"Necesitamos VEX para este hallazgo del escáner": ¿Está lista la solicitud para una llamada de ventas?
Un hallazgo de escáner en un mensaje grupal no es una solicitud de servicio VEX hasta que se identifiquen el producto, la versión, el CVE, la ruta del componente, el estado, el propietario de la justificación y la fecha de publicación. Esta guía ofrece al responsable comercial de servicios de seguridad de producto una cadena de calificación de cinco preguntas.
La respuesta corta: no, todavía no. Un hallazgo del escáner pegado en un mensaje grupal es un inicio de conversación, no una solicitud de servicio calificada. Antes de presentarlo en una llamada de ventas, necesita cinco datos específicos que el mensaje original casi con seguridad no contiene.
Qué significa cada término antes de calificar la solicitud
En casi todas las consultas de VEX aparecen tres entidades centrales, y la persona que califica al cliente potencial debe comprenderlas lo suficientemente bien como para detectar lo que falta.
Un Vulnerability Exploitability eXchange (VEX) es una certificación estructurada que indica si un producto específico se ve afectado por una vulnerabilidad conocida. Combina un estado, como “afectado”, “no_afectado” o “bajo_investigación”, con una justificación que explica el razonamiento (CISA, Requisitos mínimos para el intercambio de vulnerabilidad y explotación, publicado el 21 de abril de 2023). Sin el producto y la versión exactos, no se puede escribir ningún documento VEX.
Una lista de materiales de software (SBOM) es un inventario jerárquico de los componentes de un producto de software (CISA, centro de recursos de SBOM, consultado el 3 de agosto de 2026). Una consulta que diga “también necesitamos un SBOM” indica la categoría de artefacto, pero no aclara si necesitan acceso a un archivo existente, generar uno nuevo, normalizar el formato o mantenerlo de forma continua. Trate el SBOM como una pregunta de alcance independiente.
Un identificador de Vulnerabilidades y Exposiciones Comunes (CVE) es la etiqueta única de una vulnerabilidad divulgada públicamente. Si el resultado del escáner no incluye un CVE, el equipo que redacta el VEX no tiene una vulnerabilidad concreta que evaluar.
La cadena de calificación de cinco preguntas
Resuelva estas preguntas en orden. Cada uno depende de la respuesta del anterior.
1. Preservar el hallazgo del escáner exactamente
Pídale al cliente potencial que pegue el resultado sin formato del escáner, ni una captura de pantalla ni un resumen. El nombre de la herramienta, la fecha del escaneo, el objetivo y el texto de búsqueda completo son importantes. Una solicitud parafraseada como “tenemos un alto nivel de OpenSSL” no le proporciona ninguna ruta de componente, ni CVE ni rango de versiones. Guarde el hallazgo sin procesar antes de preguntar cualquier otra cosa.
2. Identifique el producto exacto, la versión y la ruta del componente
Aquí es donde se estancan la mayoría de las solicitudes de mensajes grupales. “Nuestra aplicación web” no es un producto. Necesita el nombre del producto comercial, la versión o identificador de compilación y la ruta al componente vulnerable dentro de ese producto (por ejemplo, acme-portal v4.2.1 / lib/openssl.so). OWASP CycloneDX describe que VEX transmite explotabilidad “en el contexto del producto en el que se utilizan” (página de capacidades de CycloneDX VEX, consultada el 3 de agosto de 2026). Sin ese contexto de producto, no se puede determinar si se puede acceder al componente.
3. Seleccione un estado VEX compatible
Los requisitos mínimos de CISA enumeran cuatro estados reconocidos: not_affected, affected, fixed y under_investigation. Cada uno requiere una justificación. No permita que la gravedad del escáner impulse esta elección: un hallazgo “crítico” del escáner puede ser not_affected si la función vulnerable es inalcanzable en la compilación del producto.
4. Obtenga la justificación respaldada por pruebas y el propietario responsable
La justificación responde por qué se aplica el estado. Las justificaciones aceptables incluyen component_not_present, vulnerable_code_not_in_execute_path, inline_mitigations_exist o vulnerable_code_cannot_be_controlled_by_adversary. Pregunte: ¿quién dentro de la organización del cliente potencial o del proveedor del producto puede documentar esta evidencia y aprobarla? Una justificación no atribuida no tiene peso en un proceso de garantía del cliente.
5. Registre la decisión de liberación y la fecha
Un documento VEX necesita una decisión de publicación con fecha, incluso si el estado es under_investigation con una fecha de revisión planificada. Sin una fecha, el destinatario no puede realizar un seguimiento de la moneda. Confirme quién publicará el comunicado y cuándo.
Un mensaje grupal ilustrativo
El siguiente ejemplo compuesto muestra cómo llega una consulta típica y qué omite. Cada detalle es ilustrativo.
[Mensaje Telegram compuesto/ilustrativo] “Hola equipo: nuestro cliente ejecutó un análisis de Nessus y obtuvo un resultado crítico en Apache Log4j. Quieren un VEX antes del viernes. ¿Hay alguien disponible?”
Este mensaje nombra un escáner y una familia de componentes, pero omite el producto, la versión, el CVE, la ruta del componente, el estado de explotabilidad, el propietario de la justificación y la fecha de lanzamiento. Es una oportunidad de negocio, no un compromiso reservado. La respuesta correcta solicita el resultado del escaneo sin procesar y el contexto del producto, luego dirige la solicitud a la cola correcta.
Una pequeña tabla de ruta
Una vez que haya recopilado todo lo que el cliente potencial puede proporcionar, dirija la solicitud al siguiente paso más corto posible.
| lo que tienes | Ruta a |
|---|---|
| Solo salida del escáner sin formato, sin contexto de producto | Recopilación de pruebas: solicite producto, versión y ruta del componente |
| Contexto del producto presente, sin CVE ni justificación | Recopilación de pruebas: solicite el CVE y el análisis de accesibilidad |
| Producto, CVE, justificación y propietario confirmados. | Autoría VEX |
| Producto no estándar o pregunta regulatoria | Revisión de especialistas |
| Hallazgo del escáner sin estado afectado confirmado | Observe: vuelva a consultar cuando los datos de explotación o aviso del proveedor maduren |
Datos clave de las fuentes oficiales
-
CISA Requisitos mínimos de VEX (21 de abril de 2023): El documento especifica los elementos mínimos para un documento VEX, incluido el identificador del producto, el identificador de vulnerabilidad, el estado afectado, la justificación y la fecha de lanzamiento. Estos son campos básicos de interoperabilidad, no extras opcionales.
-
CISA Centro de recursos SBOM (consultado el 3 de agosto de 2026): Un SBOM se define como un inventario anidado de componentes de software. La página describe por separado VEX como una certificación que indica si los productos se ven afectados por vulnerabilidades conocidas. Una consulta SBOM sin mayor calificación le indica el tipo de artefacto, no el alcance del trabajo.
-
OWASP Capacidad CycloneDX VEX (consultado el 3 de agosto de 2026): VEX comunica la explotabilidad en el contexto del producto. El resultado general del escáner por sí solo no establece la accesibilidad ni el estado de afectación.
-
Política de privacidad de Telegram (consultada el 3 de agosto de 2026): Los bots son servicios independientes de terceros que operan con o sin acceso a mensajes, tal como muestra la interfaz. Los desarrolladores deben pedir permiso antes de acceder a los datos. Esto respalda limitar cualquier revisión automatizada a grupos que el usuario conecta de forma intencionada y a los que tiene acceso autorizado.
Por qué es importante: un ejemplo práctico
Imagine que un cliente potencial envía una alerta de escáner: “CVE-2024-3094 en xz Utils: crítico, se necesita VEX”. Hace las cinco preguntas y descubre que el producto es un panel interno que se envía xz pero nunca llama a la ruta de compresión comprometida. El análisis de accesibilidad muestra vulnerable_code_not_in_execute_path. El estado VEX es not_affected, la justificación está documentada y el equipo de seguridad interna es propietario de la publicación con una fecha prevista del 15 de agosto de 2026.
Sin la cadena de calificación, la misma consulta podría haberse enviado directamente a la redacción de VEX como affected, generando una declaración que tergiversa el riesgo real y hace perder el tiempo a un especialista.
Lo que permanece desconocido después de la calificación: la tasa de falsos positivos del escáner para este CVE en esta versión del producto, si el análisis de la ruta del componente está actualizado con respecto a la última versión y si los clientes intermedios del cliente potencial aceptan not_affected con una justificación de la ruta del código o requieren evidencia adicional. Cada desconocido pertenece a un propietario designado antes de que la solicitud pase a la fase de creación.
Preguntas frecuentes
¿Necesito un SBOM completo antes de poder producir un documento VEX?
Un SBOM describe el inventario de componentes al que hace referencia una declaración VEX. Un SBOM existente acelera la identificación de la ruta de los componentes, pero no es un requisito previo estricto: los campos VEX mínimos definidos por CISA (21 de abril de 2023) requieren el producto, la versión y el identificador de vulnerabilidad, no un SBOM. Si el cliente potencial no puede proporcionar ni un SBOM ni la ruta del componente, diríjase primero a la recopilación de pruebas.
¿Puede una puntuación de gravedad del escáner sustituir un estado VEX?
No. Un escáner asigna una gravedad genérica a un CVE; un estado VEX indica si ese CVE afecta a un producto específico tal como se utiliza. OWASP CycloneDX (página de capacidad, consultada el 3 de agosto de 2026) subraya que la explotabilidad debe evaluarse en el contexto del producto. Un hallazgo “crítico” del escáner puede ser not_affected en una versión particular. Enrutar una puntuación de escáner como un estado VEX omite el paso del contexto del producto y produce una certificación engañosa.
¿A quién pertenece la decisión de liberación cuando el VEX es para un componente de terceros?
El proveedor del producto o la organización que construye y distribuye el producto ensamblado posee la decisión de lanzamiento. El componente ascendente puede emitir su propio aviso, pero el estado VEX y la fecha de lanzamiento pertenecen a la entidad que envía el producto que ejecuta el cliente potencial. Si el cliente potencial es la organización del usuario final y no el proveedor, confirme si un equipo de seguridad interno puede actuar como propietario responsable o si se requiere la participación del proveedor antes de dirigirse a la creación de VEX.
Cuando el método se ejecuta a escala
La cadena de calificación anterior funciona para una consulta a la vez. Cuando un equipo de servicios de seguridad monitorea múltiples canales grupales (foros de la industria, comunidades de usuarios, canales de socios), el mismo patrón de solicitudes incompletas de escáner a VEX se repite en todos ellos. Reconocer los campos que faltan y enrutar cada solicitud antes de que comience una conversación de ventas se convierte en un cuello de botella.
TOP Prospect lee solo los grupos Telegram a los que el usuario se conecta intencionalmente y a los que está autorizado a acceder. Produce candidatos para revisión en lugar de certificación de hechos, deja la decisión de calificación a una persona y no contacta a los miembros del grupo automáticamente. Los equipos que rastrean las discusiones sobre búsqueda de escáneres entre grupos pueden usarlo junto con el método descrito en /es/blog/telegram-signal-procedencia/ y el marco de confianza en /es/blog/puntuación-de-confianza-de-señales-empresariales/ para mostrar consultas VEX incompletas antes de que caduquen en un canal ocupado. El pilar del producto es /telegram-inteligencia-de-señales-empresariales/.
Siguiente paso: Tome los últimos tres mensajes de búsqueda de escáner que llegaron a los canales de su grupo y enumere lo que cada uno omitió. Si a los tres les faltan al menos tres de los cinco campos de calificación, agregue una breve plantilla de “lo que necesitamos” a su rutina de primera respuesta.
Preguntas frecuentes
¿Necesito un SBOM completo antes de poder producir un documento VEX?
Un SBOM describe el inventario de componentes al que hace referencia una declaración VEX. Un SBOM existente acelera la identificación de la ruta de los componentes, pero no es un requisito previo estricto: los campos VEX mínimos definidos por CISA (21 de abril de 2023) requieren el producto, la versión y el identificador de vulnerabilidad, no un SBOM. Si el cliente potencial no puede proporcionar ni un SBOM ni la ruta del componente, diríjase primero a la recopilación de pruebas.
¿Puede la puntuación de gravedad del escáner sustituir un estado VEX?
No. Un escáner asigna una gravedad genérica a un CVE; un estado VEX indica si ese CVE afecta a un producto específico tal como se utiliza. OWASP CycloneDX (página de capacidad, consultada el 3 de agosto de 2026) subraya que la explotabilidad debe evaluarse en el contexto del producto. Un hallazgo "crítico" del escáner puede ser `not_affected` en una versión particular. Enrutar una puntuación de escáner como un estado VEX omite el paso del contexto del producto y produce una certificación engañosa.
¿A quién corresponde la decisión de liberación cuando el VEX es para un componente de terceros?
El proveedor del producto o la organización que construye y distribuye el producto ensamblado posee la decisión de lanzamiento. El componente ascendente puede emitir su propio aviso, pero el estado VEX y la fecha de lanzamiento pertenecen a la entidad que envía el producto que ejecuta el cliente potencial. Si el cliente potencial es la organización del usuario final y no el proveedor, confirme si un equipo de seguridad interno puede actuar como propietario responsable o si se requiere la participación del proveedor antes de dirigirse a la creación de VEX.
Fuentes y lecturas adicionales
- CISA, Requisitos mínimos para el intercambio de explotabilidad de vulnerabilidades (VEX) (21 de abril de 2023)
- CISA, centro de recursos de lista de materiales de software (SBOM) (consultado el 3 de agosto de 2026)
- OWASP CycloneDX, capacidad de intercambio de vulnerabilidad y explotación (consultado el 3 de agosto de 2026)
- Política de privacidad Telegram (consultado el 3 de agosto de 2026)
Cómo se descubre una Signal que merece atención
La metodología muestra cómo Top Prospect encuentra y organiza Signals que conviene revisar, conserva el contexto original de Telegram, elimina duplicados y ayuda a decidir qué mirar primero. Tú decides si hacer seguimiento y qué hacer después.
