Resumen Técnico: ThreatLens – Clasificación de CVE de Alta Prioridad Guiada por Evidencia

Planteamiento del Problema

La gestión de vulnerabilidades moderna enfrenta un desafío crítico de escalabilidad: la divulgación continua de Vulnerabilidades y Exposiciones Comunes (CVE) supera con creces la capacidad de los equipos de seguridad para investigarlas, validarlas y remediarlas. Las señales de priorización existentes, como el Sistema de Puntuación de Vulnerabilidades Comunes (CVSS), el Sistema de Predicción de Explotación (EPSS) y la disponibilidad de exploits públicos, suelen estar fragmentadas, son sensibles al tiempo o son insuficientes por sí solas.

Un fallo metodológico significativo en investigaciones previas es la filtración temporal (temporal leakage). Muchos estudios evalúan modelos de priorización utilizando evidencia que no habría estado disponible en el momento en que se tomó una decisión (por ejemplo, utilizando datos de exploits futuros para clasificar vulnerabilidades pasadas). Este "supuesto de etiquetado perfecto" conduce a clasificaciones retrospectivas que sobreestiman el rendimiento del modelo. El problema central abordado en este artículo es cómo priorizar vulnerabilidades bajo restricciones de tiempo realistas, utilizando únicamente la evidencia disponible en un punto de decisión específico, para identificar qué CVE se volverán operativamente urgentes (es decir, entrarán en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA o KEV) antes de su catalogación formal.

Metodología: El Marco de Trabajo ThreatLens

ThreatLens es un marco de trabajo con realismo de despliegue diseñado para clasificar CVE dentro de colas de revisión semanal de analistas. Trata la priorización de vulnerabilidades como un problema de clasificación sensible al tiempo en lugar de una tarea de clasificación binaria estática.

1. Construcción de Datos y Alineación Temporal

El marco construye instantáneas de tiempo de CVE (CVE-time snapshots), que representan un CVE observado en una fecha de corte semanal específica.

• Fuentes de Evidencia: El sistema integra datos públicos heterogéneos, incluyendo descripciones de NVD, metadatos de CVSS, puntuaciones de EPSS, actividad de avisos de Seguridad de GitHub (GHSA) y señales de exploits públicos de Exploit-DB y Metasploit.
• Validez del Punto de Corte: Toda la evidencia está estrictamente alineada con el punto de corte semanal. Por ejemplo, las puntuaciones de EPSS utilizan el valor disponible en o antes del punto de corte; los recuentos de avisos se filtran por tiempos de publicación/modificación; y los indicadores de exploits se filtran por fechas de publicación.
• Mitigación de la Filtración: Para evitar la filtración temporal, el sistema elimina metadatos mutables (por ejemplo, fechas de última modificación, URLs sin procesar, etiquetas) y excluye fechas exactas. El contexto temporal se codifica mediante características relativas (por ejemplo, edad del CVE, días desde el primer exploit) en lugar de marcas de tiempo absolutas.
• Etiquetado: El sistema utiliza la entrada futura en el catálogo KEV de CISA como una señal de supervisión débil. Una instantánea se etiqueta como positiva si el CVE entra en KEV dentro de un horizonte de 30 días después del punto de corte; de lo contrario, es negativa. Esto refleja la urgencia operativa en lugar de solo la existencia de explotación.

2. Representaciones del Modelo

ThreatLens evalúa dos representaciones distintas de la evidencia válida para el punto de corte:

• Texto de la Evidencia: Una representación serializada del contexto de la vulnerabilidad, resúmenes de severidad, valores de EPSS, evidencia de avisos e información temporal relativa.
• Características Estructuradas: Una representación tabular que codifica puntuaciones/percentiles de EPSS, puntuaciones base de CVSS, recuentos de avisos, disponibilidad de exploits, edad del CVE y características de interacción (por ejemplo, EPSS combinado con evidencia de exploit).

3. Modelos de Puntuación

El marco entrena y compara tres tipos de clasificadores sobre los mismos datos:

• Clasificador de Texto Neuronal (TL-NR): Utiliza un codificador BGE-large-en-v1.5 con una cabeza de puntuación MLP, entrenado con supervisión por pares (clasificando una instantánea positiva por encima de una negativa del mismo punto de corte).
• Clasificador Logístico Estructurado (TL-LR): Un modelo de regresión logística con ponderación de clase entrenado con las características tabulares estructuradas.
• Clasificador de Texto Superficial (TL-TF-IDF): Un modelo de regresión logística basado en TF-IDF entrenado con el texto de la evidencia.

4. Protocolo de Evaluación

La evaluación está diseñada para imitar el despliegue:

• División hacia Adelante en el Tiempo (Forward-in-Time Split): Los datos se dividen cronológicamente. Los conjuntos de entrenamiento, validación y prueba están separados por tiempo.
• Disjuntos por CVE: Los CVE que aparecen en el conjunto de entrenamiento se excluyen de la validación y de las pruebas para evitar la filtración de identidad.
• Métricas: El rendimiento se mide mediante Recall@K (específicamente K=20 y K=50) dentro de pools de candidatos semanales, lo que refleja el presupuesto limitado de los analistas de seguridad. También se reportan la precisión-recuperación (PR-AUC) global y macro para tener en cuenta el desequilibrio de clases.

Contribuciones Clave

1. Formulación del Problema: Los autores formulan la priorización de CVE como un problema de clasificación periódica y consciente del tiempo sobre colas de revisión semanal de analistas, yendo más allá de la puntuación de severidad estática.
2. Construcción de Datos: Introducen un método para construir instantáneas de CVE alineadas con el punto de corte que capturan la evolución de la evidencia pública mientras mitigan rigurosamente la filtración temporal.
3. Desarrollo del Marco de Trabajo: Se presenta ThreatLens como un marco guiado por evidencia que integra múltiples fuentes (NVD, EPSS, GHSA, Exploit-DB) y soporta múltiples arquitecturas de clasificación (neuronal, estructurada y de texto superficial).
4. Evaluación Rigurosa: El artículo proporciona una evaluación a gran escala, hacia adelante en el tiempo y disjunta por CVE, demostando que los clasificadores aprendidos superan significativamente a las líneas de base estándar en la identificación de futuras entradas en KEV.

Resultados

Evaluado en un conjunto de prueba retenido que contiene 11,779 instantáneas (tasa de positividad del 2.50%), ThreatLens demostró mejoras sustanciales sobre las líneas de base no aprendidas:

• Priorización Top-K: El clasificador logístico estructurado (TL-LR) logró un 80.0% de Recall@20 y un 95.9% de Recall@50. Esto es más de tres veces el rendimiento del baseline de EPSS (24.7% de Recall@20) y supera significativamente a CVSS y a la fusión basada en reglas.
• Eficiencia del Modelo: Contrario a la expectativa de que los modelos neuronales complejos dominarían, el ligero e interpretable TL-LR (regresión logística sobre características estructuradas) fue el mejor clasificador agregado. Esto sugiere que el valor reside en la calidad de la representación de la evidencia alineada con el punto de corte, más que en la complejidad del modelo.
• Alerta Temprana: ThreatLens puede detectar futuros CVE de KEV antes de su fecha de entrada oficial. En el entorno estricto de tiempo hacia adelante, TL-LR identificó el 97.8% de los CVE de KEV retenidos en el top 50 antes de que entraran al catálogo KEV, con un tiempo de advertencia mediano de 25 días.
• Estudios de Ablación: Eliminar señales dominantes como EPSS o CVSS de los modelos redujo el rendimiento pero no eliminó la ventaja sobre las líneas de base. Esto confirma que ThreatLens se beneficia de la integración de múltiples fuentes de evidencia en lugar de depender de una única señal de atajo.

Significado y Reivindicaciones

El artículo afirma que ThreatLens demuestra que la priorización de vulnerabilidades debe tratarse como un problema operativo de alerta temprana en lugar de una tarea de clasificación de severidad estática.

• Realismo de Despliegue: La contribución principal no es una arquitectura neuronal novedosa, sino una formulación con realismo de despliegue que impone disciplina temporal. Al asegurar que los modelos se entrenen y evalúen únicamente con la evidencia disponible en el momento de la decisión, el artículo establece un estándar más sólido para futuros sistemas de predicción de explotación.
• Señales Complementarias: Los resultados indican que, aunque EPSS y CVSS son útiles, son insuficientes por sí solos. La integración de señales estructuradas (como el movimiento de EPSS y la disponibilidad de exploits) con el contexto textual (lenguaje de avisos y descripciones de vulnerabilidades) proporciona una señal robusta para la priorización.
• Compresión de Triaje: Se posiciona a ThreatLens no como un oráculo de remediación autónomo, sino como una capa de compresión de triaje. Reduce los grandes pools semanales de CVE en colas de revisión más pequeñas y respaldadas por evidencia, permitiendo que los analistas se concentren en las vulnerabilidades que muestran un riesgo operativo emergente antes de que sean reconocidas ampliamente como urgentes.
• Limitaciones: Los autores señalan modestamente que KEV es un proxy débil para la explotación (reflejando decisiones de catalogación y prácticas de reporte, no solo la explotación) y que el sistema estima la relevancia global en lugar del riesgo específico de una organización. Un despliegue futuro requeriría combinar ThreatLens con la exposición de activos locales y el estado de los parches.