el de mayor cobertura.

FIRST lo dice sin rodeos: el EPSS no es una puntuación de riesgo completa. No conoce el entorno de quien lo lee, no tiene en cuenta los controles compensatorios de cada instalación y no mide el daño que causaría la explotación. Es una entrada de la priorización; las otras las pone la organización.

Responde para continuar

Las bombas de infusión de la clínica tienen un fallo con EPSS 0.004. ¿Qué no te dice ese número?

Que el fallo tiene hoy una probabilidad baja de explotación observada en 30 días Que la estimación puede cambiar mañana si cambia lo que se observa del fallo Qué pasaría con los pacientes si lo explotan y si las bombas están aisladas o no

Ver pista de ayuda

Separa lo que estima el modelo de lo que solo sabe la clínica.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Absoluto y relativo Lab

2 Un salto que no es amenaza Lab

3 Cobertura de un umbral Lab

4 El umbral que se puede sostener Lab

5 Lo que el EPSS no sabe

Whoami-Labs Pro utiliza cookies