Priorización basada en amenazas
El orden de corrección lo define la amenaza real.
La nota CVSS mide la gravedad técnica de una falla, pero no dice si se está explotando ni qué activo afecta. BeforeTHEM calcula la prioridad de cada vulnerabilidad a partir de la amenaza observada en el mundo y del rol del activo en tu red, y muestra los factores que llevaron a cada resultado.
Cómo se calcula la prioridad
Tres factores, una prioridad de 0 a 100.
Todos los factores salen de datos recolectados y de inteligencia de amenazas. Ninguno depende de una clasificación manual, y cada hallazgo muestra cómo se compone su prioridad.
Cuánto se está explotando la falla y qué tan fácil es explotarla.
El impacto de un compromiso, según la función del activo en la red.
Si la falla es alcanzable: expuesta a internet, en ejecución o solo instalada.
De 0 a 100, define la posición en la cola de corrección.
Factor 1 · Amenaza
Las señales que componen la amenaza.
La amenaza parte de la gravedad técnica y sube con la evidencia de explotación. Cuanto más concreta es la evidencia, más alto sube la falla en la escala, sin importar la nota CVSS.
| Señal | Qué indica | Efecto en la prioridad |
|---|---|---|
| Uso en ransomware | la falla aparece en campañas conocidas de ransomware | lleva la falla a lo más alto de la escala |
| Explotación confirmada | la falla figura en el catálogo KEV de CISA, con explotación registrada en ataques reales | pone la falla en el rango crítico |
| Exploit armado | hay un exploit listo para usar en frameworks de ataque, según la inteligencia de ThreatSensor | pone la falla en el rango crítico |
| Exploit público | hay código de explotación publicado | eleva la amenaza |
| Prueba de concepto | la técnica de explotación es conocida y reproducible | eleva la amenaza |
| EPSS | probabilidad de explotación en los próximos 30 días, actualizada a diario | los percentiles altos elevan la amenaza, y los más altos la acercan al rango crítico |
| CVSS | gravedad técnica de la falla | define el punto de partida |
Inteligencia de ThreatSensor
Cuando ya hay un exploit listo, la prioridad sube.
ThreatSensor es la inteligencia de amenazas de CSURFACE. Mantiene el mapeo de las vulnerabilidades que ya tienen exploit armado en frameworks de ataque, y esa señal entra directamente en el cálculo de amenaza de BeforeTHEM. Una falla que se puede explotar con una herramienta lista se trata como crítica, aunque la nota CVSS sea moderada.
Factor 2 · Rol del activo
La misma falla pesa más en el controlador de dominio.
El rol de cada activo se identifica automáticamente por los servicios que ejecuta, sin registro manual. Cuando un activo cumple más de una función, prevalece la más crítica.
Factor 3 · Exposición
- Expuesto a internet. La falla alcanzable desde fuera de la empresa recibe un peso adicional.
- En ejecución o solo instalado. Un software instalado pero detenido pesa menos que un servicio en ejecución, y menos todavía que un servicio escuchando en la red.
Prioridad explicable
Cada prioridad muestra cómo se compone.
En el detalle de cada hallazgo, el equipo ve las señales de amenaza, el rol del activo y la exposición que definieron la prioridad. La decisión de qué corregir primero queda fundamentada, y la conversación con el área de infraestructura se vuelve más simple.
- Grado de certeza. Cada hallazgo indica si vino de un banner, de la versión leída en el host o de una prueba activa.
- Rango de severidad estable. El rango crítico, alto, medio o bajo sale de la amenaza; el rol y la exposición ajustan el orden dentro de la cola.
Cola de trabajo
Por activo o por vulnerabilidad.
El equipo de infraestructura suele organizar el trabajo por servidor, y el de seguridad, por vulnerabilidad. La cola ofrece las dos vistas sobre los mismos datos, con filtros por sucursal, subred, tipo de activo y sistema operativo.
Todo lo que necesita un servidor
Abre el host y mira sus fallas en orden de prioridad, con servicios, software instalado e historial. Sirve para planificar una ventana de mantenimiento.
Dónde aparece una falla
Abre el CVE y mira todos los activos afectados. Sirve cuando se publica una nueva alerta y la pregunta es si la empresa está expuesta.
Mira la cola de corrección ordenada por la amenaza.
En la demostración comparamos la misma red ordenada solo por CVSS y ordenada con la priorización basada en amenazas.