Gestión de vulnerabilidades

La Gestión de vulnerabilidades es el lugar donde Cert-IX consolida los hallazgos producidos por tus escaneos en una única lista de trabajo priorizada. Cada hallazgo está vinculado a una vulnerabilidad conocida —normalmente identificada mediante un CVE—, calificada por gravedad, enriquecida con señales de explotación en el mundo real y objeto de seguimiento desde su primera detección hasta una corrección verificada. El objetivo es sencillo: ayudar a tu equipo a dedicar su esfuerzo a las vulnerabilidades que realmente te ponen en riesgo, en el orden correcto.

Esta página explica de dónde provienen los hallazgos, cómo se priorizan y cómo se mueven a lo largo de su ciclo de vida.

De dónde provienen los hallazgos

La Gestión de vulnerabilidades no escanea por sí sola: agrega los resultados de las superficies de escaneo que Cert-IX ya proporciona. Por lo tanto, una única vista puede reflejar varias fuentes complementarias:

Fuente	Qué aporta	Ideal para
Motores de la Scan API	Escaneos bajo demanda y controlados por API (por ejemplo Trivy, Nuclei, Nikto y OWASP ZAP) que exponen CVE en imágenes, dependencias y servicios expuestos a la web	Comprobaciones externas y controladas por CI
Agente Bitscanner	Detección continua de vulnerabilidades y CVE en redes y hosts internos	Activos detrás del firewall
DepCheck (MCP)	Comprobaciones de vulnerabilidades de dependencias para bases de código y agentes de codificación de IA, respaldadas por los mismos datos de avisos	Cadena de suministro de software

Recopilación de hallazgos de la red interna

Los hallazgos de hosts detrás de tu firewall requieren un agente escáner. Descarga Bitscanner desde downloads.cert-ix.com y regístralo con tu Tenant ID (que se encuentra en Settings → Organization). Consulta Agentes escáner para conocer los pasos de despliegue.

Gravedad y priorización

Cada hallazgo lleva una calificación de gravedad derivada de su puntuación CVSS, utilizando las cuatro bandas estándar:

Gravedad	Rango CVSS	Qué suele significar
Crítica	9.0–10.0	Exposición grave, a menudo ejecución remota de código o compromiso total. Aborda con urgencia.
Alta	7.0–8.9	Riesgo significativo. Prioriza sin demora.
Media	4.0–6.9	Riesgo moderado. Programa la remediación.
Baja	0.1–3.9	Riesgo menor. Aborda según lo permita la capacidad.

La gravedad por sí sola no basta para decidir qué corregir primero: un problema de gravedad Media que se está explotando hoy a menudo tiene prioridad sobre uno de gravedad Alta que no lo está. Cert-IX superpone señales de explotación en el mundo real por encima de la puntuación CVSS bruta:

• CISA KEV — si la vulnerabilidad aparece en el catálogo Known Exploited Vulnerabilities de CISA, es decir, explotación activa y confirmada.
• EPSS — la probabilidad del Exploit Prediction Scoring System de que una vulnerabilidad sea explotada a corto plazo.
• Exposición — si el activo afectado está expuesto a Internet o es accesible desde redes no confiables.
• Criticidad del activo — cuán importante es para tus operaciones el sistema afectado.

Corrige primero lo que se está explotando

Un hallazgo marcado en el catálogo CISA KEV o que presenta una puntuación EPSS alta merece atención antes que un problema con mayor CVSS pero sin evidencia de explotación. Las vulnerabilidades explotadas en el mundo real son las que los atacantes están utilizando en este mismo momento.

El ciclo de vida de la vulnerabilidad

Los hallazgos se mueven a través de un conjunto definido de estados, de modo que cada uno tiene siempre un estado actual claro y un siguiente paso claro:

1. Identificado — un escaneo ha detectado la vulnerabilidad.
2. Confirmado — se ha validado como un problema genuino en lugar de un falso positivo.
3. Asignado — un responsable se encarga de remediarlo.
4. En curso — una corrección está en marcha.
5. Pendiente de verificación — la corrección se ha aplicado y está a la espera de un nuevo escaneo.
6. Resuelto — un escaneo de seguimiento confirma que la vulnerabilidad ha desaparecido.

Un hallazgo también puede marcarse como riesgo aceptado cuando una corrección no es viable y, en su lugar, el riesgo residual se documenta y se asume.

Trabajar con un hallazgo

Abrir un hallazgo reúne todo lo necesario para clasificarlo y actuar sobre él:

• CVE ID — el identificador de Common Vulnerabilities and Exposures.
• Gravedad / CVSS — la puntuación y su banda.
• Explotación — indicadores de CISA KEV y EPSS.
• Activos afectados — los sistemas donde se detectó la vulnerabilidad.
• Descripción — en qué consiste la debilidad y su posible impacto.
• Remediación — orientación recomendada para resolverla.
• Estado e historial — el estado actual del ciclo de vida y una cronología de los cambios.

Ejemplo de hallazgo

Los campos siguientes ilustran cómo se lee un hallazgo una vez recopilado. Los valores corresponden a una vulnerabilidad real, documentada públicamente, mostrada únicamente a modo de ejemplo:

Campo	Valor
CVE ID	CVE-2021-44228 ("Log4Shell")
Gravedad	Crítica (CVSS 10.0)
Explotación	Incluida en CISA KEV; EPSS alto
Activo afectado	Servicio que incluye Apache Log4j 2.x
Descripción	Ejecución remota de código sin autenticación mediante búsquedas JNDI en cadenas registradas
Remediación	Actualizar Log4j a una versión corregida (2.17.1 o posterior)
Estado	Confirmado → En curso

Filtrar y enfocar

Los entornos grandes producen muchos hallazgos, por lo que la lista puede acotarse a la porción que te interesa: por ejemplo, por gravedad, estado del ciclo de vida, activo o grupo de activos afectado, estado de explotación (KEV / EPSS) o fecha de detección. Un conjunto filtrado puede exportarse para compartirlo o para crear tickets en tus propias herramientas.

Remediación

Para cada hallazgo, Cert-IX combina la vulnerabilidad con orientación de remediación. La respuesta adecuada depende del problema:

Opción	Cuándo usarla
Aplicar parche	Aplicar la corrección de seguridad del proveedor
Actualizar	Migrar a una versión más nueva y no afectada
Configurar	Cambiar la configuración para eliminar la exposición
Mitigar	Aplicar un control compensatorio cuando aún no hay una corrección disponible
Aceptar	Documentar y aceptar formalmente el riesgo residual

Tras remediar, ejecuta un escaneo de verificación contra el activo afectado. Cuando el escaneo de seguimiento ya no reporta la vulnerabilidad, el hallazgo pasa a Resuelto, cerrando el ciclo entre la detección y la corrección.

Establecer objetivos de remediación

Muchos equipos asignan una ventana objetivo de remediación a cada gravedad para que nada grave quede pendiente. Los puntos de partida habituales son:

Gravedad	Objetivo típico
Crítica	1–2 días
Alta	~1 semana
Media	~30 días
Baja	~90 días

nota

Estas ventanas son ejemplos ilustrativos que los equipos suelen adoptar, no garantías fijas de la plataforma. Elige objetivos que se ajusten a tu propia tolerancia al riesgo y a tus obligaciones regulatorias.

Buenas prácticas

• Escanea de forma continua. Mantén los agentes escáner desplegados y ejecuta escaneos con regularidad para que las nuevas vulnerabilidades salgan a la luz rápidamente.
• Prioriza por explotación, no solo por gravedad. Resuelve los hallazgos incluidos en KEV y con EPSS alto antes que los problemas con mayor puntuación pero sin evidencia de explotación.
• Verifica siempre. Vuelve a escanear tras la remediación antes de mover un hallazgo a Resuelto.
• Asume el riesgo aceptado. Cuando aceptes un riesgo, registra quién lo asume y por qué, y revísalo periódicamente.

Más información

• Descripción general de Analytics — cómo encaja la Gestión de vulnerabilidades junto a las demás vistas de analítica.
• Agentes escáner — despliega Bitscanner para la detección de vulnerabilidades en la red interna.
• Descripción general de la Scan API — ejecuta escaneos bajo demanda y obtén hallazgos mediante programación.
• DepCheck (MCP) — comprobaciones de vulnerabilidades de dependencias para bases de código y agentes de codificación de IA.