EPSS: cómo priorizar vulnerabilidades más allá del CVSS

Por Kike Gandia · Amenazas · 3 min de lectura

Un escáner devuelve cientos de vulnerabilidades críticas y el equipo no puede parchearlas todas esta semana. La reacción habitual es ordenar por CVSS y empezar por la nota más alta. Es razonable, pero incompleto: el CVSS mide la gravedad técnica de un fallo, no la probabilidad de que alguien lo use.

Para decidir qué parchear primero hacen falta señales sobre la explotación real. Hay dos públicas y gratuitas que cambian mucho el orden de trabajo: EPSS y el catálogo KEV.

Tres preguntas distintas

Señal	Qué contesta	Quién la mantiene	Cómo se lee
CVSS	¿Qué daño podría causar técnicamente?	FIRST (estándar)	Nota de 0 a 10 según impacto y facilidad
EPSS	¿Cuál es la probabilidad de que se explote en los próximos 30 días?	FIRST	Probabilidad de 0 a 1 y percentil, actualizada a diario
KEV	¿Se está explotando ya, de forma confirmada?	CISA	Lista: está o no está

Son complementarias. Un fallo con CVSS 9,8 que nadie explota puede esperar a la ventana de mantenimiento. Uno con CVSS 7 que está en KEV y en un servidor expuesto no puede esperar.

Qué es EPSS y qué no es

EPSS (Exploit Prediction Scoring System) es un modelo estadístico que estima la probabilidad de que una vulnerabilidad reciba intentos de explotación en los próximos 30 días. Se alimenta de datos como la existencia de código de ataque público, las menciones en foros y la observación de actividad. Se publica a diario y se consulta gratis por API.

No predice si TU sistema será atacado: no sabe nada de tu exposición.
No es una certeza: es una probabilidad, y las probabilidades bajas también ocurren.
No sustituye al CVSS: lo complementa con la dimensión que a este le falta, la de la amenaza.

Cómo leer el percentil. La probabilidad de EPSS suele ser baja para casi todo, porque casi ningún CVE se explota. Por eso el percentil es más útil para comparar: dice qué parte del resto de vulnerabilidades queda por debajo. Un valor de probabilidad pequeño con un percentil alto ya es una señal.

CVSS: Gravedad técnica del fallo. Ordena por daño potencial.
EPSS: Probabilidad de explotación a 30 días. Ordena por amenaza.
KEV: Explotación confirmada. Ordena por urgencia.

Consultarlo en un minuto

Para un CVE concreto, la API de FIRST devuelve la probabilidad y el percentil. Y el catálogo KEV es un JSON descargable de CISA.

# Probabilidad EPSS de un CVE
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2021-44228"

# ¿Está en el catálogo KEV de CISA?
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
  | grep -c "CVE-2021-44228"

La respuesta de EPSS incluye los campos epss (probabilidad) y percentile (posición frente al resto). Con un listado de CVE de vuestro escáner, se puede automatizar el cruce en unas pocas líneas.

Un método de cinco niveles

1. KEV y expuesto
Lo que está en KEV y vive en un activo accesible desde internet va primero. Se parchea o se mitiga en días.
2. KEV interno, o EPSS alto y expuesto
Siguiente cola: explotación confirmada en activos internos, o probabilidad alta en activos expuestos.
3. EPSS alto o CVSS crítico en activos importantes
Aquí entra ya la criticidad del negocio: un servidor de facturación pesa más que un equipo de pruebas.
4. El resto con ventana de mantenimiento
Se parchea en el ciclo habitual, ordenando por CVSS.
5. Aceptar o mitigar de forma documentada
Lo que no se va a parchear (por compatibilidad, por ejemplo) queda anotado con una medida compensatoria y una fecha de revisión.

Los umbrales concretos de EPSS (qué es «alto») los decide cada organización según su capacidad. Un percentil elevado es una pista razonable para empezar, y se ajusta con la experiencia.

Un ejemplo ilustrativo

Imaginemos cuatro hallazgos de un escáner, descritos en términos cualitativos:

Hallazgo	CVSS	EPSS	¿En KEV?	Exposición	Decisión
A	Crítico	Bajo	No	Interno	Ventana habitual
B	Alto	Alto	Sí	Internet	Hoy
C	Crítico	Alto	No	Internet	Esta semana
D	Medio	Bajo	No	Interno	Ciclo normal

Ordenar solo por CVSS habría puesto A y C por delante de B. El hallazgo B, con un CVSS «solo» alto, es el que ya se está explotando.

Más allá de EPSS: SSVC

CISA y la Universidad Carnegie Mellon proponen SSVC, un árbol de decisión que combina explotación, impacto en la misión y exposición para llegar a una acción: seguir, programar, actuar o actuar de inmediato. Sirve cuando se quiere formalizar el proceso sin depender de un número.

Errores frecuentes

Usar EPSS como único criterio: un valor bajo no significa que el fallo sea inofensivo en un activo muy expuesto.
Ignorar el contexto: sin saber qué activos hay y cuáles son críticos, ninguna puntuación sustituye al criterio.
Mirar la cifra una sola vez: EPSS cambia a diario y una vulnerabilidad puede subir de golpe cuando aparece código de ataque.
Olvidar lo que no tiene CVE: configuraciones débiles y credenciales por defecto no salen en estos listados.
No registrar la decisión: sin traza de por qué algo se pospuso, la auditoría se complica.

Lo que cambia con el CRA

Los fabricantes tendrán que gestionar vulnerabilidades de sus productos y notificar las explotadas en 24 horas. Vigilar KEV y EPSS para los componentes propios es una forma barata de no enterarse tarde. Más detalle en lo que ya es obligatorio del CRA.

Siguiente paso

En QuantumSec ayudamos a montar un proceso de gestión de vulnerabilidades que prioriza por riesgo real y no por la nota del escáner. Podéis hablar con QuantumSec y lo revisamos con vuestra herramienta actual.

Servicio relacionado

pruebas y gestión de vulnerabilidades

Temas de este artículo

#EPSS #CVSS #KEV #Gestión-de-vulnerabilidades #Parcheo

Seguir leyendo

Prioricemos con riesgo real