Bienvenida al curso · Gestión de vulnerabilidades

El resumen del escaneo mensual de Logística Volcán S.A., la empresa ficticia del curso, llega un lunes al correo de TI:

Hallazgos abiertos por severidad (CVSS)
  Críticos (9.0 - 10.0)    38
  Altos    (7.0 - 8.9)    214
  Medios   (4.0 - 6.9)    611
  Bajos                   402

El equipo son dos personas con una semana. Lo natural es empezar por los 38 críticos. Pero al cruzar la lista con el catálogo KEV de CISA, que registra vulnerabilidades explotadas en ataques reales, aparece un "alto" de 7.5 en el servidor de la VPN, expuesto a internet, que alguien ya está usando para entrar a otras empresas. Varios críticos están en una máquina de pruebas apagada. El CVSS dice cuán grave puede ser una falla, no cuál le van a usar primero.

Bienvenido a Gestión de vulnerabilidades. El curso trata de esa decisión y de lo que la rodea: encontrar las fallas en sus equipos, conseguir que alguien las corrija a tiempo y explicarle a la gerencia, con números, si el programa funciona.

Qué va a lograr

Leer un registro CVE, un CWE y una entrada de la NVD.
Priorizar con CVSS, EPSS, el catálogo KEV y el contexto de sus activos, consultando fuentes con curl y jq.
Escanear con credenciales su VM con Greenbone y validar falsos positivos con dpkg.
Definir SLA, mitigaciones y excepciones de riesgo aceptado con firma del dueño de negocio.
Calcular MTTR, cumplimiento de SLA y cobertura, y presentarlos en un reporte de una página.

Para quién es y qué necesita

Es para quien empieza en seguridad defensiva, administra parches o trabaja en un SOC. Conviene haber hecho Redes para ciberseguridad y manejar la terminal como en Linux básico: 15 comandos para empezar.

Los laboratorios de priorización y métricas se hacen en una hoja de cálculo. El de escaneo pide VirtualBox o VMware con dos VMs, Kali Linux y Ubuntu Server 24.04, y unos 12 GB de RAM libres; la píldora Su primera máquina virtual en 40 minutos le guía si nunca creó una.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Fundamentos de las vulnerabilidades	Qué es gestionarlas, CVE, CWE, NVD, ciclo de vida y divulgación responsable	Ficha de una vulnerabilidad ficticia
2. Priorización	Vector CVSS, EPSS y KEV con `curl` y `jq`, criticidad y exposición	Priorizar diez vulnerabilidades
3. Descubrimiento en su propio inventario	Inventario de activos, Greenbone, falsos positivos y `dpkg`	Escaneo autenticado de su VM
4. Remediación y programa	SLA, parches, mitigaciones, excepciones, métricas y la conclusión	Plan de remediación y reporte mensual
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Adelante la instalación de Greenbone en Kali: los comandos están en la lección Escáneres de vulnerabilidades y Greenbone, y conviene ejecutarlos días antes del laboratorio. La primera sincronización del feed puede tardar más de una hora.

El laboratorio de priorización es el que más discusión genera: diez vulnerabilidades, cuatro fuentes de datos y ninguna regla que dé el orden perfecto. Si su orden difiere del de la solución en dos posiciones y puede justificarlo, está bien. Haga usted los cálculos de métricas del módulo 4: un MTTR mal calculado se descubre en cuanto un gerente pregunta de dónde salió el número.

Al aprobar la evaluación final recibe el certificado, la insignia y sus puntos de experiencia.

Tiempo estimado

Unas 5 horas, hora y media en laboratorios, más la descarga del feed de Greenbone.