Priorizador de vulnerabilidades
Añade hallazgos con CVSS y su contexto real (KEV, exploit público o EPSS alto, exposición a internet, criticidad, control compensatorio) y obtén una prioridad transparente y un orden de corrección.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un escáner te entrega cientos de hallazgos ordenados por CVSS, pero CVSS mide la severidad, no el riesgo. Un 9,8 en un equipo interno y bien mitigado puede importar menos que un 7,5 expuesto a internet y que figura en el catálogo KEV de CISA. Añade a cada hallazgo su contexto real (si está en CISA KEV, si existe un exploit público o el EPSS es alto, si el activo está expuesto a internet o es crítico para el negocio, si hay un control compensatorio) y esta herramienta convierte la severidad en una puntuación de prioridad transparente de 0 a 100, un orden de corrección y un grupo de acción: Actuar ya (≥70), Este sprint (≥45), Backlog (≥20) y Aceptar (por debajo de 20). Así una larga lista del escáner se convierte en una cola corta de lo que hay que hacer primero. CISA KEV y EPSS se usan como conceptos que activas tú: no hay API en directo, ni llamadas de red, y nada sale de tu navegador. Carga el conjunto de datos de ejemplo para ver el modelo en acción y después copia o exporta la lista ordenada para tu sistema de tickets. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Añade cada hallazgo con su puntuación base de CVSS (o carga el conjunto de datos de ejemplo).
- Activa su contexto: CISA KEV, exploit público o EPSS alto, expuesto a internet, crítico para el negocio y control compensatorio.
- Revisa la puntuación de prioridad de 0 a 100, el orden y el grupo de acción de cada hallazgo.
- Copia o exporta la lista ordenada para tu sistema de tickets.
Preguntas frecuentes
¿Cómo debo priorizar las vulnerabilidades? ¿Basta con CVSS?
CVSS por sí solo no basta. CVSS es una puntuación de severidad: describe lo grave que es un fallo en abstracto, no lo probable que es que te haga daño. La gestión de vulnerabilidades basada en el riesgo combina la severidad con el contexto real: si la vulnerabilidad se está explotando activamente (CISA KEV), si existe un exploit público o el EPSS es alto, si el activo afectado está expuesto a internet, si es crítico para el negocio y si hay un control compensatorio implantado. Esta herramienta hace explícita esa superposición: CVSS fija un mínimo de severidad y los indicadores de contexto suben o bajan el hallazgo hasta un grupo de acción.
¿Qué son CISA KEV y EPSS?
CISA KEV (Known Exploited Vulnerabilities) es un catálogo, mantenido por la Cybersecurity and Infrastructure Security Agency de EE. UU., de las vulnerabilidades de las que se ha confirmado que se explotan activamente; figurar en él es una de las señales más fuertes para parchear con urgencia. EPSS (Exploit Prediction Scoring System, de FIRST.org) estima la probabilidad de que una vulnerabilidad se explote en los próximos 30 días. Esta herramienta usa ambos como conceptos que activas en un hallazgo; no llama a ninguna API ni obtiene datos en directo. Tú fijas los indicadores de KEV y de exploit a partir de la fuente en la que confíes.
¿Cómo se calcula la puntuación de prioridad?
Es un modelo aditivo transparente que puedes auditar. La base de CVSS (0-10) aporta hasta 40 puntos (cvss ÷ 10 × 40). Después se suman los factores de riesgo: estar en CISA KEV +25, exploit público o EPSS alto +12, activo expuesto a internet +13, activo crítico para el negocio +10; un control compensatorio resta 18. El total se limita a 0-100 y se agrupa: 70 o más es Actuar ya, 45 o más Este sprint, 20 o más Backlog y por debajo de 20 Aceptar. No hay nada oculto: los pesos se muestran bajo la lista ordenada y el cálculo se ejecuta en tu navegador.
¿Es un escáner o se conecta a mi entorno?
No. Es una ayuda de planificación 100 % del lado del cliente, un apoyo defensivo y formativo para equipos de seguridad. No escanea nada, no hace llamadas de red, no guarda secretos y no lee nada de tu entorno. Pegas o añades los hallazgos y activas su contexto a mano; la puntuación y la ordenación se hacen localmente en el navegador. Exporta la lista ordenada para alimentar tu propio flujo de tickets o de gestión de vulnerabilidades.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.