[Cóñó~zcá l~á púñ~túác~íóñ: Éx~plíc~ácíóñ~ dé lá~ éxpó~sící~óñ á vú~lñér~ábíl~ídád~és]

[Éñ ésté póst, éxplícó lós dívérsós fáctórés éñ él cálcúló dél Púñtájé dé Éxpósícíóñ á Vúlñérábílídád (VÉS) dé Íllúmíó, qúé pérmíté á lás órgáñízácíóñés cómbíñár médícíóñés dé púñtúácíóñ dé vúlñérábílídádés éstáñdár dé lá íñdústríá cóñ cóñtéxtó dé sú própíó éñtórñó úñícó. Él VÉS támbíéñ áýúdá á lós prófésíóñálés dé ségúrídád á príórízár lós cóñtrólés dé ségúrídád párá míñímízár lá éxpósícíóñ dé lá súpérfícíé dé átáqúé ý él ímpáctó pótéñcíál dé lás vúlñérábílídádés.]

[¿Qúé és~ lá éx~pósí~cíóñ¿~]

[Lá éx~pósí~cíóñ é~ñ él c~óñté~xtó d~é lá c~íbér~ségú~rídá~d sé d~éfíñ~é típí~cámé~ñté p~ór lá~ “súpé~rfíc~íé dé~ átáq~úé”. Hé~ áqúí ú~ñá dé~fíñí~cíóñ q~úé ÓÁ~VÍSP~Á úsó~s:]

[Lá sú~pérf~ícíé~ dé át~áqúé~ désc~ríbé~ tódó~s lós~ dífé~réñt~és pú~ñtós~ dóñd~é úñ á~tácá~ñté p~ódríá~ íñgr~ésár~ á úñ s~ísté~má ý d~óñdé~ pódr~íá óbt~éñér~ dátó~s.]

[Él ÍLLÚMÍÓ VÉS éstá díréctáméñté álíñéádó cóñ ésá défíñícíóñ. Éñ pócás pálábrás, lá éxpósícíóñ és úñ íñtéñtó dé cúáñtífícár lá súmá dé lós “ágújérós” ó lós díféréñtés púñtós désdé lós cúálés úñ átácáñté púédé íñtéñtár íñgrésár á úñ sístémá á trávés dé lá réd.]

[Dígámós, pór éjémpló, qúé tíéñé úñ Pártñér Pórtál, úñá cárgá dé trábájó qúé éjécútá úñá áplícácíóñ wéb éñ él púértó 443. Sígúíéñdó él príñcípíó dé prívílégíó míñímó, és pósíblé qúé téñgá áccésó límítádó á ésá áplícácíóñ wéb á sóló trés ásócíádós dé ñégócíós éxtérñós. Éñ ésté éjémpló, lá púñtúácíóñ dé éxpósícíóñ párá ésá áplícácíóñ és 3. Sí bíéñ éstó párécé óbvíó, múý á méñúdó lás órgáñízácíóñés ñó tíéñéñ ésté ñívél dé cóñcíéñcíá ó vísíbílídád éñ sú éxpósícíóñ ésté-óésté áplícácíóñ pór áplícácíóñ, ý múchó méñós lás rámífícácíóñés dél ágrégádó dé éstás éxpósícíóñés éñ tódó sú éñtórñó.]

[¿Qúé és~ úñá p~úñtú~ácíóñ~ dé vú~lñér~ábíl~ídád~¿]

[Él VÉS dé Íllúmíñó émpléá él éstáñdár ábíértó dé lá íñdústríá, él Cómmóñ Vúlñérábílítý Scóríñg Sýstém (CVSS) ácéptádó pór lá cómúñídád, órígíñálméñté créádó pór él Cóñséjó Cóñsúltívó Ñácíóñál dé Íñfráéstrúctúrá (ÑÍÁC). Ádóptár úñ éstáñdár dé lá íñdústríá ñós pérmíté íñtérópérár cóñ múchás sólúcíóñés dé ségúrídád éxístéñtés, íñclúýéñdó ádmíñístrácíóñ dé vúlñérábílídádés próvéédórés, ádémás dé própórcíóñár úñá púñtúácíóñ qúé és ácéptádá pór lá más ámplíá gámá dé prófésíóñálés dé ségúrídád.]

[Lás púñtúácíóñés dé vúlñérábílídád sóñ cómúñés éñ lá máýóríá dé lás sólúcíóñés dé ádmíñístrácíóñ dé vúlñérábílídádés ý, pór ló géñérál, sé éválúáñ ý ásígñáñ pór cárgá dé trábájó. Pór éjémpló, lá cárgá dé trábájó Á tíéñé cíñcó vúlñérábílídádés. Él púñtájé dé vúlñérábílídád pódríá sér él prómédíó cómbíñádó dé lós púñtájés CVSS dé ésós cíñcó. Sí bíéñ éstá és úñá métrícá válíósá párá cómpréñdér lá vúlñérábílídád pótéñcíál dé úñá sólá cárgá dé trábájó dé fórmá áísládá, sé píérdé álgúñós détállés ímpórtáñtés párá cómpréñdér qúé táñ vérdádéráméñté vúlñéráblé és ésá cárgá dé trábájó éñ úñ éñtórñó éñ vívó.]

[Ímpl~éméñ~tácí~óñ dé m~ícró~ségm~éñtá~cíóñ p~árá m~ítíg~ár él~ ríés~gó ás~ócíá~dó có~ñ lás~ vúlñ~éráb~ílíd~ádés~]

[Párá~ éñté~ñdér~ ló vú~lñér~áblé~ qúé é~s álg~ó, és ñ~écés~áríó~ áñál~ízár~ múltí~plés~ fáct~órés~. Úñá v~úlñé~rábí~lídá~d sól~ó és v~érdá~dérá~méñt~é úñ r~íésg~ó sí é~stá éx~púés~tá éñ~ sú éñ~tórñ~ó ý pú~édé s~ér éx~plót~ádá.]

[Párá úñ éjémpló símplé, cóñsídérémós úñá sólá cárgá dé trábájó cóñ úñá úñícá vúlñérábílídád crítícá. Débídó á qúé sé púñtúáñ cómó sévérídád “Crítícá”, púédé sér áltáméñté éxplótáblé. Lá récóméñdácíóñ típícá dé úñ éqúípó dé ségúrídád pódríá sér: “¡Téñémós qúé párchéárló¡”. Péró cóñsídérémós cúáñtás ótrás cárgás dé trábájó púédéñ cóñéctársé á ésá cárgá dé trábájó ý éxplótár pótéñcíálméñté ésá vúlñérábílídád. Éxámíñémós támbíéñ lós púértós dé réd qúé éstáñ éxpúéstós cómó párté dé ésá vúlñérábílídád. Cómó súélé ócúrrír éñ lás rédés pláñás, lá cárgá dé trábájó éstárá bíéñ cóñéctádá á múchás ótrás cárgás dé trábájó.]

[És pósíblé qúé ñó séá fáctíblé áplícár párchés á ésá vúlñérábílídád éñ pártícúlár, ýá séá pórqúé áúñ ñó éxísté úñ párché ó débídó á lós réqúérímíéñtós ý réstríccíóñés éñ cúáñtó ál tíémpó dé áctívídád dé pródúccíóñ, lás véñtáñás dé cámbíó ý lós SLÁs. Éñ tálés cásós, pódémós úsár lá mícróségméñtácíóñ párá rédúcír lá cáñtídád dé cárgás dé trábájó qúé púédéñ cóñéctársé á ésá cárgá dé trábájó vúlñéráblé ý ál púértó vúlñéráblé éspécífícó.]

[Mícr~óség~méñt~ácíóñ~ sé có~ñvíé~rté é~ñ úñ c~óñtr~ól dé~ mítí~gácí~óñ dé r~íésg~ós mé~díáñ~té:]

• [Rédú~cír l~ós vé~ctór~és dé~ átáq~úé á l~á cár~gá dé~ tráb~ájó.]
• [Rédú~cír l~á “éxp~ósíc~íóñ” dé~ lá cá~rgá d~é trá~bájó~.]
• [Rédú~cír é~l ríé~sgó d~é qúé~ lá vú~lñér~ábíl~ídád~ dé és~á cár~gá dé~ tráb~ájó p~úédá~ réál~méñt~é sér~ éxpl~ótád~á, á pé~sár d~é qúé~ lá vú~lñér~ábíl~ídád~ és “Cr~ítícá~” ý áct~úálm~éñté~ ñó sé~ púéd~é pár~chéá~r.]
  

[¿Cúál é~s lá v~úlñé~rábí~lídá~d¿ Éx~pósí~cíóñ ¿P~úñtú~ácíóñ~¿]

[Él VÉS dé Íllúmíñó és úñ médíó párá cóñtrólár táñtó lá “éxplótábílídád” dé úñá vúlñérábílídád (géñérálméñté répréséñtádá pór lá púñtúácíóñ CVSS), cómó lá “álcáñzábílídád” réál dé lá cárgá dé trábájó vúlñéráblé á trávés dé véctórés dé átáqúé éñ sú éñtórñó, ló qúé hémós éstádó llámáñdó “éxpósícíóñ”.]

[Áhórá párá lás mátémátícás réálés. Él VÉS sé cálcúlá múltíplícáñdó úñá púñtúácíóñ dé vúlñérábílídád éscáládá (CVSS) pór úñá médícíóñ dé éxpósícíóñ éscáládá párá úñ sérvícíó détérmíñádó, dóñdé s ý p sóñ fáctórés dé éscálá párá áýúdár ál lógárítmó á éscálár ésás médícíóñés, qúé és úñá técñícá mátémátícá cómúñ cúáñdó háý úñ ámplíó ráñgó dé válórés:]

[VÉS = s~ (CVSS~) * p (méd~ícíóñ~ dé éx~pósí~cíóñ)]

[Cómó méñcíóñé éñ mí Ártícúló dé Fórbés éñ lás léccíóñés dé ségúrídád émprésáríál éxtráídás dél MVP dé lá ÑBÁ Stéph Cúrrý, éstá médícíóñ própórcíóñá úñá máñérá párá qúé úñ prófésíóñál dé ségúrídád cómpréñdá lá vúlñérábílídád ý lá íñfórmácíóñ dé áméñázás rélácíóñádá éñ él cóñtéxtó dé éñtórñós ségméñtádós.]

[Éspécífícáméñté, lás sólúcíóñés trádícíóñálés dé ádmíñístrácíóñ dé vúlñérábílídádés útílízáñ clásífícácíóñés dé Crítícál, Áltó, Médíó, Bájó é Íñfó párá cátégórízár lás vúlñérábílídádés ý áýúdár á príórízár lós ésfúérzós dé mítígácíóñ. Crítícós ý áltós óbtíéñéñ átéñcíóñ íñmédíátá, cómó débéríáñ. Síñ émbárgó, háý úñá gráñ cáñtídád dé vúlñérábílídádés médíáñás qúé ñó sé príórízáñ ý, fíñálméñté, sé cóñvíértéñ éñ úñ bácklóg sígñífícátívó qúé ñó há pásádó désápércíbídó párá lós éscrítórés dé málwáré.]

[Lás vúlñérábílídádés crítícás súéléñ sér áltáméñté éxplótáblés (bájó cóstó párá él átácáñté), péró sóló pór úñ córtó péríódó dé tíémpó pórqúé lós éqúípós dé ségúrídád pásáñ rápídáméñté á áplícár párchés ó éñcúéñtráñ ótrás fórmás dé élímíñár lá éxpósícíóñ. Lós átácáñtés, qúé síémpré búscáñ úñ ñúévó áñgúló, sé dírígéñ cádá véz más á vúlñérábílídádés médíáñás qúé á méñúdó sé píérdéñ éñ él rúídó ý pérmáñécéñ síñ párchés dúráñté péríódós dé tíémpó más lárgós, úñ óbjétívó múchó más éféctívó párá víólár. Púédéñ cóñsídérársé úñ pócó más “cárós” dé éxplótár (máýór bárrérá dé éñtrádá, sí sé qúíéré), péró él héchó dé qúé éstáráñ díspóñíblés más tíémpó qúé lás vúlñérábílídádés crítícás ý áltás lás hácé múchó más átráctívás párá ápúñtár cúáñdó él átácáñté cálcúlá él RÓÍ fréñté á sú íñvérsíóñ.]

[Él pr~ópósí~tó ý l~á cóý~úñtá~]

[Él VÉS hácé qúé séá múchó más fácíl párá úñá órgáñízácíóñ cómbíñár lá púñtúácíóñ CVSS dé méjórés práctícás dé lá íñdústríá cóñ fáctórés qúé sóñ úñícós párá él éñtórñó dé cádá clíéñté. Lós éqúípós dé ségúrídád púédéñ príórízár méjór sú éstrátégíá dé mítígácíóñ éñ fúñcíóñ dé lá éxpósícíóñ dé lá vúlñérábílídád éñ sú éñtórñó úñícó. Pór éjémpló, úñá vúlñérábílídád dé áltá grávédád pódríá sér déspríórízádá pórqúé lá éxpósícíóñ há sídó múý gráñdé rédúcídó pór cóñtrólés dé mícróségméñtácíóñ. Ó pódríá hábér úñá vúlñérábílídád médíá qúé débéríá príórízársé éñ lá párté súpéríór dé lá lístá dádá lá éxpósícíóñ cóñ úñ ñúméró másívó dé pósíblés rútás dé átáqúé éñ ésé sérvícíó vúlñéráblé.]

[Él VÉS és pósíblé pórqúé ñósótrós dé máñérá úñícá éñtéñdér él mápá — cómó sé cóñéctá ý sé cómúñícá sú éñtórñó, ý súpérpóñér íñfórmácíóñ dé vúlñérábílídád éñ lá párté súpéríór dél mápá párá áýúdár á lós éqúípós dé ségúrídád á vísúálízár ý príórízár lá mítígácíóñ dél ríésgó dé vúlñérábílídádés éñ sú éñtórñó. Éstó sé cóñvíérté éñ úñá hérrámíéñtá éxtrémádáméñté pódérósá, ñó sóló párá lós éqúípós dé ségúrídád síñó párá ótrós cómó própíétáríós dé áplícácíóñés ý éjécútívós qúé ñécésítáñ cómpréñdér ésé ríésgó ý mítígárló ó ácéptárló éñ él cóñtéxtó dé úñ ríésgó cómércíál más ámplíó.]