Priorizar con KEV y EPSS

El CVSS (Common Vulnerability Scoring System, del foro FIRST) puntúa la gravedad técnica de una vulnerabilidad: qué tan fácil es de aprovechar y qué daño puede causar si se aprovecha. Un 9,8 es una falla grave en el papel. No dice si alguien la está explotando ni si lo hará, y no sabe nada de tu entorno: si el activo está en internet, si guarda datos importantes, si hay un control delante.

Por eso el CVSS es un insumo de la prioridad y no la prioridad. Ordenar solo por él mezcla lo que podría ser grave con lo que está siendo atacado.

KEV (Known Exploited Vulnerabilities) es un catálogo que mantiene CISA con las vulnerabilidades cuya explotación en el mundo real se ha observado. Cada entrada trae la fecha de inclusión, una fecha límite y si se ha usado en campañas de ransomware. Estar en KEV es una señal fuerte: ya no se trata de «podría», sino de «se está usando».

Una vulnerabilidad de CVSS bajo puede estar en KEV, y la pregunta de esta tarea sirve para verlo. Abre cola-hallazgos.csv y kev-extracto.csv.

EPSS (Exploit Prediction Scoring System, también de FIRST) es un modelo que estima, cada día y para cada CVE publicado, la probabilidad de que sea explotado en el mundo real en los próximos 30 días. Entrega un valor de 0 a 1 y un percentil, que dice cómo queda ese CVE frente a todos los demás. Un 0,61 significa una probabilidad estimada de 61 % en esa ventana.

KEV mira hacia atrás (lo que ya se explotó); EPSS mira hacia adelante (lo que probablemente se explote). Una vulnerabilidad puede tener un EPSS alto sin estar todavía en KEV, y por eso conviene mirar ambas.

Las dos señales sirven cuando se combinan con el entorno propio. La empresa escribió su regla en regla-de-prioridad.txt: la prioridad 1 es para el activo alcanzable desde internet que además esté en KEV o tenga un EPSS de 0,03 o mayor. Aplicarla es un trabajo de tres cruces: la cola, el extracto de EPSS y el extracto de KEV.

La fecha límite del catálogo la fija CISA para las agencias civiles federales de Estados Unidos, que están obligadas a cumplirla. Para una empresa que no es una de esas agencias, esa fecha no es una obligación propia. Es una referencia útil, porque indica en cuánto tiempo el emisor considera razonable corregir algo que se está explotando, y la política interna decide su propio plazo.