Gestión de vulnerabilidades · red interna, OT e IoT
Encuentra las vulnerabilidades de tu red interna antes que los atacantes.
BeforeTHEM es una plataforma de gestión de vulnerabilidades para la red interna que cubre servidores, estaciones de trabajo, equipos de red, Active Directory y dispositivos de OT e IoT. Descubre los activos, identifica vulnerabilidades y configuraciones inseguras con un motor de detección propio, prioriza lo que un atacante explotaría primero y sigue cada corrección hasta el final, en la herramienta de tickets que tu equipo ya usa.
Visión de la red interna
Las vulnerabilidades de la red, ordenadas por la explotación real.
La consola agrupa por severidad las vulnerabilidades de servidores, estaciones de trabajo y equipos, y destaca las que tienen explotación activa conocida, con la cantidad de activos afectados en cada caso.
Así, tu equipo empieza por lo que ya se usa en ataques y sigue la reducción de ese grupo en cada ciclo de corrección.
Ventana de explotación
El tiempo entre la publicación y el ataque es cada vez más corto.
es la mediana entre la publicación de una CVE y el primer exploit público.
de las CVE ya tenían código de explotación disponible en la fecha de publicación.
de las amenazas monitoreadas requieren acción inmediata según la categorización SSVC.
Fuente: informe Estado de la Exposición Digital 2026, de CSURFACE.
Por qué BeforeTHEM
Detecciones desarrolladas por especialistas en seguridad ofensiva.
Muchos escáneres internos se limitan a listar CVE a partir de la versión del software. Un atacante que ya está dentro de la red suele tomar otro camino: una cuenta de servicio con contraseña débil, SMB sin firma, un protocolo heredado que sigue activo, una ruta hasta la administración del dominio.
Los checks de red y de configuración de BeforeTHEM, incluidos los de Active Directory, los escribió el equipo de seguridad ofensiva de CSURFACE para encontrar esos puntos. Se ejecutan junto con miles de detecciones de vulnerabilidades conocidas. Cuando una configuración insegura corresponde a una técnica de MITRE ATT&CK, el hallazgo indica esa técnica y tu equipo entiende el riesgo sin tener que interpretarlo.
Lo que cambia para tu equipo
Foco en lo que hay que corregir.
Un inventario confiable
Cada máquina aparece una sola vez, con el software instalado y su versión. El inventario incluye también lo que nunca se registró, como el PLC de la planta, la cámara del estacionamiento o el switch que todavía usa la contraseña de fábrica.
Menos tiempo con falsos positivos
Cuando la versión instalada está fuera del rango afectado por la vulnerabilidad, el hallazgo se descarta antes de llegar a tu lista. Los hallazgos que quedan indican el origen de la detección y el grado de certeza de la plataforma.
Corrección en el orden correcto
Primero va lo que tiene explotación confirmada en ataques reales y después lo que tiene mayor probabilidad de ser explotado. La nota CVSS sigue en el cálculo, pero deja de ser el único criterio.
Visibilidad sobre las defensas
La plataforma señala las máquinas sin EDR, con el firewall apagado o con las protecciones de Windows desactivadas. Así la empresa sabe si las herramientas que contrató están realmente instaladas y funcionando.
Gestión de vulnerabilidades de punta a punta
Del activo descubierto a la corrección confirmada.
Encontrar la vulnerabilidad es la primera de cinco etapas. BeforeTHEM acompaña todas y mide si el ciclo está funcionando.
Descubre
Inventario de activos, software y equipos de OT e IoT, sin registros duplicados.
Detecta
Vulnerabilidades, configuraciones inseguras y fallas de Active Directory, con el grado de certeza de cada hallazgo.
Prioriza
Explotación conocida y probabilidad de explotación, cruzadas con la criticidad y la exposición del activo.
Corrige
Ticket abierto en el Jira o el ServiceNow de tu equipo, con actualización automática del estado.
Confirma
El siguiente scan verifica la corrección y saca de la lista lo que ya se resolvió.
Cada etapa genera métricas: nota de postura, SLA de corrección y cobertura de controles.
Adherencia a normas
Adherencia a normas internacionales, medida en la red interna.
PCI DSS 4.0, ISO 27001, CIS Controls v8 y NIST CSF 2.0 piden que la gestión de vulnerabilidades sea demostrable. BeforeTHEM mapea los hallazgos de la red interna a los requisitos de cada norma y entrega las métricas para validar la adherencia, listas para el analista de cumplimiento y para la auditoría.
- Cadencia registrada. Cada escaneo queda en el historial, con fecha y cobertura, incluida la parte autenticada.
- Tratamiento por riesgo. La cola muestra qué se priorizó, el motivo de la prioridad y la fecha de la corrección.
- Trazabilidad de cada hallazgo. Desde el momento en que se identificó hasta el ticket y la confirmación de la corrección.
- Informe por norma. Estado de cada requisito, plan de acción y registro de evidencias, en versión ejecutiva y en versión técnica.
| Requisito | Lo que mide BeforeTHEM |
|---|---|
| PCI DSS 11.3.1 · 6.3 | escaneos internos recurrentes y autenticados, vulnerabilidades clasificadas y corregidas por riesgo |
| ISO 27001 | gestión de vulnerabilidades técnicas con estado por control e historial auditable |
| CIS Controls v8 | Control 7, gestión continua de vulnerabilidades, con cadencia y cobertura registradas |
| NIST CSF 2.0 | identificación, priorización y seguimiento de vulnerabilidades, con estado por categoría |
La solución por dentro
Conoce la plataforma en detalle
Motor propio y modelos de scan
Red, red autenticada, agente y el modo híbrido, que combina red y agente.
Ver → DETECCIÓNVulnerabilidad, configuración y AD
Miles de detecciones, checks de Active Directory y MITRE ATT&CK.
Ver → INVENTARIOActivos, tecnologías y software
Un registro por máquina, con todo lo que tiene instalado, incluidos OT e IoT.
Ver → PRIORIZACIÓNPriorización basada en amenazas
La explotación confirmada, el exploit disponible y el rol del activo definen el orden de corrección.
Ver → POSTURANota de 0 a 100
Siete dominios, mejoras rápidas y plan de acción.
Ver → CONTROLESDefensas y normas
Cobertura de EDR, sistemas sin soporte y adherencia por requisito.
Ver → INTEGRACIONESTicket, alerta e inicio de sesión único
El ticket se abre en la herramienta de tu equipo y el estado se actualiza automáticamente.
Ver →Parte de la plataforma CSURFACE
La visión externa y la interna en un solo lugar.
CSURFACE mapea y valida lo que tu empresa expone en internet. BeforeTHEM se ocupa de lo que está dentro de la red. Los productos se pueden contratar por separado. Para consolidar ambas visiones en un único inventario, CAASM reúne los datos de CSURFACE y BeforeTHEM, con las integraciones incluidas.
Próximo paso
Mira tu red interna desde la perspectiva de un atacante.
En la demostración te mostramos la consola con una red simulada: inventario, hallazgos, nota de postura y cola de corrección.
Preguntas frecuentes
FAQ
¿BeforeTHEM reemplaza a CSURFACE?
No. CSURFACE se ocupa de la superficie externa, es decir, de lo que la empresa expone en internet. BeforeTHEM se ocupa de la red interna. Son productos independientes y cada uno se puede contratar por separado.
Ya usamos una herramienta de gestión de parches. ¿Dónde encaja BeforeTHEM?
BeforeTHEM lee de la herramienta de parches lo que se registró como aplicado y confirma cada corrección en el escaneo siguiente. El proceso de parches sigue igual, y tu equipo obtiene la comprobación en el propio activo.
¿BeforeTHEM funciona junto con el escáner de vulnerabilidades que ya usamos?
Sí. BeforeTHEM puede operar en paralelo al escáner actual, durante una transición o de forma permanente. Para consolidar los resultados de las herramientas en un único inventario de activos, CSURFACE ofrece el CAASM.
¿Funciona en redes industriales, con OT e IoT?
Sí. BeforeTHEM reconoce protocolos industriales como Modbus, EtherNet/IP e IEC 104, y también cámaras, impresoras y equipos gestionados por SNMP. Esos activos forman parte del mismo inventario que los servidores.
¿Tengo que instalar un agente en todas las máquinas?
No. El scan de red, con o sin credenciales, funciona sin agente. El agente es opcional y conviene cuando necesitas la versión exacta del software y las configuraciones internas del host.
¿Los datos de mi red quedan separados de los de otras empresas?
Sí. Los datos viajan por un canal cifrado con autenticación mutua y cada empresa accede solo a su propio entorno. El aislamiento lo garantiza la propia plataforma.
¿Se puede contratar a través de un socio?
Sí. BeforeTHEM también lo ofrecen MSSP que operan la plataforma para tu empresa. Habla con nuestro equipo para que te indiquemos un socio, o contrata directamente.