PatchFirst
Valoración y valoración global
La valoración muestra los riesgos detectados; la valoración global tiene en cuenta la proporción de software comprobado.
Valoración
La valoración principal de 0 a 100 y su letra describen los componentes comprobados. Una puntuación más alta indica menos riesgo detectado. Esta valoración determina el veredicto y el color del informe. Las prioridades P0–P3 ayudan a ordenar las actualizaciones.
La evaluación refleja el software recopilado y la información sobre vulnerabilidades disponible al realizar la comprobación. No garantiza la ausencia de todas las amenazas.
Valoración global
La valoración global aparece al lado con un asterisco. La parte comprobada recibe la valoración principal; la parte sin comprobar recibe 50 puntos de riesgo desconocido.
Ejemplo: valoración 90 / 100
Valoración global 70 / 100* · 400 de 800 componentes comprobados
coverage = checked / total
global_score = round(score × coverage + 50 × (1 − coverage))Si la valoración principal supera 50, la parte desconocida reduce la valoración global. Si está por debajo de 50, la global puede ser mayor. Con cobertura total, ambas coinciden y usan la misma escala de letras.
«Sin comprobar» no significa «vulnerable»: aún faltan datos para comparar. Si no se ha recopilado la lista de paquetes instalados del servidor, ambas valoraciones muestran «?». Un clúster se evalúa mediante sus programas y nodos detectados.
La valoración global del parque usa los mismos pesos que la principal: un servidor con el rol prod cuenta doble; los demás, una vez. Los servidores con «?» se excluyen de la media y de la cobertura del parque.
Qué se cuenta en la cobertura
La cobertura es la proporción de componentes comprobados respecto a todos los detectados. Contamos paquetes instalados, dependencias de aplicaciones, programas independientes e imágenes de contenedores. Una misma dependencia o imagen repetida solo cuenta una vez.
Un paquete está comprobado cuando su versión se compara con información sobre vulnerabilidades. Esto incluye paquetes de repositorios de terceros y de origen desconocido: si se reconoce el producto y se conoce su versión exacta, se comprueba con los datos de su desarrollador. El paquete y el producto identificado no se cuentan dos veces.
En un contenedor comprobamos el programa reconocido con su versión exacta. Las imágenes no reconocidas o sin versión exacta quedan sin comprobar. El contenido desconocido de una imagen no añade componentes supuestos. Un nodo de clúster sin lista de paquetes cuenta como un sistema operativo sin comprobar.
Comprobamos el núcleo del sistema en ejecución. Los núcleos antiguos inactivos y sus archivos auxiliares quedan fuera de la cobertura. Una vulnerabilidad detectada no reduce la cobertura: el componente se ha comprobado y el resultado afecta a la valoración. Los hallazgos ocultos de bajo riesgo sin corrección tampoco la reducen.
Pueden quedar sin comprobar los paquetes propios, los programas sin versión, los productos no reconocidos, las versiones que no se pudieron comparar y los componentes cuyas fuentes de datos no estén disponibles temporalmente. Las razones aparecen en una sección plegada al final del informe. La comprobación gratuita no revela nombres ni versiones.
Cómo mejorar la cobertura
- Recopile con el agente una lista reciente del software instalado y sus versiones exactas.
- Use versiones exactas para los contenedores en lugar de etiquetas cambiantes. Compruebe por separado los servidores que los ejecutan.
- Aclare las versiones desconocidas y repita la comprobación cuando se restablezcan las fuentes. Resuelva las amenazas detectadas según las prioridades del informe.
Comprobar un servidor → · Campos de valoración en la API y MCP →