Guías
CVSS, EPSS y KEV: cómo usarlos juntos
Tres medidas distintas para decidir qué vulnerabilidades corregir primero: lo grave que es, lo probable que es que se explote y si ya se está explotando.
Tres preguntas distintas
Cada día se publican más de cien vulnerabilidades con código CVE: corregirlas todas a la vez es imposible, hace falta un orden. Las tres medidas más usadas responden a preguntas distintas:
- CVSS: ¿qué gravedad tendría si alguien la explotara?
- EPSS: ¿qué probabilidad hay de que se explote en los próximos 30 días?
- KEV: ¿ya se está explotando en ataques reales?
Ninguna basta por sí sola. Juntas, y con el contexto de quien usa los productos, dicen qué corregir primero.
CVSS: la gravedad técnica
El Common Vulnerability Scoring System, mantenido por FIRST, da a cada vulnerabilidad una puntuación de 0 a 10 según sus características: desde dónde se puede atacar, lo complejo que es el ataque, si hacen falta credenciales o la acción del usuario y qué consigue el atacante (datos, cambios, interrupción del servicio). Las franjas son: ninguna (0), baja (de 0,1 a 3,9), media (de 4,0 a 6,9), alta (de 7,0 a 8,9) y crítica (de 9,0 a 10,0).
La puntuación viene con un vector, por ejemplo AV:N/AC:L/PR:N/UI:N: atacable por red (AV:N), sin credenciales (PR:N) y sin acción del usuario (UI:N). A menudo es más útil que el número.
El límite: el CVSS mide la gravedad, no el riesgo. Muchas vulnerabilidades críticas nunca se explotan, y algunas de gravedad media acaban en campañas de ataque. Las versiones en uso son la 3.1 y la 4.0.
EPSS: la probabilidad de explotación
El Exploit Prediction Scoring System, también de FIRST, estima cada día, para cada CVE publicada, la probabilidad de que se explote en los 30 días siguientes. El modelo aprende de los ataques observados y de características como la existencia de un exploit público o el tipo de producto.
Se lee de dos maneras: la probabilidad (por ejemplo, 5 %) y el percentil (por ejemplo, 92 %, es decir, una puntuación más alta que la del 92 % de las CVE). Las probabilidades casi siempre son bajas: unos pocos puntos porcentuales bastan para situar una vulnerabilidad entre las más probables.
El límite: es una estimación estadística, que cambia rápido cuando aparece un exploit, y no sabe si usas el producto ni si está expuesto a internet.
KEV: la explotación confirmada
El catálogo Known Exploited Vulnerabilities de la CISA, la agencia estadounidense de ciberseguridad, recoge desde noviembre de 2021 las vulnerabilidades con pruebas fiables de explotación en ataques reales. Para entrar hacen falta un código CVE, pruebas de explotación activa e indicaciones claras para corregirla; para cada entrada, el catálogo indica además si se ha usado en campañas de ransomware.
Para las agencias federales estadounidenses, cada entrada tiene un plazo de corrección; para todos los demás, es la referencia más usada de las vulnerabilidades que se explotan de verdad. En Europa, la ENISA publica la base de datos europea de vulnerabilidades (EUVD), prevista por la directiva NIS2, que también señala las explotadas.
El límite: una vulnerabilidad entra en el catálogo después de las primeras pruebas de explotación, y no todas las explotadas llegan a él. Las entradas del catálogo, fabricante por fabricante, están en la página de vulnerabilidades explotadas.
Cómo usarlos juntos
Un orden práctico, para los productos que usas de verdad:
- Primero las ya explotadas: en el catálogo KEV o con explotación confirmada por fuentes oficiales, empezando por los sistemas accesibles desde internet y los equipos de perímetro (cortafuegos, VPN, pasarelas).
- Después las probables y graves: EPSS alto y CVSS alto, sobre todo si se pueden atacar por red sin credenciales.
- Después las demás, en el ciclo normal de actualizaciones.
El contexto pesa más que los números: la misma puntuación cuenta mucho más en un sistema expuesto a internet que en uno interno. Por eso lo primero que hay que saber es qué productos usas y dónde.
Cómo los usa DefenceLevel
El nivel DEFCON del día lo calculan reglas explícitas y verificables: la gravedad técnica parte de la puntuación CVSS oficial, la probabilidad de explotación tiene en cuenta también el EPSS, y la explotación se confirma con fuentes oficiales como el catálogo KEV, los CERT nacionales y los fabricantes, junto con la atención de cientos de fuentes. Umbrales y pesos están en la metodología.
Para cada CVE aparecida en los informes de los últimos 12 meses, su página muestra el CVSS, el EPSS, la entrada en el catálogo KEV y los días en que apareció en los informes.
Preguntas frecuentes
¿Hay que corregir enseguida una vulnerabilidad con CVSS 9,8?
Si usas el producto y la vulnerabilidad ya se explota, o es probable según el EPSS, sí. Si no, puede entrar en el ciclo normal de actualizaciones: una puntuación alta dice lo grave que sería, no que alguien la esté usando.
¿Un EPSS bajo significa que estoy a salvo?
No. Es una estimación que cambia cada día, y una prueba de explotación siempre cuenta más que la estimación: una vulnerabilidad del catálogo KEV debe tratarse como explotada, sea cual sea su EPSS.
¿El catálogo KEV vale también en Europa?
El catálogo es de la CISA, pero las vulnerabilidades son las mismas en todas partes: es una referencia usada en todo el mundo. En Europa existe además la base de datos de la ENISA (EUVD).
¿Dónde encuentro estos datos para una CVE?
En la NVD y en cve.org para cada CVE; en DefenceLevel, en la página de la CVE, si apareció en los informes de los últimos 12 meses.