// EXAMEN DE LA RUTA

📡 Vulnerabilidades y threat intel

8 preguntas; apruebas con 6. Se corrige en el servidor y solo verás la nota. Si apruebas, podrás emitir tu certificado. Repasa la ruta antes

1. Tu package-lock.json trae lodash 4.17.11, con una vulnerabilidad corregida en la 4.17.21. ¿Qué haces? Nada: es una dependencia de terceros Bajar a una versión anterior Actualizar a la 4.17.21 o posterior y comprobar que no rompe nada Borrar el package-lock.json

2. ¿Qué mide la métrica PR (Privileges Required) de CVSS? Cuántos parches hacen falta Los privilegios que consigue el atacante después Los privilegios que necesita el atacante antes de explotarla Si hay un exploit público

3. ¿Qué mide CVSS? La probabilidad de que se explote en los próximos 30 días La gravedad técnica de una vulnerabilidad (impacto y facilidad de explotación), de 0 a 10 Si ya se está explotando Lo que cuesta parchearla

4. ¿Qué es un identificador CVE? Un nombre único y público para una vulnerabilidad concreta (CVE-AAAA-NNNN) Una puntuación de gravedad Una familia de malware El número de un parche

5. ¿Por qué no basta con ordenar por CVSS para decidir qué parchear primero? Porque la gravedad no dice si se explota: hay que sumar la explotación (KEV, EPSS) y la exposición Porque CVSS siempre está mal calculado Porque es aleatorio Porque CVSS solo vale para Windows

6. Una vulnerabilidad tiene CVSS 9,8 y ningún exploit conocido; otra tiene CVSS 7,5 y está en el KEV. ¿Cuál parcheas primero? La de 9,8: tiene más puntuación Las dos a la vez, sin priorizar La más antigua La del KEV: ya se está explotando

7. ¿Qué mide EPSS? Su gravedad técnica La probabilidad de que se explote en los próximos 30 días Cuántos equipos la tienen Cuánto tarda el fabricante en publicar el parche

8. En un vector CVSS v3.1, ¿qué indica AV:N? Que se puede explotar por red, a distancia Que necesita que el usuario haga algo Que no tiene impacto Que hace falta acceso físico