Valoración operativa
Valoración operativaValoración del analista
La evidencia disponible no sustenta una actuación urgente; mantener monitorización.
Confirmado
Sin hechos estructurados adicionales.
Inferido
No se requieren inferencias adicionales.
No determinado
- No se ha podido estructurar una severidad técnica completa desde la evidencia importada.
- No se ha confirmado explotación activa en las fuentes correlacionadas.
- No se ha confirmado disponibilidad pública de un exploit funcional.
- No se ha identificado evidencia de que el correo electrónico sea vector o activo afectado.
- No hay IOC estructurados suficientes para bloqueo, atribución o hunting basado en indicadores.
SOC Priority Score
Factores que elevan la prioridad
No se han identificado factores extraordinarios.
Factores que la moderan
sin explotación activa confirmada · sin IOC estructurados · sin vector remoto confirmado
Qué podría cambiar la prioridad
confirmación de explotación activa o inclusión en CISA KEV · aparición de exploit público fiable · confirmación de que el activo afectado está desplegado y expuesto en la organización
La exposición es potencial hasta validar inventario y configuración de la organización. El score se recalcula cuando la amenaza vuelve a ingerirse y aparecen nuevas evidencias.
Fuente principal
Tipo
Tecnología
Confianza
Primera detección
Última observaciónInteligencia consolidada
Inteligencia consolidadaConsultas de investigación SOC
Consultas de investigación SOCHipótesis generadas solo a partir de señales presentes en las fuentes. Adáptalas a la sintaxis de tu SIEM/EDR.
No hay IOC suficientes para generar una consulta fiable. Correlacionar más fuentes antes de crear reglas de detección.Hunting y detección
Guía operativa para validar exposición, localizar señales y decidir cuándo escalar la investigación.
- No existe una hipótesis técnica suficientemente específica; ampliar la correlación antes de crear detecciones permanentes.
- Hallazgo interno que coincida con el comportamiento descrito por una fuente fiable
Respuesta y mitigación
Plan de actuación ordenado por fases, separando medidas verificadas de acciones condicionadas por la evidencia.
Acción inmediata
- CONFIRMADORevisar la evidencia y fuentes correlacionadas para determinar activos o indicadores aplicables.
Contención
- NO DETERMINADONo hay evidencia suficiente para recomendar contención automática.
Mitigación temporal
- CONFIRMADOConsultar y aplicar únicamente workarounds o mitigaciones temporales publicados por Microsoft MSRC o por el fabricante.
Remediación definitiva
- NO DETERMINADOLa evidencia importada no identifica una remediación técnica definitiva específica.
Validación posterior
- INFERIDORepetir inventario y búsqueda de telemetría después de la remediación para confirmar que la exposición y la actividad asociada han desaparecido.
Las medidas oficiales de la fuente o del fabricante prevalecen sobre cualquier inferencia analítica.
Evolución de prioridad
Registra cambios del score cuando nuevas evidencias modifican la valoración automática.
MITRE ATT&CK
MITRE ATT&CKSin asociación MITRE suficientemente sustentada.