Blog

Herramientas CTEM: qué hace cada categoría en la práctica

Por Dan Swihart · Publicado 6 de septiembre de 2026

Todo proveedor con un escáner, un agente o un grafo de ataque vende ahora «CTEM». La palabra está en la caja; la cobertura por fase, no. Esta guía trata de categorías, no de productos: qué hace cada clase de herramienta, a cuáles de las cinco fases sirve y dónde se detiene. El directorio de proveedores recoge nuestra evaluación fase por fase de productos concretos. Cada ficha se elabora a partir de la documentación pública del proveedor; nada de ello son pruebas directas.

Las cinco fases, en breve

El modelo CTEM de Gartner tiene cinco fases: alcance, descubrimiento, priorización, validación y movilización. Si necesita la explicación completa, lea primero Qué es CTEM. Para este artículo, la versión corta: acordar qué está en juego, encontrar cada exposición dentro de ese alcance, ordenar por ruta de ataque e impacto, demostrar que las principales son explotables y conseguir que las corrija alguien con nombre y apellidos.

Ninguna categoría de las siguientes cubre las cinco. La mayoría cubre bien dos y roza una tercera. No es una crítica; es la forma que tiene el mercado, y es la razón por la que «herramienta CTEM» es un término de búsqueda engañoso.

Plataformas de evaluación de la exposición

Es la categoría que con más frecuencia se llama a sí misma plataforma CTEM. Gartner la bautizó «plataformas de evaluación de la exposición» (exposure assessment platforms) y publicó su primer Magic Quadrant para la categoría en 2025 (Gartner; véase también el anuncio de Tenable sobre su posición). La mayoría de los participantes proceden del escaneo de vulnerabilidades: Tenable, Qualys y Rapid7 son los ejemplos evidentes, con CrowdStrike llegando desde el lado del endpoint.

Qué hacen: agregan hallazgos de escáneres, herramientas de postura en la nube, sistemas de identidad y, a veces, escaneos externos en un único inventario, y después puntúan cada hallazgo con algo más rico que CVSS. Las entradas habituales son la disponibilidad de exploits, la explotación activa según fuentes como el catálogo CISA KEV, la probabilidad EPSS, la criticidad del activo y, en los mejores productos, si el activo está en una ruta hacia algo importante.

Fases cubiertas: descubrimiento y priorización, con solidez. El alcance suele apoyarse en etiquetas y grupos de activos, no en nada que ayude a acordar el alcance con el negocio. La movilización es integración con sistemas de tickets y paneles. La validación casi siempre está ausente o la aporta un socio; las plataformas dicen que una exposición es probablemente explotable, no lo demuestran.

Dónde se detienen: en el límite de sus integraciones. Si una fuente no está conectada, la plataforma no sabe que existe. Presupueste el trabajo de integración.

Análisis de rutas de ataque

Las herramientas de rutas de ataque construyen un grafo del entorno: hosts, identidades, permisos, relaciones de confianza, alcanzabilidad de red. Después calculan cómo un atacante que aterriza en un nodo podría llegar a otro. El resultado no es «aquí hay 4.000 críticas», sino «estas doce exposiciones están en la mayoría de las rutas hacia los controladores de dominio». XM Cyber es el especialista; varias plataformas de exposición incluyen ahora una versión más ligera.

Fases cubiertas: priorización, con argumentos sólidos para ser la mejor herramienta para ella. El descubrimiento es parcial, porque el grafo solo es tan completo como los datos de identidad y red que se le suministran. La validación es parcial: la ruta se modela, no se ejercita.

Dónde se detienen: el modelo puede estar equivocado. Una ruta que existe en el grafo puede estar bloqueada por un control que la herramienta no ve. Exactamente por eso la validación es una fase aparte.

Simulación de brechas y ataques

Las herramientas BAS ejecutan técnicas de atacante conocidas, normalmente mapeadas a MITRE ATT&CK, contra el entorno de forma controlada, y registran si los controles previnieron, detectaron o pasaron por alto cada una. Cymulate y Picus son los nombres veteranos.

Fases cubiertas: validación, en concreto validación de controles. BAS responde «¿detectaría nuestro EDR esta técnica?», no «¿es explotable este host concreto?». La movilización es parcial: los mejores productos generan reglas de detección y cambios de configuración, no una celda roja en una tabla. El descubrimiento y el alcance no son su cometido.

Dónde se detienen: BAS prueba lo que se le indica probar. No encuentra el dispositivo VPN olvidado, y no dice cuáles de las exposiciones importan más salvo que reciba una lista priorizada de otra parte.

Pentest automatizado

Las herramientas de pentesting automatizado parten de un punto de apoyo, o del exterior, e intentan explotar realmente lo que encuentran, encadenarlo, recolectar credenciales y moverse lateralmente, con barreras de seguridad. Pentera es el ejemplo de referencia. La Market Guide for Adversarial Exposure Validation de Gartner de marzo de 2025 agrupó BAS, pentesting automatizado y red teaming automatizado en una única categoría que denomina AEV (validación adversarial de la exposición), descrita como tecnologías que aportan evidencia consistente, continua y automatizada de la viabilidad de un ataque.

Fases cubiertas: validación, de exposiciones y no de controles. Es la clase de herramienta que convierte «CVSS 9.8» en «sí, obtuvimos una shell y leímos las credenciales de backup» o «no, el exploit falla detrás del WAF». El descubrimiento es un efecto secundario: encuentra cosas por el camino. La priorización es parcial; una ruta validada es una señal fuerte, pero la herramienta desconoce el impacto en el negocio.

Dónde se detienen: la cobertura. El pentesting automatizado se ejecuta donde se le apunta. Tampoco puede probar lo que sería inseguro probar en producción, lo que significa que algunos de los sistemas más importantes seguirán necesitando un pentester humano.

Gestión de la superficie de ataque externa

Las herramientas EASM observan la organización desde internet, sin credenciales, como lo haría un atacante durante el reconocimiento. Enumeran dominios, subdominios, certificados, servicios expuestos, almacenamiento en la nube, credenciales filtradas y páginas de terceros que llevan la marca. Detectify e Intruder son ejemplos del directorio; toda gran plataforma de exposición incluye ahora un módulo EASM.

Fases cubiertas: descubrimiento, para la porción externa del alcance. La priorización es parcial, normalmente la severidad del servicio expuesto más si antes era desconocido. Nada en validación ni movilización más allá de alertas y tickets.

Dónde se detienen: en el perímetro, por diseño. Un escaneo sin credenciales desde internet no puede ver los problemas de identidad y configuración que están dentro de la red; cerrar esa brecha exige credenciales y acceso interno, una categoría de herramienta distinta. Tratamos la distinción con más detalle en Gestión de la exposición frente a gestión de la superficie de ataque.

Dónde encajan las herramientas de postura de identidad y de nube

Dos categorías no son herramientas CTEM, pero alimentan CTEM directamente.

Las herramientas de postura de seguridad de identidad (higiene de Active Directory, ITDR, análisis de permisos) encuentran las cuentas de servicio con privilegios excesivos, los derechos de administrador obsoletos y las configuraciones erróneas de Kerberos que componen la mayoría de las rutas de ataque reales. Son una fuente de descubrimiento y un requisito previo para un análisis de rutas de ataque útil. Sin datos de identidad, al grafo le faltan sus aristas más importantes.

La gestión de la postura de seguridad en la nube hace el mismo trabajo para la configuración cloud: buckets públicos, grupos de seguridad permisivos, claves sin rotar, planos de control expuestos. De nuevo, una fuente de descubrimiento. La mayoría de las plataformas de exposición ingieren hallazgos de CSPM; algunos proveedores de CNAPP comercializan ahora su propio discurso de exposición.

Ninguna de las dos categorías valida ni moviliza. Trátelas como entradas, y compruebe que la plataforma elegida puede ingerirlas sin contratar servicios profesionales.

De categoría a fase, en una tabla

La tabla es una generalización sobre categorías. Los productos concretos varían, y el directorio recoge la vista a nivel de producto con fecha de revisión en cada ficha.

Qué implica esto al comprar

Funcionan dos patrones. El primero es plataforma más validación: una plataforma de evaluación de la exposición para descubrimiento y priorización, una herramienta AEV para validación y el sistema de tickets existente para movilización. El segundo es best-of-breed: EASM, postura de identidad y CSPM como fuentes de descubrimiento, análisis de rutas de ataque para priorización, pentesting automatizado para validación y mucho trabajo de integración para mantenerlo unido.

Ningún patrón compra el alcance. Esa fase es una conversación con los responsables de negocio, y ninguna herramienta la mantendrá por usted. Tampoco compra la movilización, más allá de la fontanería. Si los equipos de remediación no aceptan tickets con un responsable designado y una fecha, la pila mejor integrada producirá una lista magníficamente priorizada que nadie corrige.

Compre para la fase en la que sea más débil. Si no sabe cuál es, la comprobación rápida se lo dirá en dos minutos.

Siguiente

Lea Gestión de la exposición frente a gestión de la superficie de ataque si el solapamiento entre EASM y CAASM sigue sin estar claro, y haga la evaluación completa antes de atender una llamada de un proveedor. El directorio está ahí para cuando sepa qué carencia está cubriendo. Antes de preseleccionar, pase a los candidatos por la lista de verificación para evaluar proveedores.