Encontrar problemas de seguridad nunca fue exactamente la parte más difícil.
Un scanner encuentra vulnerabilidades. Una herramienta de Attack Surface Management descubre activos y exposiciones. Threat Intelligence aporta nueva información. Los Pentests encuentran fallas que otros análisis no detectaron. Los equipos internos también conocen problemas que llevan meses en el backlog.
Con el tiempo, una organización puede terminar con miles de findings provenientes de diferentes lugares.
Y entonces aparece una pregunta bastante más difícil:
¿qué hacemos primero?
Corregir todo sería la respuesta más cómoda, pero difícilmente sea una opción real. Los equipos son limitados, existen ventanas de cambio, hay sistemas que no pueden detenerse, dependencias técnicas y prioridades propias del negocio.
Tampoco alcanza con buscar simplemente las vulnerabilidades con mayor CVSS. Como vimos al hablar de Gestión de Vulnerabilidades, la severidad es importante, pero por sí sola no explica qué exposiciones merecen atención primero.
Es en este escenario donde Continuous Threat Exposure Management (CTEM) comienza a tener sentido.
CTEM no es una herramienta
Este quizá sea el primer punto que vale la pena aclarar.
CTEM no es un scanner, una plataforma específica ni una nueva categoría de producto que resuelve automáticamente la exposición cibernética.
Es un enfoque estructurado para identificar, priorizar y validar exposiciones de forma continua, llevando esa información hasta una acción de tratamiento.
Gartner describe CTEM como un enfoque pragmático y sistémico para evaluar continuamente la accesibilidad, exposición y explotabilidad de los activos digitales y físicos de una organización.
La palabra continuous también puede generar cierta confusión.
No significa necesariamente tener un scanner ejecutándose las 24 horas del día.
La idea es que la gestión de exposición sea recurrente y acompañe los cambios del entorno. Aparecen nuevos activos, cambian configuraciones, se divulgan vulnerabilidades, evolucionan las técnicas de ataque y aquello que ayer no parecía prioritario puede ganar importancia.
Por eso, CTEM funciona más como un ciclo que como un proyecto con un inicio y un final claramente definidos.
Las cinco etapas ayudan a entender el proceso
El modelo de CTEM normalmente se organiza en cinco etapas:
Scoping → Discovery → Prioritization → Validation → Mobilization
La secuencia ayuda a explicar el proceso, pero en la práctica estas etapas no viven aisladas unas de otras.
Todo comienza con Scoping.
Antes de buscar exposiciones, es necesario decidir qué queremos observar. Puede ser la superficie externa de la organización, determinados sistemas críticos, aplicaciones, entornos cloud o algún conjunto específico de activos.
Parece una etapa simple, pero evita un problema relativamente común en seguridad: recopilar una enorme cantidad de información sin tener demasiada claridad sobre qué pretendemos hacer con ella.
Después viene Discovery.
Aquí buscamos entender qué activos y exposiciones existen dentro de ese alcance. Dependiendo del entorno, pueden aparecer vulnerabilidades, servicios expuestos, configuraciones inadecuadas, credenciales filtradas, activos desconocidos y otros caminos que merecen análisis.
En entornos grandes, normalmente no tarda mucho en aparecer bastante información.
Y encontrar muchas cosas nos lleva al siguiente problema.
Descubrir no significa saber qué tratar primero
La etapa de Prioritization existe justamente porque volumen y riesgo no son lo mismo.
Imaginemos que el proceso de Discovery identifica 3.000 exposiciones.
Tratar las 3.000 como igualmente urgentes prácticamente elimina el valor de la priorización. De la misma manera, ordenar todo simplemente por severidad puede dejar fuera información importante sobre explotabilidad, exposición y contexto.
El trabajo pasa entonces a reducir ese universo a algo que la organización realmente pueda analizar y tratar.
Eso requiere contexto.
Una vulnerabilidad crítica en un activo aislado puede merecer una decisión diferente de una vulnerabilidad de menor severidad presente en una aplicación expuesta a Internet y con evidencias de explotación.
Un servicio publicado puede parecer preocupante inicialmente, pero quizá existan controles que reduzcan considerablemente su exposición.
Una credencial filtrada puede ser antigua y ya haber sido revocada. Otra puede seguir siendo válida.
El discovery muestra que algo existe. La priorización comienza a preguntar cuánto importa realmente.
Es justamente en este punto donde CTEM empieza a alejarse de una lógica simple de “encontrar más vulnerabilidades”.
Pero todavía estamos trabajando con hipótesis
Incluso después de priorizar, hay una pregunta que vale la pena hacer:
¿aquello que parece explotable realmente lo es?
Esa es la función de la etapa de Validation.
Aquí también existe un matiz importante. Validar no significa necesariamente explotar cada vulnerabilidad ni ejecutar un Pentest completo sobre todo lo encontrado.
Dependiendo de la exposición, podemos buscar distintos tipos de evidencia.
¿El servicio realmente responde desde Internet? ¿La credencial sigue siendo válida? ¿La vulnerabilidad reúne las condiciones técnicas para ser explotada en ese entorno? ¿Un control existente bloquea el camino que inicialmente parecía posible?
En otros casos, puede ser necesario un análisis ofensivo más profundo para entender mejor la situación.
El objetivo es reducir la incertidumbre.
Porque existe una diferencia considerable entre decir:
“Encontramos algo potencialmente vulnerable.”
y poder explicar:
“Encontramos esta exposición, es accesible bajo estas condiciones y existen estas evidencias que aumentan su relevancia.”
Cuanto mejor sea la evidencia, mejor tiende a ser la decisión sobre qué hacer después.
Y alguien tiene que hacer algo con eso
Aquí llegamos a una etapa que quizá parezca menos interesante técnicamente, pero sin ella el resto del ciclo pierde buena parte de su valor: Mobilization.
Encontrar, priorizar y validar una exposición no significa que haya sido reducida.
Alguien tiene que recibir la información. Es necesario definir responsabilidad, evaluar el tratamiento, corregir cuando sea posible, aceptar determinado riesgo cuando corresponda y después verificar qué ocurrió.
En la práctica, esta etapa puede involucrar a diferentes equipos.
Seguridad identifica una exposición. Infraestructura necesita modificar un servicio. Desarrollo corrige una aplicación. Cloud elimina una configuración inadecuada. Otro equipo puede necesitar evaluar si el cambio afecta la operación.
Ese flujo no siempre ocurre rápidamente.
Y el problema no siempre es técnico.
Hay situaciones en las que una exposición ya es conocida y comprendida, pero continúa abierta simplemente porque nunca llegó a la persona correcta, no tiene un responsable claro o compite con otras prioridades.
Por eso, la última etapa de CTEM no termina en un informe.
El objetivo es transformar información en reducción de exposición.
Después el ciclo comienza nuevamente
Supongamos que una organización completó este proceso hoy.
Definió el alcance, descubrió exposiciones, priorizó lo que parecía más relevante, buscó evidencias y movilizó a los equipos responsables.
¿El entorno está resuelto?
Probablemente no.
Mañana puede entrar una nueva aplicación en producción. La próxima semana puede divulgarse una vulnerabilidad relevante. Puede registrarse un nuevo dominio. Una configuración puede cambiar. Una credencial puede aparecer en una filtración.
O una exposición que había sido considerada poco prioritaria puede pasar a tener un exploit disponible.
El entorno cambió, por lo que algunas decisiones necesitan revisarse.
Ese movimiento es lo que da sentido al Continuous de CTEM.
No se trata simplemente de repetir scans. Se trata de repetir el proceso de decisión a medida que cambian las exposiciones y el contexto.
¿Dónde se encuentran CTEM, ASM y Gestión de Vulnerabilidades?
Los conceptos se superponen en algunos puntos, pero no son lo mismo.
La Gestión de Vulnerabilidades tradicionalmente trabaja con la identificación y el tratamiento de vulnerabilidades en los activos de la organización.
Attack Surface Management ayuda a mantener visibilidad sobre los activos y exposiciones que componen la superficie de ataque, especialmente desde una perspectiva externa.
CTEM organiza un enfoque más amplio para gestionar exposiciones continuamente, pasando por discovery, priorización, validación y movilización.
Esto significa que ASM puede apoyar un programa de CTEM. Gestión de Vulnerabilidades también.
Threat Intelligence, herramientas de seguridad, validación ofensiva y procesos internos entran en diferentes partes del mismo ciclo.
Por eso, quizá no sea muy útil preguntar cuál de estos enfoques “reemplaza” a los otros.
En muchos entornos, necesitan conversar.
Un equipo de Vulnerability Management puede conocer miles de vulnerabilidades. ASM puede revelar un activo que no estaba en el inventario. Threat Intelligence puede mostrar que una determinada vulnerabilidad comenzó a ser explotada. Una validación puede indicar que una exposición aparentemente crítica no funciona bajo las condiciones de ese entorno.
Cada información modifica un poco la decisión.
CTEM no debería significar encontrar más problemas
Esta quizá sea una de las interpretaciones que más conviene evitar.
Si una organización ya tiene 20 mil findings e implementa CTEM solamente para llegar a 30 mil, probablemente no resolvió su principal dificultad.
La cantidad de descubrimientos incluso puede aumentar, especialmente al principio.
Pero el beneficio debería aparecer en otro lugar: en la capacidad de entender qué exposiciones merecen atención, obtener evidencias cuando sea necesario y llevar las más relevantes hasta una acción.
Esto también explica por qué CTEM no es simplemente una evolución del scanner de vulnerabilidades.
La tecnología ayuda mucho en varias etapas. La automatización también.
Aun así, alguien tiene que definir el alcance, interpretar el contexto, decidir prioridades y movilizar a la organización.
Algunas de estas decisiones pueden apoyarse cada vez más en datos y automatización. Otras continúan dependiendo del conocimiento que la empresa tiene sobre su propio entorno.
Al final, la pregunta que CTEM intenta ayudar a responder no es:
“¿Cuántos problemas encontramos?”
Es una pregunta un poco más útil:
“¿En qué exposiciones debemos concentrar nuestros esfuerzos ahora?”
Y cuando esa respuesta cambia, el ciclo comienza otra vez.
Referencias
- Gartner — Strategic Roadmap for Managing Threat Exposure
- Gartner — From Vulnerability Management to Exposure Management
- SANS Institute — Continuous Threat Exposure Management
- SANS Institute — CTEM Maturity Model
Continúa explorando
- ¿Qué es la superficie de ataque y por qué cambia continuamente?
- Gestión de Vulnerabilidades: por qué la severidad no es suficiente para definir prioridades
- ¿Qué es un vector de ataque? Entiende su relación con la superficie de ataque
¿Quieres llevar esta visión a tu superficie de ataque?
Conoce cómo Lion Focus ayuda a descubrir, monitorear, validar y priorizar exposiciones cibernéticas.
Leonnes Cybersecurity
Cyber Exposure Platform
