Vulnerabilidades: leer las evidencias y hacer el triaje

La pestaña Vulnerabilidades te ayuda a decidir qué corregir primero. Parte de las evidencias, valora el contexto y registra tu decisión: RECON la vuelve a aplicar en los escaneos siguientes de los mismos dominios.

Objetivo

Al terminar esta guía sabrás leer un hallazgo (gravedad, CVSS, CISA KEV, EPSS, calidad de la evidencia) y clasificarlo como Falso positivo, Resuelto / corregido o Riesgo aceptado, con un motivo que se conserva en el tiempo.

Requisitos previos

• Un escaneo externo completado, por ejemplo el de meccanicaadda.it.
• Acceso al escaneo: puedes clasificar hallazgos tanto en tus escaneos como en los que otros han compartido contigo.

Capítulos

Cómo leer un hallazgo

• Evaluación de Riesgo resume la situación y, a su lado, ves el recuento por gravedad: Crítica Alta Media Baja. Marcan el orden del análisis; no prueban que cada hallazgo sea aplicable.
• La Puntuación de Riesgo va de 0 a 10 y combina la gravedad CVSS, la presencia en CISA KEV, la probabilidad EPSS, los exploits públicos y la exposición de los activos.
• El recuadro rojo de arriba indica cuántas vulnerabilidades están en el catálogo CISA KEV (Known Exploited Vulnerabilities): los atacantes ya las están explotando.
• En el detalle de una vulnerabilidad encuentras la puntuación CVSS con su vector de ataque (por ejemplo desde la red, baja complejidad, sin privilegios), el estado de la evidencia y las insignias de explotación.
• El estado de la evidencia indica lo sólido que es el hallazgo: Confirmado, Probable, No verificado o No aplicable. No verificado significa que la versión no se ha confirmado: compruébala en el propio servidor.
• EPSS (el modelo de FIRST) estima la probabilidad de que la vulnerabilidad se explote en los próximos 30 días. No es la probabilidad de que tu empresa sufra una brecha.
• Más abajo tienes Descripción y Cronología; Ver en NVD abre la ficha oficial del CVE.

Procedimiento

1. Abre la pestaña Vulnerabilidades

   Abre el último escaneo de meccanicaadda.it y elige la pestaña Vulnerabilidades. Para encontrar un hallazgo concreto, escribe su ID en el buscador (Buscar ID CVE o descripción...) y haz clic en la fila para abrir el detalle.

2. Comprueba antes de clasificar

   Compara el hallazgo con la realidad: ¿la tecnología y la versión detectadas coinciden de verdad con el producto vulnerable? Un hallazgo sobre AngularJS, por ejemplo, no se aplica a un sitio que usa una versión reciente de Angular. Cierra el detalle y borra la búsqueda.

3. Abre el panel de clasificación

   Haz clic en el icono al final de la fila (Marcar como falso positivo). Se abre Establecer estado del hallazgo con la pregunta ¿Cómo lo estás clasificando?.

4. Elige la clasificación

   • Falso positivo: el hallazgo no se aplica (por ejemplo, una corrección retroportada o una versión que no coincide).
   • Resuelto / corregido: el problema era real pero ya está corregido. La clasificación documenta una comprobación; no instala nada en el servidor.
   • Riesgo aceptado: el problema es real y no está corregido, pero la empresa decide aceptarlo, por ejemplo en un sitio que se va a dar de baja. Aceptar no es corregir.

5. Escribe el motivo y confirma

   Rellena Razón (opcional) con un motivo que otra persona pueda verificar: quién lo comprobó, qué y cuándo. Si el hallazgo afecta a varios hosts, elige en ¿Qué estás descartando? si se aplica a Solo este host o a todos los hosts afectados. Confirma con Descartar en todas partes (o Descartar en seguido del host).

Resultado

• La fila sigue en la lista, tachada, con la etiqueta de la decisión: Falso positivo, Resuelto o Riesgo aceptado.
• El hallazgo clasificado sale de la puntuación de riesgo y se cuenta aparte. El motivo queda registrado con la decisión.
• Usa el filtro de gravedad (por ejemplo Baja) para encontrar rápido los hallazgos que quieres revisar y vuelve después a Todas las Gravedades.

Solución de problemas

• Tengo que deshacer una decisión: haz clic en la flecha de restaurar al final de la fila (Quitar falso positivo). El hallazgo vuelve a estar abierto y la decisión deja de aplicarse a los escaneos siguientes.
• La decisión no aparece en otro escaneo: las decisiones solo se aplican al mismo conjunto de dominios. Un escaneo con otro conjunto (por ejemplo con un dominio más) no las hereda.
• Veo menos hallazgos de lo esperado: revisa el filtro Evidencias del hallazgo. Hallazgos abiertos muestra solo lo que hay que gestionar; Todas las evidencias registradas muestra también los no verificados y no aplicables.

Artículos relacionados