VPR (Vulnerability Priority Rating) Métricas de aproximación dinámica.

La evolución orgánica del CVSS

VPR (Vulnerability Priority Rating) es una calificación dinámica desarrollada por Tenable para priorizar la remediación de vulnerabilidades en función no solo de las características técnicas de la vulnerabilidad, sino también del panorama de amenazas en tiempo real. VPR produce un valor numérico (rango ~0.1 a 10.0) y una categoría equivalente (por ejemplo: Critical / High / Medium / Low) que puede actualizarse frecuentemente — incluso diariamente — para reflejar factores externos como la disponibilidad de exploits, explotación observada en la naturaleza y otras señales de amenaza. La intención de VPR es ofrecer una priorización práctica para equipos de seguridad que deben decidir en qué vulnerabilidades invertir tiempo y recursos primero.
.

Pero... ¿Qué es el CVSS?

CVSS (Common Vulnerability Scoring System) es un estándar abierto para cuantificar la severidad de vulnerabilidades mediante una puntuación numérica de 0 a 10 basada en métricas definidas. CVSS está diseñado para comunicar la severidad técnica de una vulnerabilidad con un conjunto de métricas reproducibles (Base, Temporal, Ambiental).

· CVSS v2 (publicado en 2007) utiliza un conjunto de métricas base y fórmulas que resultan en una puntuación entre 0 y 10; fue ampliamente adoptado por la industria pero tiene limitaciones en la expresión de ciertos tipos de impacto y alcance.

· CVSS v3 (3.0 y 3.1) refinó métricas (introdujo Scope, clarificó Attack Vector, Privileges Required, etc.) y estandarizó mapeos cualitativos (None/Low/Medium/High/Critical). CVSS sigue siendo un marco estático: calcula la severidad intrínseca (Base) y puede complementarse con métricas temporales y ambientales, pero por sí solo no incorpora señales de explotación en tiempo real o inteligencia de amenazas.

¿En qué se diferencian los cálculos de CVSS y VPR?

Bien, de forma generalizada, aunque si este artículo recibe interés por los lectores, se podría realizar una actualización más técnica y detallada sobre el uso de una calculadora de CVSS y VPR. No obstante, en mi canal de youtube, publiqué un vídeo sobre este aspecto con CVSS, lo añado a continuación como complemento a este artículo.

Métricas CVSS V2 y V3

Basado en métricas definidas que describen aspectos técnicos como: vectores de ataque, complejidad, impacto en confidencialidad/integridad/disponibilidad, cambio de alcance, entre otras. Se obtiene una puntuación numérica reproducible por cualquier analista que asigne las mismas métricas. Existen además métricas temporales (como por ejemplo; madurez del exploit) y ambientales (ajustes en función del contexto del activo).

Métricas VPR (Tenable)

Combina un componente técnico (impacto técnico comparable al subscore de impacto de CVSS v3) con patrones de amenaza externos: actividad de explotación observada, existencias de exploits públicos o en kits, tendencias de explotación en Dark Web/foros, y otras fuentes de inteligencia. La puntuación es dinámica y está pensada explícitamente para priorización operativa de remediación. Tenable actualiza VPR regularmente para reflejar cambios en el panorama de amenazas.

Se podrían definir diferencias claras y específicas entre los dos formatos.

· Estática vs dinámica: CVSS es esencialmente estático (a menos que se recalcule manualmente con métricas temporales/ambientales); VPR es dinámico y cambia con patrones de explotación y threat intelligence.

· Objetivo: CVSS mide severidad técnica reproducible; VPR apunta a priorizar remediación efectiva en operaciones (qué arreglar primero).

· Fuentes de entrada: CVSS depende de métricas técnicas estandarizadas; VPR incorpora datos externos (exploit availability, explotación en la naturaleza, tendencias, y en versiones recientes, componentes de ML/IA para mejorar priorización).

· Granularidad temporal: VPR puede moverse con rapidez ante nueva evidencia de explotación; CVSS requiere recalculado manual o con datos adicionales (temporal/environmental).

Precisamente, esta nueva volumétrica añadida por tenable a sus productos cloud, satisface una de las necesidades de la comunidad de analistas de vulnerabilidades, permitiendo una automatización de la investigación sobre explotación real, técnicas involucradas (CWE), entre otras. También está disponible un vídeo en mi canal donde explico parte de este proceso de investigación.

Ventajas de CVSS y sus limitaciones

· Ventajas.
# Transparente, reproducible y ampliamente adoptado como estándar de comunicación de severidad.
# Útil para clasificación comparativa técnica y para integrar en feeds públicos (NVD, bancos de datos).

· Limitaciones.
# No mide riesgo real ni probabilidad de explotación en tiempo real; puede generar demasiadas “prioridades críticas” sin distinguir cuáles están siendo explotadas activamente.
Requiere contextualización (métricas ambientales) para reflejar riesgo en un activo específico.

Ventajas de VPR y sus limitaciones

· Ventajas.
# Prioriza lo que es más susceptible de ser explotado ahora, mejor alineado con la carga operacional de los equipos de parcheo.
# Dinámico: incorpora inteligencia de amenazas y puede reducir ruido (menos falsos positivos de criticidad). Versiones recientes han añadido IA/explicabilidad para mejorar precisión.
# Menos “abierto” en términos metodológicos completos (al ser un producto comercial, algunos detalles pueden ser propietarios).
# Depende de calidad y cobertura de las fuentes de threat intelligence; su interpretación requiere entender la metodología para no eliminar completamente la necesidad de análisis humano.

Entonces, ¿CVSS está cerca de su jubilación en Benidorm?

Con el dinero que genera este formato de clasificación, podría darse una buena jubilación ya no solo en benidorm, también en Ibiza. No obstante,
CVSS sigue siendo esencial como lenguaje común para describir la severidad técnica de vulnerabilidades y para comunicación entre proveedores, NVD y equipos. Sin embargo, usar solo CVSS para priorizar remediación a menudo produce sobrecarga operativa. La mejor práctica moderna es combinar métricas estáticas (CVSS) con priorizadores dinámicos (VPR u otros scores de threat-informed prioritization) y con el contexto del activo (valor del negocio, exposición, compensaciones).

Y ¿como se migra las políticas de remediación y de priorización con este nuevo formato?

Digamos que la metodología se mantiene pero, se añaden más políticas y seguimientos específicos, repercutiendo en su gran medida en la forma en la que se determina el tipo de criticidad. Se podría resumir en cuatro puntos relevantes.

· Clasificación.
Ingestión automatizada de inventario y vulnerabilidades con CVSS y VPR.

· Triage.
Política de análisis automatizado basado en métricas:

## (a) si el valor de VPR es = Critical → remediación inmediata;

## (b) si el CVSS es = Critical pero el valor de VPR baja la métrica → análisis y escalado según criticidad del activo;

## (c) si existe explotación observada → mitigación inmediata mientras se desarrolla un parche completo.

VPR, el complemento perfecto de CVSS

Repositorios

    |=-------=[ Actualizaciones ]=-------=|

Últimos artículos

    |=-------=[ Escritos con libertad ]=-------=|