Durante los primeros meses después de que Anthropic anunciara Mythos el 7 de abril, la industria se centró en el volumen. ¿Cuántos CVE nuevos agregará Mythos a una tubería ya sobrecargada? ¿Con qué rapidez la afluencia de descubrimientos impulsados por la IA abrumará las capacidades de clasificación? ¿Cuánto tiempo les tomará a los adversarios convertir los descubrimientos de Mythos en armas a escala? Estas preguntas son más relevantes que nunca. Sin embargo, ninguno de ellos llega tan lejos como para abordar la única métrica que determina si estas vulnerabilidades realmente conducen a una brecha: la ventana de exposición.
La ventana de exposición (la brecha entre el momento en que una vulnerabilidad se vuelve explotable y el momento en que su equipo la soluciona) es la cantidad de tiempo que tiene un atacante para causar un daño real. En este momento, esa ventana está abierta de par en par. Para 2025, el tiempo medio de fuga de los delitos electrónicos se habrá reducido a 29 minutos. Incluso PCI DSS, el marco de cumplimiento más estricto de la industria, tarda 30 días en remediar vulnerabilidades críticas. Esa es una brecha de 1000 a 1 entre la rapidez con la que se mueven los atacantes y la rapidez con la que las organizaciones pueden esperar responder. ¿Y cuál es la varilla que mantiene abierta esta ventana de exposición? Movilización: propiedad, remediación y complejidad organizacional que reduce el tiempo de respuesta y aumenta el riesgo.
En este artículo, analizamos por qué la ventana de exposición es ahora la métrica más importante, qué la mantiene abierta y cómo la detección impulsada por IA está obligando a los equipos de seguridad proactivos a adoptar métricas basadas en la velocidad que los equipos SOC han estado usando durante años.
Los mitos no crearon una ventana de exposición. Lo difundió.
Incluso antes de Mythos, ya aparecían grietas en el modelo de gestión de vulnerabilidades. En 2025 se divulgaron 48.185 CVE. Se trata de un aumento del 22 % en comparación con 2024. La mayoría de los equipos de seguridad ya estaban abrumados por los retrasos en las tareas de remediación. Y las proyecciones actuales son que se incluirán 66.000 nuevos CVE en 2026. En muchos casos, ambos CVE terminan en el mismo proceso de remediación. Implica aprobaciones manuales, propiedad fragmentada y ventanas de cambio que se mueven al ritmo de la TI corporativa en lugar del ritmo del atacante.
El marco CTEM de Gartner define cinco etapas: alcance, descubrimiento, priorización, validación y movilización. Las tres primeras etapas funcionan a la velocidad de la máquina. La plataforma automatiza las pruebas de rutas de ataque y mejora la validación para garantizar que los controles realmente detengan amenazas reales. Sin embargo, la movilización todavía se produce a un ritmo organizado.
Los recientes desarrollos políticos reconocen la desigualdad. En particular, el BOD 26-04 de CISA mueve a las agencias federales del primer parche CVSS al contexto de explotabilidad y activos (algo que CTEM ha estado pidiendo desde el principio). Sin embargo, esta directiva todavía solo aborda qué vulnerabilidades corregir primero. No se menciona qué tan rápido la organización puede movilizarse para implementar la solución. Esto significa que la ventana de exposición seguirá abierta.
Por qué la movilización conduce a interrupciones del programa
La brecha entre saber qué vulnerabilidades deben corregirse y solucionarlas realmente es un problema de movilización. Un equipo de seguridad identifica una infracción y otro equipo, con sus propias prioridades, su propia ventana de cambio y su propia cadena de aprobación, debe remediarla. Este traspaso es un eslabón débil en la mayoría de los programas CTEM. Se crearon procesos de remediación empresarial para oleoductos que se movían a la velocidad humana, pero ese ya no es el caso en todas las etapas previas a la movilización.
Investigaciones recientes muestran que se necesitan un promedio de 55 días para remediar las vulnerabilidades de aplicaciones críticas y avanzadas, y casi la mitad de las vulnerabilidades empresariales permanecen sin parches después de un año. De cualquier manera, la mayoría de las organizaciones todavía no priorizan la remediación basada en la explotabilidad y el impacto comercial. Además, los sistemas heredados, los entornos OT y la infraestructura de producción tienden a esperar a ser reparados porque desconectarse puede tener un impacto empresarial significativo. Además, las filtraciones de identidad, como privilegios excesivos y credenciales almacenadas en caché, ni siquiera tienen parches para aplicar. Muchos hallazgos simplemente quedan en cola, sin que ningún equipo sea responsable de resolverlos.
Es importante destacar que a una organización le lleva semanas o meses pasar de «arreglar esto» a «arreglar esto», mientras que a un atacante le toma sólo unos minutos, dejando abierta la ventana de compromiso. Aquí surge una pregunta. ¿Cuánto tiempo puede seguir un equipo de seguridad proactivo midiendo el éxito en un momento diferente al de un atacante?
Los equipos proactivos ahora operan en cronogramas reactivos
Las organizaciones de seguridad tradicionalmente se han dividido en dos modos de operación. Los equipos SOC (respondedores) rastrean el tiempo de permanencia, el tiempo promedio de respuesta y la velocidad de contención. Su trabajo es limitar los daños causados por amenazas ya presentes en el medio ambiente. Los equipos de VM, los equipos de seguridad de la nube y los equipos de seguridad de la red (en el lado proactivo) rastrean la cobertura de parches por nivel de gravedad o tiempo para corregir errores de configuración. Su trabajo es reducir la exposición antes de que lleguen los atacantes.
Es importante destacar que el descubrimiento impulsado por la IA básicamente pone a ambos equipos en el mismo cronómetro.
Cuando las vulnerabilidades se miden en horas desde la divulgación hasta el armamento y el tiempo hasta la ruptura se mide en minutos, una tasa de parches trimestrales del 90% no significa nada si los activos críticos permanecen explotables durante semanas mientras los parches esperan en la cola. Los equipos proactivos ahora necesitan las mismas métricas basadas en la velocidad que los SOC utilizan todo el tiempo. Esto se debe a que el proceso de reparación en sí no puede exceder el tiempo de ruptura de 29 minutos.
Los equipos deben aceptar que la ventana de exposición nunca se cerrará por completo. Más bien, debería preguntarse hasta qué punto puede cerrar la brecha y cuántos activos críticos puede alcanzar un atacante cuando cruza la brecha.
Reducción del rango de explosión
El conjunto de activos alcanzable, o radio de explosión, determina el riesgo empresarial real. Ninguna organización puede cerrar todas las exposiciones tan rápido como se mueven los atacantes, por lo que las prioridades deben cambiar hacia rutas que conecten las exposiciones explotables con los activos críticos. 2026 Verizon DBIR aplica esto al análisis de la ruta de ataque con el fin de visualizar el radio de la explosión.
No todas las exposiciones conducen a lugares peligrosos. El análisis de la ruta de ataque muestra qué exposiciones abren rutas hacia activos críticos y cuáles son simplemente callejones sin salida. Esto reduce el alcance de la movilización de un trabajo atrasado que no se puede completar a un camino finito. Y cuando comienza a realizar un seguimiento de cuánto tiempo su equipo puede llegar a los activos críticos, la velocidad de remediación se convierte en un indicador del riesgo empresarial. La movilización deja de mantener abierta la ventana de exposición y comienza a cerrarla.
Mythos no rompió los programas de seguridad. La movilización continua podría abrir una ventana de exposición.
Nota: Ryan Blanchard, director de marketing de productos de XM Cyber, escribió cuidadosamente este artículo y lo contribuyó a nuestros lectores.
Source link
