· 6 min de lectura.
Los nueve piensos, y lo que aporta cada uno
| Fuente | lo que trae | lo que no te dice | Frecuencia |
|---|---|---|---|
| Lista CVE (MITRE) | La publicación principal, como CNA lo escribí | Sin puntuación, sin explotación; a veces no hay versión afectada | Intervalo corto |
| NVD (NIST) | Enriquecimiento: identificadores de producto, configuraciones, vector CVSS | Su enriquecimiento se ha ralentizado drásticamente desde febrero de 2024 | Diariamente |
| CISA KEV | Explotación observada, con su fecha de confirmación. | Nada sobre explotación sin evidencia publicable | Intervalo corto |
| EPSS (FIRST) | La probabilidad de explotación dentro de 30 días, por cada CVE | Nada sobre tu exposición real | Diariamente |
| PoC-en-GitHub | La aparición del código público de prueba de concepto. | Ni la calidad ni el uso en el mundo real de ese código. | Intervalo corto |
| GHSA (GitHub) | Avisos de ecosistemas de dependencia: npm, PyPI, Maven… | Software fuera de los administradores de paquetes | Diariamente |
| OSV.dev | Avisos de distribución Linux: Red Hat, SUSE, Ubuntu… | Productos propietarios | Diariamente |
| CERT-FR (ANSSI) | Avisos y alertas del CSIRT nacional francés, vinculados al CVEs que citan; una alerta señala una amenaza inmediata, generalmente una falla que ya se está explotando | Defectos que no reciben asesoramiento: CERT-FR elige lo que publica | Por hora |
| EUVD (ENISA) | La base de datos europea de vulnerabilidades, prevista por la directiva NIS2, con el estado de explotación conocido de cada fallo | Nada sobre su exposición real: enumera, no clasifica | Varias veces al día |
La columna del medio es la más importante de esta tabla. Esto muestra por qué la verificación cruzada no es una sutileza: un CVE puede ser publicado sin una puntuación por su CNA, recibir un vector de NVD tres semanas después e ingresar KEV en el medio. Leer sólo una fuente significa ver una instantánea, no la película.
Nueve feeds para alertas, doce fuentes para el informe
Una confusión común que vale la pena aclarar: trabajamos con dos conjuntos de fuentes que difieren tanto en función como en número.
- el nueve fuentes de vulnerabilidad arriba conduce el alertas. Se trata de datos estructurados, comparados con su inventario.
- el doce fuentes editoriales — CERT-FR, blogs de proveedores, prensa especializada — alimentan el resumen diario. Se trata de artículos, leídos y resumidos, que nunca se comparan con un inventario.
CERT-FR aparece en ambos conjuntos, en dos roles: sus avisos y alertas, vinculados al CVEs que citan, alimentan las alertas; su feed de publicaciones también alimenta el informe.
Un simple número (“nuestras fuentes”) mezclaría los dos y no significaría nada. Nueve o doce, según de qué hablemos.
Qué desencadena una alerta: transiciones
Un CVE no es un evento, es una trayectoria. Se publica, luego se enriquece, a veces se marca como explotado y, a veces, se repara. El monitoreo que solo escucha las publicaciones pierde de vista lo más importante.
Las transiciones que rastreamos y que activan una notificación:
- un nuevo CVE afecta a un componente declarado en su inventario;
- un CVE que sigues entra en el catálogo KEV, o se convierte en objeto de un Alerta CERT-FR;
- a prueba pública de concepto aparece;
- es Puntuación EPSS cruza un umbral que usted ha establecido;
- es versiones afectadas cambio: un CVE descartado ayer puede interesarle hoy.
Dos retrasos para no confundir
Esta es la pregunta más frecuente y merece una respuesta de dos partes en lugar de un solo número:
- el retraso de sincronización: sondeamos la lista CVE, KEV, EPSS y las pruebas de concepto en un intervalo corto, del orden de unos pocos minutos. Nadie puede ser más rápido que ese ciclo;
- el retraso en el procesamiento: una vez que se ve el CVE, compararlo con su inventario, priorizarlo y enviar la alerta menos de 30 segundos.
En la práctica, en el caso de una señal crítica, se le notifica a los pocos minutos de su publicación. Decir “30 segundos” por sí solo sería falso: ese es el segundo retraso, no el primero.
El control cruzado no es suficiente: filtrar
Agregar nueve feeds produce un volumen inmanejable si te detienes allí. El paso que importa es compararlo con tu inventario declarado: proveedor, producto, versión. Todo lo que no toque ninguna línea de ese inventario queda fuera de alcance, y ahí es donde casi todo el ruido desaparece.
Esta coincidencia se basa en identificadores de producto estandarizados cuando existen, y en correspondencias entre nombre y versión cuando faltan, lo cual es común y es precisamente la razón por la cual integridad de la fuente nos importa mucho.
Los avisos GHSA y OSV sin identificador CVE se relacionan por la URL del paquete (purl) en cuanto se fija una versión. Se muestran con su identificador y su fuente. Cero CVE no es cero riesgo: 0 CVE ≠ 0 risque.
Licencias y atribuciones
Todas las fuentes que agregamos son datos públicos, de uso gratuito, incluso comercialmente, sujeto a atribución. La siguiente tabla cubre las nueve fuentes de alertas más tres conjuntos de datos de enriquecimiento: es por eso que tiene doce filas, no nueve.
| Fuente | Licencia / términos | Atribución |
|---|---|---|
| Lista CVE (MITRE / CVE.org) | Términos de uso de CVE: redistribución gratuita | Requerido |
| NVD (NIST) | Trabajo del gobierno de EE. UU.: dominio público | Recomendado |
| CISA KEV | Gobierno de EE. UU.: uso gratuito | Recomendado |
| EPSS (FIRST.org) | Datos Free, proporcionados sin garantía. | Requerido (crédito FIRST) |
| GHSA (Avisos de seguridad GitHub) | CC POR 4.0 | Requerido |
| OSV.dev | Licencias abiertas (a menudo CC BY 4.0); puede variar según el registro | Requerido |
| Red Hat, SUSE, Ubuntu, AlmaLinux, Rocky Linux (a través de OSV) | CC BY 4.0, CC BY-SA 4.0 (Ubuntu), MIT, BSD dependiendo de la distribución | Requerido |
| PoC-en-GitHub | Enlaces públicos y metadatos: no se redistribuye código de explotación | Recomendado |
| CERT-FR (ANSSI) | Licencia Ouverte / Licencia Abierta 2.0 (Etalab) | Requerido |
| EUVD (ENISA) | Reutilización autorizada siempre que se cite la fuente, salvo que se indique lo contrario. | Requerido (crédito ENISA) |
| findevida.fecha | Proyecto comunitario abierto, gratuito API | Recomendado |
| analizador de aplicaciones web (detección de tecnología) | GPL-3.0 (enthec/webappanalyzer) | Requerido (se mantiene el aviso GPL-3.0) |
Las vistas previas de los artículos de seguimiento muestran sólo el título y un breve extracto y siempre enlace a la fuente original: el contenido completo nunca se vuelve a publicar.
Los detalles de cada fuente, con las atribuciones y avisos de licencia, se encuentran en la página Fuentes y licencias.
Preguntas frecuentes
¿Cubre el código abierto?
Sí, a través de dos canales: GHSA para dependencias de aplicaciones (npm, PyPI, Maven, RubyGems, Go…) y OSV.dev para paquetes de distribución (Red Hat, SUSE, Ubuntu…). Son dos mundos separados: un mismo defecto puede llevar en ellos dos identificadores diferentes.
¿Por qué seguir el CERT-FR y la EUVD?
Porque la vigilancia que sólo lee fuentes estadounidenses hereda sus puntos ciegos. CERT-FR, el CSIRT nacional francés, publica sus avisos y alertas en francés; El EUVD, gestionado por ENISA según la directiva NIS2, también señala vulnerabilidades explotadas. La explotación reportada por cualquiera de ellos cuenta, a efectos de priorización, como una entrada en el catálogo KEV. Ver también Lo que cubren nuestras herramientas para NIS2.
¿Qué tan rápido me avisan?
Se suman dos retrasos. el sincronización sondea las transmisiones en un intervalo corto, del orden de unos pocos minutos: ese es el piso duro. el procesamiento (coincidencia, priorización, envío) luego toma menos de 30 segundos. Para recibir una señal crítica, espere unos minutos después de su publicación.
¿Por qué cotejar varias fuentes?
Porque ninguno de ellos está completo. Se puede publicar un disco sin partitura, recibir su vector tres semanas después y entrar en el catálogo KEV entre medias. Leer sólo una fuente significa pasar por alto el defecto o el momento en que se vuelve urgente.
¿Puedo utilizar estos datos comercialmente?
Sí. Los feeds agregados son públicos y de uso gratuito, incluso comercial, sujetos a atribución (CVE/MITRE, NVD, CISA KEV, FIRST EPSS, GHSA, OSV…). La detección de tecnología se basa en webappanalyzer, con licencia GPL-3.0: de uso gratuito en un servicio alojado, siempre que se mantenga el aviso de licencia.