Qué promete la palabra
La validación de explotabilidad es la confirmación técnica de que un fallo detectado en un activo específico puede de hecho explotarse en ese activo, en las condiciones en que se encuentra.
Un escáner reporta que la versión del componente coincide con una CVE conocida. Eso es correspondencia de versión. Validar es otra cosa: comprobar si el camino existe.
Las tres condiciones
Un fallo solo es explotable cuando tres cosas valen a la vez.
Alcanzable. El componente vulnerable responde desde donde está el adversario. Una biblioteca vulnerable instalada pero nunca invocada por ninguna ruta no es un camino.
Precondiciones cumplidas. Muchas CVE exigen configuración específica, autenticación previa o un módulo activado. Si la precondición no vale en ese activo, la nota alta no significa nada ahí.
Camino demostrable. Existe una secuencia que lleva de la posición del adversario al efecto descrito. Sin eso la afirmación sigue siendo una hipótesis razonable.
Por qué el CVSS no lo resuelve
El CVSS mide gravedad técnica en condiciones ideales para el atacante. Describe qué pasaría si el fallo fuera explotado, y no dice nada sobre la probabilidad de que alguien lo intente ni sobre su entorno.
Dos consecuencias prácticas aparecen en cualquier cola real. Hay fallos de 9.8 publicados hace años sin un solo exploit conocido, sentados arriba. Y hay fallos de nota media en campaña activa en este momento, en la posición 400 de una lista ordenada por gravedad teórica.
Ordenar por CVSS produce una cola cuyo orden no guarda relación con el riesgo. El trabajo va de arriba abajo, el presupuesto se consume, y lo que iba a derribar la empresa sigue parado en el medio.
La tasa de validación
Divida el número de hallazgos que pasaron por alguna verificación de explotabilidad entre el total de hallazgos del período.
En la mayoría de los programas ese número queda por debajo del 5%. El resto de la cola son hallazgos brutos esperando a alguien con tiempo para revisarlos uno a uno, lo que no ocurre con ningún tamaño de equipo.
La métrica es útil porque no se infla. El total de hallazgos mide el volumen que produce la herramienta; una cola de 3.000 elementos sin validar y una de 40 validados pueden describir la misma empresa, y solo la segunda se puede ejecutar.
Qué no hace la validación
No sustituye al descubrimiento. Validar bien una lista incompleta ancla el esfuerzo en la parte equivocada del problema, y produce el efecto más peligroso de todos: confianza. La empresa trata muy bien todo lo que conoce, cierra el trimestre con buena métrica, y el activo que va a derribarla nunca entró en la cuenta.
Por eso el orden importa. Descubrimiento primero, validación después, sobre un conjunto que ya refleja lo que existe. Es la secuencia que la gestión continua de exposición organiza en fases, y donde opera la validación de CSURFACE.