Es posible que los equipos de seguridad estén corrigiendo más vulnerabilidades sin reducir de forma significativa el riesgo de sufrir una brecha, según un artículo de Picus Security. El artículo cita un informe de Gartner que señala que se explota menos del 10 % de las vulnerabilidades, aunque muchas siguen considerándose urgentes. También indica que las puntuaciones CVSS por sí solas no permiten determinar de manera fiable si una vulnerabilidad será explotada ni cuál será su impacto en el negocio.
Gartner predice que, para 2028, las organizaciones que prioricen las exposiciones mediante inteligencia sobre amenazas, contexto de los activos, modelado de la explotabilidad y validación de los controles de seguridad reducirán la probabilidad de sufrir una brecha al menos un 70 % en comparación con las organizaciones que se basan principalmente en una priorización basada en CVSS.
Los cuatro elementos del marco responden a preguntas distintas. La inteligencia sobre amenazas identifica las vulnerabilidades que están explotando los atacantes. El contexto de los activos muestra si un sistema afectado respalda operaciones críticas, gestiona datos regulados o proporciona una vía hacia sistemas más valiosos. Los modelos de explotabilidad, como EPSS, estiman la probabilidad de explotación, mientras que la validación de controles comprueba si un ataque podría tener éxito en el entorno específico de una organización.
El artículo advierte que las puntuaciones de explotabilidad son estimaciones, no pruebas. Pueden ayudar a identificar exposiciones que conviene someter a pruebas adicionales, pero hace falta validarlas para determinar qué puede explotarse en un entorno concreto. Esa evaluación debe tener en cuenta las defensas existentes, como la segmentación, la protección de endpoints, la cobertura de detección y los controles de identidad.
Picus afirma que su plataforma combina los cuatro elementos en un proceso continuo de descubrimiento, validación, priorización y movilización de la remediación. Entre sus métodos de validación se incluyen probar rutas de explotación reales contra activos de producción accesibles y evaluar técnicas de ataque frente a los controles sin lanzar un exploit. La empresa afirma que estos métodos pueden generar evaluaciones basadas en pruebas para activos que no pueden probarse de forma segura en un entorno real.
Picus también comunica resultados obtenidos por sus clientes, entre ellos que los controles bloquearon o detectaron aproximadamente el doble de ataques en un plazo de tres meses, una reducción del 89 % en el tiempo de respuesta a amenazas emergentes y una disminución del 92 % en los plazos de remediación incumplidos de vulnerabilidades altas y críticas. El artículo señala que un cliente redujo en un 98 % su acumulación de tickets críticos; estas cifras fueron comunicadas por la empresa.
Fuentes: The Hacker News.