Los CVE de tus activos, con sus proveedores y los explotados primero.
Cruza los CVE (vulnerabilidades publicadas) críticos y altos de tus activos con los proveedores que los poseen y pone primero los explotados activamente (KEV, el catálogo de CISA). Se sincroniza a diario con NVD, KEV y EPSS (probabilidad de explotación).
Para: CISO y responsables de proveedores que necesitan saber qué vulnerabilidades conocidas tocan su inventario y a qué tercero hay que preguntar primero.
- Sincronización diaria con NVD, CISA KEV y EPSS
- Técnicas de ATT&CK® a partir de tus CVE abiertos, no detección
Mi exposiciónEntidad A
Datos de ejemploCVE-2099-0101
pasarela-vpn 4.2Proveedor A y Proveedor C
Crítica 9,8En KEVSí
CVE-2099-0102
portal-erp 11.0Proveedor B
Alta 8,1En KEVNo
CVE-2099-0103
cliente-sftp 3.1Proveedor A
Alta 7,5En KEVNo
Técnicas de MITRE ATT&CK® de tus CVE
- T1195 Cadena de suministro
- T1190 Aplicación expuesta
- T1199 Relación de confianza
El CTID asocia técnicas a los CVE del catálogo KEV de CISA. Una asociación no implica que hayas sufrido un ataque.
Del CVE publicado a tu lista de exposición
El recorrido de una vulnerabilidad hasta el proveedor al que hay que preguntar, y lo que cada paso no cubre.
Se sincroniza cada día
Un proceso diario trae los CVE de NVD (por el CPE de tus activos), marca los que figuran en el catálogo CISA KEV y añade la puntuación EPSS.
Alcance. Es una sincronización diaria, no un flujo continuo.
Se cruza con tu inventario
«Mi exposición» muestra los CVE críticos y altos abiertos de tus activos, agrupados con los proveedores afectados. Solo aparecen los vinculados a algún proveedor activo.
Alcance. Lo que no está en tu inventario no aparece.
Los explotados van primero
El orden pone delante los CVE del catálogo KEV de CISA, es decir, los que ya se explotan, y después el resto.
Alcance. Es un orden de lectura para decidir a quién preguntar, no una predicción.
Ves lo que sube esta semana
Los CVE en tendencia de los últimos siete días sobre tu propio inventario, con su CVSS y el enlace al NVD.
Alcance. Es de mejor esfuerzo: si la consulta falla, el panel lo dice en lugar de mostrar un cero.
MITRE ATT&CK®, a partir de tus CVE
La pestaña ATT&CK del radar muestra las técnicas que el Center for Threat-Informed Defense (CTID) asocia a los CVE abiertos de tus activos. Sirve para dar contexto al priorizar; no es un detector.
- Qué muestra
- Las técnicas de ATT&CK a las que llegan los CVE abiertos de tus activos, agrupadas por táctica, con el tipo de mapeo (técnica de explotación, impacto principal o impacto secundario) y los CVE que hay detrás de cada técnica.
- De dónde sale
- ATT&CK 16.1 (Enterprise) y el conjunto de mapeos del CTID para el catálogo Known Exploited Vulnerabilities de CISA, versión del 28 de julio de 2025. Un CVE fuera de ese conjunto no tiene técnica: no se supone ninguna y se lista como CVE sin mapeo.
- Qué no es
- Un mapeo indica cómo se explota una vulnerabilidad o a qué puede dar lugar, no que hayas sufrido un ataque. No detecta técnicas en tus sistemas ni asigna tus incidentes a ATT&CK.
- Disponibilidad
- Es una funcionalidad adicional: sin ella activada, el panel aparece vacío.
- Atribución
- Contenido de MITRE ATT&CK®: © 2026 The MITRE Corporation. Esta obra se reproduce y distribuye con el permiso de The MITRE Corporation. CTID Mappings Explorer: © 2024 MITRE. Aprobado para publicación. Número de documento CT0104. Con licencia Apache License, Version 2.0.
Qué es el radar y qué no es
Para que sepas con qué datos trabaja y dónde termina.
Lo que hace
- Cruza los CVE críticos y altos de tus activos con tus proveedores.
- Pone primero los CVE explotados activamente (KEV).
- Se sincroniza a diario con NVD, CISA KEV y EPSS.
- Enseña los CVE en tendencia de tu propio inventario.
Lo que no es
- No es una fuente de inteligencia de amenazas del sector: parte de tus activos.
- No detecta técnicas de ATT&CK en tus sistemas ni asigna tus incidentes a ellas.
- No genera alertas propias: es una vista para priorizar.
- No descubre tu superficie: trabaja sobre el inventario que has cargado.
Cómo se conecta con las otras soluciones
El radar alimenta la puntuación del proveedor y le da orden a la conversación con él.
Radar de exposición: preguntas directas
Las que hace quien quiere saber qué cubre y qué no.
¿Es inteligencia de amenazas de mi sector?
No. El radar parte de tus activos y de tus proveedores: te dice qué CVE conocidos te afectan a ti, no qué ocurre en tu sector.
¿Cada cuánto se actualiza?
La sincronización de CVE es diaria, con NVD, el catálogo CISA KEV y la puntuación EPSS. No es un flujo continuo.
¿Qué significa KEV?
Es el catálogo de CISA de vulnerabilidades explotadas activamente. El radar pone esos CVE delante y pesan más en la puntuación del proveedor.
¿Identifica ataques o mis incidentes en ATT&CK?
No. La pestaña de MITRE ATT&CK® muestra las técnicas que el CTID asocia a los CVE abiertos de tus activos (ATT&CK 16.1 Enterprise, catálogo KEV de CISA a 28 de julio de 2025); un CVE fuera de ese conjunto aparece sin mapeo. Es contexto, no detección: no identifica ataques ni asigna tus incidentes a técnicas.
¿Qué necesita para funcionar?
Los activos de tu inventario, con sus proveedores. Lo que no esté en el inventario no aparece en «Mi exposición».
¿Me avisa cuando sale un CVE nuevo?
El radar no genera alertas propias: es una vista para priorizar a quién preguntar primero.
Mira qué CVE tocan tu inventario
Solicita una demo y cruzamos, con datos de ejemplo, los CVE de un activo con los proveedores que lo poseen.
Sincronización diaria; sin fuentes de inteligencia de amenazas del sector.