Por Qué Importa
Las empresas modernas operan miles de activos en cloud, on-premises, móvil e IoT. Cada uno puede tener vulnerabilidades conocidas (CVEs), errores de configuración o configuraciones inseguras por defecto. Sin un programa sistemático, las organizaciones quedan a ciegas frente a las debilidades que los atacantes encontrarán.
La brecha de Equifax en 2017 explotó una vulnerabilidad sin parchear de Apache Struts divulgada dos meses antes. Log4Shell (CVE-2021-44228) dio ejecución remota en millones de sistemas. La evaluación de vulnerabilidades es prerequisito para la gestión de riesgos.
El Proceso
1. Descubrimiento de Activos
No puedes proteger lo que no sabes que existe. Combina descubrimiento de red, telemetría de agentes, APIs cloud, integración CMDB y gestión de superficie de ataque externa.
2. Escaneo
El escaneo autenticado produce resultados mucho mejores que el no autenticado.
| Tipo | Cobertura | Herramientas |
|---|---|---|
| Red | Puertos, servicios, CVEs OS | Nessus, Qualys, OpenVAS |
| Web | OWASP Top 10, lógica | Burp Suite, ZAP, Acunetix |
| Contenedores | CVEs imágenes | Trivy, Grype, Snyk |
| IaC | Terraform, CloudFormation | Checkov, tfsec |
| SCA | Dependencias software | Dependabot, Snyk |
3. Validación
Los escáneres producen falsos positivos. Valida hallazgos críticos manualmente o correlacionando fuentes.
4. Priorización
Riesgo = CVSS × EPSS × Criticidad × Exposición
Indicadores críticos:
- CVE en CISA KEV (explotación probada)
- EPSS > 50%
- Activo expuesto a Internet
- Datos sensibles
- Sin controles compensatorios
5. Remediación
Parches, cambios de configuración, controles compensatorios o aceptación documentada del riesgo. SLAs por severidad: Crítico 7 días, Alto 30 días, Medio 90 días.
6. Verificación
Reescaneo para confirmar correcciones. MTTR como KPI clave del programa.
Estándares y Fuentes
- CVE: Common Vulnerabilities and Exposures (MITRE)
- NVD: National Vulnerability Database
- CWE: categorías de defectos
- CISA KEV: vulnerabilidades explotadas conocidas
- EPSS: probabilidad de explotación
Mejores Prácticas
- Escaneo continuo en lugar de trimestral.
- Escaneos autenticados siempre que sea posible.
- Priorización basada en riesgo (CVSS + EPSS + contexto).
- CISA KEV como prioridad inmediata.
- Integración con ticketing para SLAs.
- Medir MTTR y tasa de remediación.
Conceptos Relacionados
Cómo enseñamos Evaluación de Vulnerabilidades
En nuestro Cybersecurity Bootcamp, no solo aprenderás sobre Evaluación de Vulnerabilidades en teoría. Practicarás con herramientas reales en laboratorios prácticos, guiado por profesionales de la industria que usan estos conceptos a diario.
Cubierto en:
Módulo 8: Operaciones de Seguridad Avanzadas
360+ horas de formación experta • CompTIA Security+ incluido