Gestión de parches

La mayoría de las brechas explotan vulnerabilidades para las que ya existía parche. La gestión de parches es el proceso de desplegar actualizaciones de forma oportuna y controlada, equilibrando seguridad y estabilidad operativa. Es el brazo ejecutor de la gestión de vulnerabilidades (Gestión de vulnerabilidades).

El ciclo de patching

1. INVENTARIO   saber qué hay y en qué versión (base de todo, ver def-bastionado)
2. ENTERARSE    fuentes de parches/avisos (vendor, CISA KEV, boletines)
3. PRIORIZAR    por riesgo (EPSS/KEV/exposición, ver def-vulnmgmt)
4. PROBAR       en un anillo de pre-producción (evitar romper producción)
5. DESPLEGAR    por anillos/oleadas, con ventana de cambio y rollback preparado
6. VERIFICAR    confirmar que el parche se aplicó y la vuln se cerró

Priorización y urgencia

Emergencia   KEV / explotación activa / exploit público + activo expuesto -> fuera de ciclo
Alta         crítica/expuesta -> SLA corto
Normal       ciclo mensual (p. ej. Patch Tuesday de Microsoft)
Contexto     exposición a Internet y criticidad pesan tanto como el CVSS

Despliegue por anillos (reduce el riesgo de romper)

Anillo 0   piloto/IT (detecta parches que rompen)
Anillo 1   un subconjunto representativo
Anillo 2   el resto de producción
-> parar la ola si un anillo revela problemas; rollback preparado

Herramientas

Windows      WSUS, Microsoft Intune, SCCM/MECM, Autopatch
Linux        gestores (apt/yum/dnf), unattended-upgrades, Ansible, Satellite/Landscape
Terceros     el software de terceros (navegadores, Java, lectores) suele ser el olvidado
Firmware     routers, switches, IoT/OT (ver ot-*): ciclos más lentos y críticos

Casos especiales

- sistemas legacy/sin parche -> mitigar (segmentar, virtual patching con IPS/WAF, aislar)
- OT/ICS (ot-ics): no se puede reiniciar a la ligera -> ventanas y compensaciones
- parche que rompe -> por eso el anillo de pruebas y el rollback son innegociables
- "parchear rompe" no es excusa para no parchear lo expuesto y explotado

Blue Team / operación

Partir de inventario y priorizar con def-vulnmgmt (EPSS/KEV/exposición), no solo CVSS.
Desplegar por anillos con pruebas y rollback; SLAs claros y vía de parche de emergencia fuera de ciclo.
Verificar la aplicación real (no asumir); medir cobertura y tiempo medio de parcheo.
Para lo no parcheable: mitigación compensatoria (segmentación Bastionado de red, virtual patching, hardening).

Casos reales

WannaCry/NotPetya (2017): explotaron EternalBlue meses después de existir el parche (MS17-010).
Equifax (2017): Struts (CVE-2017-5638) sin parchear → brecha masiva.
Log4Shell (2021) y MOVEit (2023): la velocidad de parcheo separó a quien se libró de quien no.

Checklist de prueba

Inventario de activos y versiones (incl. terceros y firmware)
Fuentes de avisos y seguimiento de CISA KEV
Priorización por riesgo (EPSS/KEV/exposición)
Anillo de pruebas antes de producción + rollback
Despliegue por anillos con ventanas de cambio
Vía de parche de emergencia (KEV/exploit activo)
Verificación post-despliegue y métricas de tiempo de parcheo
Mitigación compensatoria para lo no parcheable