¿Aplazaste el parche hasta la noche? Enhorabuena, llegaste tarde: Microsoft registra una reducción récord de la ventana de ataque

La habitual carrera entre defensores y atacantes cada vez termina más a menudo antes de la ventana programada de parches: Microsoft considera, que la brecha entre la divulgación de una vulnerabilidad y su explotación se reduce a unas pocas horas. Al mismo tiempo, las grandes empresas siguen necesitando días o semanas para probar la corrección, tener en cuenta las dependencias y desplegarla de forma segura en los sistemas de producción.

La velocidad de los ataques también está influida por la IA. Según Microsoft, las herramientas con soporte de IA pueden analizar más rápido las descripciones de vulnerabilidades, buscar vías probables de explotación, comprobar dependencias técnicas y reducir la cantidad de trabajo manual. Los defensores, en cambio, tienen que asegurar miles de servidores, aplicaciones y componentes de red, mientras que a los atacantes les basta con una vía adecuada.

El problema es especialmente evidente cuando no se puede instalar la actualización de inmediato. Una aplicación crítica puede requerir pruebas extensas, un sistema de producción no puede detenerse durante el horario laboral, y un entorno regulado exige aprobaciones adicionales. En tales condiciones, las herramientas de detección no son suficientes: una organización puede conocer con precisión una vulnerabilidad, pero aún no tener la posibilidad de corregirla.

Microsoft propone usar la red como una capa temporal de protección alrededor de los sistemas vulnerables. Las reglas de red se pueden aplicar sin modificar las propias aplicaciones, limitando el acceso, las rutas peligrosas y el movimiento lateral dentro de la infraestructura. Ese enfoque no sustituye la corrección, sino que debe reducir la superficie disponible para el atacante durante el periodo en que la actualización se somete a pruebas y despliegue.

Como ejemplo, Microsoft menciona una vulnerabilidad de denegación de servicio en HTTP/2. En lugar de desactivar completamente el protocolo, una protección intermedia podría limitar el número de flujos simultáneos, endurecer los requisitos para las solicitudes o ralentizar las conexiones sospechosas. El objetivo es bloquear el comportamiento necesario para la explotación y mantener el tráfico normal.

Además, Microsoft relaciona este enfoque con la protección adaptativa, que tiene en cuenta la vulnerabilidad, la configuración del entorno y las rutas reales de acceso, y luego cambia rápidamente las reglas de protección. La empresa recomienda combinar la instalación oportuna de parches con restricciones temporales en la red, segmentación y otras medidas compensatorias para reducir el riesgo hasta que se complete la actualización.