Qué es EPSS y cómo usarlo para priorizar vulnerabilidades de forma más eficiente
Por Kike Gandia · Co-Fundador y CEO, OSCP · Última actualización:
EPSS (Exploit Prediction Scoring System) es un modelo de FIRST que estima la probabilidad de que una vulnerabilidad con CVE sea explotada en los próximos 30 días. Cada día publica, para cada CVE, dos números: una probabilidad entre 0 y 1 y un percentil. A diferencia de CVSS, que mide la gravedad técnica teórica, EPSS se apoya en actividad de explotación observada. Usados juntos, cambian la forma de priorizar un backlog de vulnerabilidades.
Por qué CVSS solo no basta para priorizar
CVSS puntúa la gravedad técnica de una vulnerabilidad a partir del vector de ataque, la complejidad o el impacto potencial. El problema es de volumen: cada año se publican decenas de miles de CVE, una parte grande sale con puntuación alta o crítica y solo una pequeña fracción llega a explotarse. Con CVSS como único criterio todo lo que supera 9,0 es urgente, y parchear cientos de críticas a la vez no es viable. Falta un criterio de probabilidad, y eso es lo que aporta EPSS.
Qué mide EPSS y cómo funciona
EPSS asigna a cada CVE publicada la probabilidad de que se observe actividad de explotación en los 30 días siguientes. El modelo, mantenido por un grupo de interés especial de FIRST, combina información de la propia vulnerabilidad —proveedor y producto afectados, tipo de debilidad (CWE), antigüedad, referencias publicadas y existencia de código de exploit público en fuentes como Exploit-DB, GitHub o Metasploit— con datos de explotación real que aportan socios del sector. Las puntuaciones se recalculan a diario, y el modelo se reentrena y versiona periódicamente: la versión vigente y su historial de cambios están en la web de FIRST.
Cómo interpretar la puntuación EPSS: probabilidad y percentil
EPSS da dos datos por CVE y conviene no confundirlos:
| Dato | Qué es | Cómo leerlo |
|---|---|---|
| Probabilidad (de 0 a 1) | Estimación de que haya actividad de explotación en 30 días | 0,15 equivale a un 15 % de probabilidad. Es una medida absoluta del riesgo |
| Percentil | Proporción de CVE con una probabilidad igual o menor | Percentil 92 significa que puntúa por encima del 92 % de todas las CVE. Es una medida relativa |
Como la inmensa mayoría de las CVE tienen probabilidades muy bajas, una cifra que parece pequeña puede ser alta en términos relativos: FIRST pone el ejemplo de una probabilidad del 10 % que queda en torno al percentil 88. Por eso recomienda expresar la puntuación como probabilidad acompañada del percentil, por ejemplo «15,3 % (percentil 92)».
Combinando CVSS, EPSS y KEV: la matriz de priorización
La estrategia más eficaz cruza gravedad y probabilidad en cuatro cuadrantes:
| EPSS alto | EPSS bajo | |
|---|---|---|
| CVSS alto | Corregir de inmediato: grave y con probabilidad real de explotación | Vigilar: grave, pero sin señales de explotación |
| CVSS bajo | Evaluar el contexto: puede servir como acceso inicial en una cadena | Backlog de baja prioridad |
Un tercer dato completa la matriz: el catálogo KEV (Known Exploited Vulnerabilities) de CISA, que recoge vulnerabilidades con explotación ya confirmada. Si una CVE está en KEV, la predicción deja de importar: se está explotando y va arriba de la cola, tenga el EPSS que tenga.
Qué umbral de EPSS usar
FIRST no fija un corte universal, y tiene sentido que no lo haga: el umbral correcto depende de cuántas vulnerabilidades puede corregir tu equipo en un ciclo. La forma práctica de elegirlo es al revés. Parte de tu capacidad real, por ejemplo cincuenta correcciones al mes, ordena el backlog por probabilidad EPSS y mira qué puntuación tiene la vulnerabilidad que ocupa el puesto cincuenta: ese es tu umbral operativo. Revísalo cada pocas semanas, porque las puntuaciones cambian a diario y el umbral también se mueve.
Cómo consultar EPSS gratis
FIRST publica las puntuaciones en first.org/epss de dos formas gratuitas: un fichero CSV diario con todas las CVE y una API pública (api.first.org/data/v1/epss?cve=CVE-AAAA-NNNN) que devuelve probabilidad, percentil y fecha de cálculo. Muchas plataformas de gestión de vulnerabilidades, como Tenable, Qualys o Rapid7, ya muestran EPSS junto al CVSS. Si tu herramienta lo integra, comprueba qué fecha de cálculo usa: una puntuación de hace semanas puede estar muy desactualizada.
FAQ
¿EPSS reemplaza a CVSS?
No, son complementarios. CVSS mide la gravedad técnica intrínseca de la vulnerabilidad y EPSS la probabilidad de que se explote en el panorama de amenazas actual. Usarlos juntos da una imagen mucho más completa que cualquiera de los dos por separado.
¿Qué diferencia hay entre la puntuación EPSS y el percentil?
La puntuación es una probabilidad absoluta, entre 0 y 1, de que haya explotación en 30 días. El percentil indica qué proporción de todas las CVE puntúa igual o por debajo. Una probabilidad del 10 % parece baja, pero puede situarse cerca del percentil 88 porque casi todas las CVE puntúan menos. Lo recomendable es dar los dos: «10 % (percentil 88)».
¿Qué es FIRST y por qué mantiene EPSS?
FIRST (Forum of Incident Response and Security Teams) es la organización internacional que agrupa a equipos de respuesta a incidentes de todo el mundo. Mantiene EPSS a través de un grupo de interés especial, igual que mantiene CVSS, y publica las puntuaciones de forma gratuita.
¿Con qué frecuencia se actualiza EPSS?
Las puntuaciones se recalculan cada día. Una vulnerabilidad con EPSS bajo hoy puede subir mucho mañana si se publica un exploit o se detecta actividad de explotación, así que conviene monitorizarlo de forma continua y no solo cuando se publica la CVE.
¿EPSS sustituye al catálogo KEV de CISA?
No. KEV confirma que una vulnerabilidad ya se está explotando; EPSS estima la probabilidad de que llegue a explotarse. Una CVE en KEV va primero en la cola sin mirar su EPSS, y para el resto, que es la gran mayoría del backlog, EPSS ayuda a ordenar.
¿EPSS funciona para vulnerabilidades recién publicadas?
Para CVE muy recientes la puntuación puede ser menos fiable, porque el modelo dispone de menos señales. En esos casos pesan más el CVSS, la aparición en KEV y el contexto de tu arquitectura: si el componente está expuesto a Internet, por ejemplo.
Servicio relacionado
servicio de triage de vulnerabilidades
Contenido relacionado
- KOMPLIANCE: vulnerabilidades y cumplimiento en un solo sitio
- Servicio de ciberinteligencia y CTI
- CVSS vs EPSS: comparativa completa
- Cómo priorizar el backlog de vulnerabilidades
- Pentesting para empresas
- Servicios de auditoría de ciberseguridad
- Ciberseguridad para PYMEs
Fuentes
- FIRST — Exploit Prediction Scoring System (EPSS): modelo, datos y puntuaciones diarias
- FIRST — probabilidad, percentiles y agrupación: cómo leer una puntuación EPSS
- CISA — catálogo Known Exploited Vulnerabilities (KEV)
Implementamos una estrategia de priorización basada en CVSS y EPSS para tu equipo