Exposición a Internet: por qué la misma CVE no tiene el mismo riesgo

Dos servidores tienen la misma CVE crítica. Uno está en una subred de backend aislada a la que solo llega la capa de aplicación. El otro responde en una IP pública a cualquiera desde Internet. Sobre el papel, los hallazgos son idénticos: mismo identificador, misma puntuación CVSS, mismo parche. En la práctica, uno puede ser localizado y atacado hoy mismo por cualquier escáner automatizado de Internet, y el otro exige un atacante que ya esté dentro de tu red.

Las puntuaciones de severidad describen la vulnerabilidad, no dónde está. La exposición a Internet es una de las señales más potentes que puedes añadir a la priorización, y una de las que más suele faltar.

Misma CVE, distinto riesgo

Los atacantes trabajan de fuera hacia dentro. Escanear masivamente el espacio IPv4 público es barato y continuo, y las nuevas vulnerabilidades en software de perímetro —pasarelas VPN, herramientas de acceso remoto, servidores web, appliances de transferencia de ficheros, firewalls— suelen ser atacadas poco después de su publicación. Basta revisar el catálogo KEV de CISA para ver cuántas veces aparece tecnología de perímetro.

Por eso la exposición cambia la ecuación. Un fallo explotable y alcanzable desde Internet no necesita un punto de apoyo previo, ni phishing, ni credenciales robadas. El mismo fallo detrás de tres capas de segmentación merece corregirse, pero rara vez es lo que provoca la primera brecha.

Qué es realmente la superficie de ataque externa

Tu superficie de ataque externa es todo lo que una persona no autenticada puede alcanzar desde Internet. Suele ser mayor que la lista que tu equipo cree pública:

• IPs públicas asignadas a VMs, NAT gateways y appliances.
• Balanceadores de carga, API gateways y proxies inversos.
• Buckets de almacenamiento, bases de datos y servicios gestionados con endpoint público.
• Acceso remoto: VPN, RDP, SSH, consolas de administración.
• Registros DNS que apuntan a servicios que nadie recuerda.
• Activos en SaaS y en terceros que llevan tu marca.

Cómo se determina la exposición

«Tiene una IP pública» es un punto de partida, no una respuesta. Un recurso solo está expuesto de verdad si existe una ruta de red desde Internet hasta un servicio a la escucha. Determinarlo exige combinar varias capas:

1. Direccionamiento. ¿El recurso, o algo delante de él, tiene IP pública o nombre DNS público?
2. Filtrado. ¿Los security groups, network security groups, reglas de firewall y ACL de red permiten tráfico entrante desde 0.0.0.0/0 o rangos amplios, y en qué puertos?
3. Puertas de entrada. ¿El recurso es destino de un balanceador público, un API gateway o una redirección de puertos? Una VM privada detrás de un balanceador público está expuesta en los puertos que este reenvía.
4. Capas de protección. ¿El tráfico pasa por un WAF o una CDN? Eso no elimina la exposición, pero cambia la facilidad de explotar una vulnerabilidad concreta; y importa si el origen es accesible directamente, saltándose la protección.
5. Enrutamiento. Tablas de rutas, internet gateways y peerings deciden si la ruta existe de verdad.

El resultado útil es una clasificación, no un sí o no: por ejemplo expuesto directamente, expuesto a través de balanceador o proxy, expuesto pero detrás de WAF/CDN y solo interno. Cada clase merece un peso distinto en tu ranking.

Activos desconocidos y en la sombra

El análisis de exposición es tan bueno como tu inventario. Los activos expuestos más peligrosos suelen ser los que no tienen dueño: un entorno de pruebas montado para una demo, un subdominio olvidado, una cuenta cloud creada fuera de la organización central, un servidor heredado que sigue ahí «temporalmente». No aparecen en la CMDB, así que nadie los parchea, monitoriza ni respalda.

La forma de encontrarlos es el descubrimiento continuo desde las APIs del proveedor cloud y el DNS, combinado con escaneo de red. Trata cada activo público recién descubierto como un hallazgo hasta que alguien lo reclame. Es la fase de alcance y descubrimiento de CTEM, y encaja de forma natural con corregir las malas configuraciones cloud más comunes.

Combinar exposición con KEV y EPSS

La exposición gana fuerza cuando se combina con señales de explotación en lugar de usarse sola:

• Expuesto + en CISA KEV: explotación conocida sobre un activo alcanzable. Encabeza la cola: actúa en horas o días, no en semanas.
• Expuesto + EPSS alto: alta probabilidad de actividad de explotación próxima sobre un objetivo alcanzable. Lo siguiente.
• Interno + KEV: urgente, sobre todo en sistemas críticos, porque quien entre usará técnicas conocidas para moverse lateralmente.
• Expuesto + EPSS bajo, sin KEV: merece atención, porque la exposición eleva lo que está en juego si aparece explotación más adelante; vigílalo.
• Interno + EPSS bajo, sin KEV: planifícalo dentro de los SLA habituales.

Añade la criticidad de negocio y tendrás un ranking defendible. Es la esencia de la gestión de vulnerabilidades basada en riesgo: la severidad dice lo grave que podría ser; la exposición, la explotación y la criticidad dicen lo probable y lo costoso que es.

Lista de comprobación práctica

• Obtén el inventario y la configuración de red directamente de tus proveedores cloud de forma programada, no de hojas de cálculo.
• Calcula la exposición a partir de rutas reales (IP, filtrado, balanceadores, enrutamiento), no de etiquetas.
• Marca los orígenes accesibles directamente aunque tengan un WAF o una CDN delante.
• Vincula cada recurso cloud expuesto con los hallazgos de host que tiene (datos de agente o escáner), para que las vulnerabilidades hereden su clase de exposición.
• Reclasifica de forma continua: un cambio en un security group puede exponer una base de datos de la noche a la mañana.
• Reporta como KPI propio los activos expuestos con vulnerabilidades explotadas conocidas.

Preguntas frecuentes

¿Un WAF hace segura una vulnerabilidad expuesta? No. Puede reducir la explotabilidad de algunos tipos de ataque web, pero no corrige el fallo, no cubre servicios que no sean HTTP y puede saltarse si el origen es accesible directamente.

¿El riesgo solo interno es despreciable? No. Cuando un atacante tiene un punto de apoyo, los fallos internos impulsan el movimiento lateral. La exposición cambia el orden, no la obligación de corregir.

¿Cada cuánto hay que recalcular la exposición? Tan a menudo como cambie tu configuración de red. En cloud, eso significa de forma continua o al menos diaria.

Cómo ayuda priorIQ.ai

CloudIQ se conecta en modo solo lectura a AWS, Azure, GCP y Cloudflare, inventaría los recursos, mapea la topología de red y clasifica la exposición a Internet de cada recurso, vinculando los recursos cloud con los activos y agentes que reportan vulnerabilidades sobre ellos. ScannerIQ aporta los hallazgos de host enriquecidos con NVD, KEV y EPSS.

PriorIQ Core combina la exposición con CVSS, EPSS, KEV, señales de exploit, contexto de negocio y amenazas activas, de modo que el hallazgo KEV expuesto a Internet sube automáticamente al primer puesto y el aislado espera su turno. Explora la plataforma o solicita una demo.