Valoración operativa
Valoración operativaValoración del analista
La amenaza requiere comprobar exposición y mantener seguimiento activo.
Confirmado
- La fuente clasifica la severidad como crítica.
- La explotación o acceso descrito no requiere autenticación previa.
Inferido
- La prioridad organizativa final depende de la presencia real del producto afectado y de sus controles compensatorios.
No determinado
- No se ha confirmado explotación activa en las fuentes correlacionadas.
- No se ha confirmado disponibilidad pública de un exploit funcional.
- No se ha identificado evidencia de que el correo electrónico sea vector o activo afectado.
- No hay IOC estructurados suficientes para bloqueo, atribución o hunting basado en indicadores.
SOC Priority Score
Factores que elevan la prioridad
severidad técnica elevada · sin autenticación
Factores que la moderan
sin explotación activa confirmada · sin IOC estructurados · sin vector remoto confirmado
Qué podría cambiar la prioridad
confirmación de explotación activa o inclusión en CISA KEV · aparición de exploit público fiable · confirmación de que el activo afectado está desplegado y expuesto en la organización
La exposición es potencial hasta validar inventario y configuración de la organización. El score se recalcula cuando la amenaza vuelve a ingerirse y aparecen nuevas evidencias.
Fuente principal
Tipo
Tecnología
Confianza
Primera detección
Última observaciónInteligencia consolidada
Inteligencia consolidadaConsultas de investigación SOC
Consultas de investigación SOCHipótesis generadas solo a partir de señales presentes en las fuentes. Adáptalas a la sintaxis de tu SIEM/EDR.
Localizar el producto o tecnología afectada y revisar versión, exposición, autenticaciones y eventos anómalos en la ventana temporal.Hunting y detección
Guía operativa para validar exposición, localizar señales y decidir cuándo escalar la investigación.
- Comprobar si existen activos con el producto y versiones afectadas y si estuvieron accesibles durante la ventana de actividad.
- Priorizar eventos de acceso o cambios administrativos sin una autenticación previa correlacionable.
- Activo afectado confirmado y expuesto
- Acceso privilegiado o cambio sin autenticación correlacionable
Respuesta y mitigación
Plan de actuación ordenado por fases, separando medidas verificadas de acciones condicionadas por la evidencia.
Acción inmediata
- CONDICIONALConfirmar inventario, versión y exposición real del producto afectado antes de ejecutar cambios.
Contención
- NO DETERMINADONo hay evidencia suficiente para recomendar contención automática.
Mitigación temporal
- CONFIRMADOConsultar y aplicar únicamente workarounds o mitigaciones temporales publicados por CERT-EU o por el fabricante.
Remediación definitiva
- CONDICIONALActualizar a una versión corregida o aplicar la remediación oficial cuando se confirme que el activo está afectado.
Validación posterior
- INFERIDORepetir inventario y búsqueda de telemetría después de la remediación para confirmar que la exposición y la actividad asociada han desaparecido.
Las medidas oficiales de la fuente o del fabricante prevalecen sobre cualquier inferencia analítica.
Evolución de prioridad
Registra cambios del score cuando nuevas evidencias modifican la valoración automática.
MITRE ATT&CK
MITRE ATT&CKSin asociación MITRE suficientemente sustentada.