Gestión de la exposición frente a gestión de vulnerabilidades

Este blog compara la gestión de la exposición con la gestión de vulnerabilidades. Abarca definiciones, diferencias y mejores prácticas. Descubra cómo proteger los activos más allá de los parches tradicionales.

Los profesionales de la seguridad comparan cada vez más la gestión de la exposición con la gestión de vulnerabilidades para comprender los matices de la mitigación de riesgos. Mientras que la gestión de vulnerabilidades se centra más en identificar y remediar CVE o fallos de software conocidos, la gestión de la exposición va más allá. Incluye configuraciones erróneas, usuarios con permisos excesivos, integración de terceros y otras posibles vías de acceso. Las investigaciones revelan que el 84 % de las organizaciones están expuestas a altos riesgos de compromiso, y todos ellos pueden abordarse con un parche. Esto demuestra lo necesario que es para las organizaciones integrar los procesos de análisis, aplicación de parches y priorización en una iniciativa de seguridad más amplia. Esta sinergia prepara a los equipos de seguridad no solo para abordar las vulnerabilidades del software, sino también para gestionar el riesgo derivado de los híbridos y el crecimiento de la nube. En última instancia, la combinación de ambos enfoques fomenta un programa eficaz de gestión de vulnerabilidades, lo que refuerza la concienciación sobre las amenazas en tiempo real y los ciclos de parches robustos.

Este artículo ofrece una visión fundamental de la gestión de vulnerabilidades, su importancia y la relevancia de un programa eficaz de gestión de vulnerabilidades en la ciberdefensa moderna. También presenta la gestión de la exposición y explica en qué se diferencian las estrategias de ciberseguridad de gestión de la exposición de las rutinas tradicionales de vulnerabilidad centradas en los parches. También analizaremos las diferencias fundamentales entre los conceptos de exposición y vulnerabilidad, incluyendo un análisis comparativo y una tabla de diferencias. Además, desglosamos las mejores prácticas de gestión de vulnerabilidades, que abarcan los intervalos de análisis, la coordinación de parches y la creación de políticas.

¿Qué es la gestión de vulnerabilidades?

La gestión de vulnerabilidades es el proceso de identificar, analizar y corregir las debilidades de seguridad en el software, el firmware o la configuración de los puntos finales y las redes. Una encuesta descubrió que el 32 % de las vulnerabilidades críticas permanecieron sin parchear durante más de 180 días en los años anteriores, lo que hizo que las organizaciones fueran vulnerables a los intentos de explotación. Un ciclo típico implica el descubrimiento de activos, la identificación de avisos para los problemas que se han detectado, la priorización en función del riesgo o la posibilidad de una explotación o amenaza, y luego la aplicación del parche o la reconfiguración. Los equipos suelen implementar herramientas de análisis o plataformas consolidadas que combinan los resultados del análisis con la gestión de parches, con el objetivo de minimizar los esfuerzos manuales y las vulnerabilidades no detectadas. Sin embargo, en la actualidad, con contenedores de corta duración y lanzamientos frecuentes de aplicaciones, los intervalos de análisis estáticos o los ciclos de parches reactivos son insuficientes. De esta manera, las empresas reducen considerablemente el tiempo de permanencia, evitando que los ciberataques empeoren antes de que se detecten.

Características de la gestión de vulnerabilidades

El enfoque tradicional en la gestión de vulnerabilidades es el escaneo y la aplicación de parches, pero muchas soluciones ya no se limitan a escaneos estáticos mensuales. Hoy en día, las soluciones están interconectadas y proporcionan inteligencia sobre amenazas, puntuación de riesgos y aplicación automatizada de parches, de modo que no quedan sin resolver cuestiones críticas. A continuación, describimos cinco características esenciales que definen las mejores prácticas actuales en la gestión de vulnerabilidades:

1. Detección continua de activos: Una solución robusta detecta de forma proactiva los sistemas nuevos o modificados, como servidores, instancias de contenedores o funciones en la nube, dentro del entorno. El descubrimiento debe ser lo más cercano posible al tiempo real para capturar recursos de corta duración o de prueba. Sin un descubrimiento dinámico, las organizaciones corren el riesgo de tener puntos finales invisibles que obstaculizan su programa eficaz de gestión de vulnerabilidades. Este paso es fundamental: no se puede reparar lo que no se puede detectar.
2. Escaneo y correlación automatizados: Una vez que el sistema ha registrado los activos recién descubiertos, procede a escanear las versiones del sistema operativo, los marcos, las bibliotecas y las configuraciones. La plataforma también ajusta las puntuaciones de gravedad cuando los resultados se cruzan con bases de datos CVE u otras fuentes de inteligencia sobre exploits. Esta sinergia permite una respuesta rápida para parchear o mitigar las vulnerabilidades. En los entornos modernos, el escaneo debe ser compatible con las cargas de trabajo de contenedores y sin servidor, incluido el escaneo de imágenes, incluso en el momento de la compilación.
3. Priorización basada en el riesgo: Es esencial tener en cuenta que no todas las vulnerabilidades tienen el mismo nivel de importancia. Las soluciones más avanzadas utilizan información de kits de explotación, la web oscura o incluso fuentes de amenazas en tiempo real para mejorar el orden de los parches. Priorizar cada sistema en función de su criticidad, como un servidor de base de datos de producción frente a una máquina de desarrollo, permite a los equipos abordar los problemas urgentes. Este enfoque resume la clasificación de la exposición a vulnerabilidades, centrando los recursos en los vectores de amenaza más importantes.
4. Informes y análisis: Los paneles específicos muestran las vulnerabilidades abiertas, el estado de los parches y las tendencias de cumplimiento, integrando la información de TI con la relevancia empresarial. Esta visibilidad ayuda a los ejecutivos a realizar un seguimiento del retorno de la inversión en seguridad y también facilita las auditorías. A largo plazo, los análisis pueden revelar patrones de problemas, como bibliotecas obsoletas en varios microservicios, lo que sugiere que pueden ser necesarios cambios en el desarrollo o la arquitectura.
5. Implementación coordinada de parches: Es importante comprender que encontrar vulnerabilidades es solo el primer paso del proceso. Las soluciones proporcionadas se conectan a herramientas de gestión de parches y actualización automática del sistema operativo o las aplicaciones una vez identificada una vulnerabilidad. Esta sinergia reduce significativamente el tiempo que un atacante tiene para explotar una vulnerabilidad determinada, en particular aquellas que permiten la ejecución remota de código. Además, algunas plataformas también admiten la automatización parcial, por ejemplo, la corrección automática de vulnerabilidades de nivel medio con aprobaciones en elementos de alta gravedad.

¿Qué es la gestión de la exposición en ciberseguridad?

Mientras que la gestión de vulnerabilidades se centra principalmente en los fallos de software, la gestión de la exposición en ciberseguridad aborda el riesgo total al que se enfrenta una organización, incluidas las debilidades no CVE. Esto puede incluir puertos abiertos, identificación excesivamente liberal, API no protegidas o socios integrados vulnerables; en otras palabras, todo lo que pueda ser objeto de un ataque. Dado que estas exposiciones van más allá del nivel del código, es difícil solucionarlas sin establecer todas las conexiones con fuentes externas o usuarios internos y privilegios, así como flujos de datos. Las herramientas que integran inteligencia sobre amenazas, descubrimiento de activos y puntuación de riesgos pueden revelar amenazas que a menudo pasan desapercibidas para las herramientas de análisis. Con la gestión de la exposición, los equipos de seguridad pasan de la pregunta "¿Dónde faltan mis parches?" a "¿Dónde está todo mi entorno expuesto a amenazas o configuraciones incorrectas?". Esto crea una visión de arriba abajo, que establece un vínculo entre los ciclos de parcheo más frecuentes y la gestión estratégica de amenazas.

Características de la gestión de la exposición

Las soluciones de ciberseguridad para la gestión eficaz de la exposición hacen más que rastrear las vulnerabilidades del software.  También abordan cómo los flujos de datos, los privilegios de los usuarios y las dependencias externas pueden amplificar o mitigar el riesgo. En la siguiente sección, identificamos cinco características distintivas de las ofertas de gestión de la exposición y mostramos cómo se diferencian de los escáneres de vulnerabilidades.

1. Mapeo holístico de la superficie de ataque: Las herramientas crean una lista de todos los objetos expuestos externamente, incluidos los subdominios y los equilibradores de carga, e incluso los contenedores temporales. En el caso de simular el reconocimiento de un atacante, destaca los puertos mal configurados, los problemas de SSL u otros servidores de prueba que se han pasado por alto. Esta perspectiva garantiza que se identifiquen las "incógnitas desconocidas". A largo plazo, un mapa en tiempo real ayuda a los equipos de seguridad a determinar rápidamente los nuevos riesgos derivados de las expansiones o adquisiciones.
2. Análisis de identidades y privilegios: Dado que las exposiciones no se limitan a los fallos de código, las funciones de los usuarios o las claves son los puntos más vulnerables a la infiltración. Un programa de exposición sólido garantiza la identificación de las cuentas privilegiadas con contraseñas débiles o que tienen acceso a activos confidenciales. En combinación con los principios de gestión de identidades dentro del entorno Azure u otras plataformas de identidad, la solución proporciona el nivel mínimo de privilegios en el entorno. Esta sinergia reduce significativamente la movilidad en dirección lateral.
3. Correlación de riesgos y amenazas: En la gestión de la exposición, los datos brutos de configuración incorrecta se incorporan a la inteligencia sobre amenazas. Por ejemplo, si buscan puertos RDS abiertos, un sistema con el puerto 3389 abierto en Internet recibe una puntuación de prioridad más alta. De este modo, al conectar la información sobre vulnerabilidades con los escenarios de explotación, los equipos comprenden qué exposiciones son significativas. El sistema puede escalar automáticamente o bloquear las solicitudes que se envían a los puntos finales mal configurados hasta que se solucione el problema.
4. Valoración de activos y contexto empresarial: No todos los servidores y subdominios deben tratarse de la misma manera ni requieren el mismo nivel de atención. Algunas soluciones de gestión de la exposición tienen en cuenta la clasificación de los datos o la importancia comercial. Una vulnerabilidad en una base de datos de prueba con datos de muestra puede ser menos crítica que la misma debilidad en el servidor de producción de una empresa financiera. Este enfoque "basado en el valor" es fundamental para comparar la exposición con la vulnerabilidad: el enfoque pasa de los defectos puros a la importancia crítica del activo objetivo.
5. Flujos de trabajo de corrección más allá de los parches: En muchos casos, las exposiciones se deben a configuraciones incorrectas o problemas de identidad, más que a la falta de parches. Los enfoques óptimos para resolver los problemas implican la cooperación para abordar los puertos abiertos, la rotación de claves o las políticas adecuadas de IAM. Mientras que el ámbito de los parches ofrece un enfoque más inclusivo de la gestión de riesgos, las soluciones de gestión de la exposición combinan medidas de mitigación de riesgos más completas. Este énfasis garantiza que los equipos de seguridad se ocupen de todas las formas de "exposición a vulnerabilidades", ya sea por el código o por la configuración del entorno.

10 diferencias entre la gestión de la exposición y la gestión de vulnerabilidades

A primera vista, la gestión de la exposición y la gestión de vulnerabilidades pueden parecer intercambiables, pero tienen ámbitos y metodologías diferentes. La gestión de vulnerabilidades se centra en corregir las debilidades del software, mientras que la gestión de la exposición es más amplia y abarca cualquier punto que un atacante pueda utilizar para entrar en un sistema. A continuación se enumeran diez diferencias:

1. Ámbito de cobertura: La gestión de vulnerabilidades se centra principalmente en CVE conocidas o tipos específicos de debilidades del software, como problemas del sistema operativo o de bibliotecas. La gestión de la exposición se extiende para incluir errores de identidad, puertos abiertos, protocolos inseguros y componentes de terceros. Por ejemplo, mientras que el análisis de vulnerabilidades puede no detectar un equilibrador de carga mal configurado porque no está vinculado a un CVE, las comprobaciones de exposición lo identificarán de inmediato. Esta diferencia pone de relieve cómo la gestión de la exposición en materia de ciberseguridad aborda una superficie de ataque más holística. A largo plazo, la conexión elimina las brechas y garantiza que no se pase por alto ninguna área de vulnerabilidad.
2. Herramientas y técnicas: Las soluciones convencionales de gestión de vulnerabilidades utilizan bases de datos CVE, motores de análisis y coordinación de parches. Las soluciones de gestión de la exposición incluyen el mapeo de subdominios, el análisis de huellas externas, el análisis de privilegios y la puntuación de riesgos de los socios. Esto último requiere niveles aún más altos de correlación, como asociar las credenciales robadas descubiertas en la web oscura con cuentas privilegiadas en su entorno. Esta complejidad mejora la compatibilidad con soluciones sofisticadas que supervisan muchos otros indicadores de riesgo, además de los fallos de código.
3. Enfoque en la configuración frente a los fallos de código: La gestión de vulnerabilidades se centra en los fallos de software, las bibliotecas obsoletas o las versiones de sistemas operativos sin parches. La gestión de la exposición, por otro lado, tiende a implicar buckets S3 abiertos, roles IAM demasiado permisivos o reglas de firewall configuradas incorrectamente, ninguno de los cuales puede clasificarse como CVE, pero que son vulnerabilidades igualmente graves. Al integrar estos distintos ángulos, un programa eficaz de gestión de vulnerabilidades pasa sin problemas al territorio de la gestión de la exposición. El resultado es una solución holística que aborda el código, la configuración y la identidad.
4. Estrategias de priorización de riesgos: Es habitual que los gestores de vulnerabilidades utilicen puntuaciones de gravedad o referencias a kits de explotación, al tiempo que prestan atención a las explotaciones basadas en el código. La gestión de la exposición integra el contexto, como la clasificación de los datos o la importancia de la unidad de negocio, en esa calificación de riesgo. Por ejemplo, un CVE medio en un servidor que contiene información altamente confidencial puede ser más grave que un CVE alto en un servidor de pruebas. Este énfasis demuestra cómo los marcos de exposición frente a vulnerabilidad manejan la puntuación de manera diferente, ya que la exposición tiene en cuenta contextos más orientados al negocio.
5. Remediación frente a mitigación: Un parche suele abordar una debilidad concreta del software, poniendo fin a un escenario de amenaza específico. Las soluciones de gestión de la exposición también pueden incluir el cambio de claves de usuario, la partición de redes o incluso la eliminación de un subdominio inseguro. En lugar de limitarse a abordar las vulnerabilidades, estas acciones resuelven problemas subyacentes, como el acceso innecesario o los entornos obsoletos. En este sentido, la gestión de la exposición no se centra tanto en los cambios discretos y localizados de los ciclos de parches estándar.
6. Amplitud de la superficie de ataque: La gestión de vulnerabilidades generalmente analiza los activos conocidos en busca de vulnerabilidades de software conocidas. La gestión de la exposición lleva el escaneo a la TI desconocida o oculta, las dependencias externas o las conexiones de socios. Esto implica nuevos subdominios, nuevos puertos abiertos después de una actualización o varios entornos de desarrollo/prueba que no figuraban anteriormente en la lista. La diferencia de alcance es crucial para la identificación de amenazas que son desconocidas para la organización y que, por lo tanto, suponen una amenaza para la seguridad.
7. Frecuencia y profundidad del análisis: El enfoque tradicional de la gestión de vulnerabilidades puede implicar el análisis de la red con una frecuencia semanal o mensual, en el mejor de los casos, especialmente cuando hay miles de servidores en una organización. Por otro lado, la gestión de la exposición suele requerir una vigilancia en tiempo real o casi constante de cualquier cambio en el entorno. Debido a que los contenedores efímeros, o microservicios, pueden crearse y destruirse en cuestión de horas, un enfoque de exposición requiere una respuesta rápida. A medida que el código o la infraestructura crecen y cambian, también debe hacerlo el escaneo, para satisfacer las nuevas y cambiantes necesidades.
8. Integración con soluciones de identidad: históricamente, la exposición a vulnerabilidades tenía una intersección mínima con la identidad, más allá de la verificación de los permisos de los usuarios para la implementación de parches. La gestión de la exposición va más allá y explora la proliferación de identidades, la higiene de las credenciales y las cuentas que pueden tener privilegios excesivos. Esta integración proporciona un conjunto más amplio de comprobaciones que van desde la aplicación de múltiples factores hasta la supervisión de los cambios en la pertenencia a los grupos de usuarios. El resultado es una postura de riesgo que reconoce la identidad como uno de los principales vectores de ataque.
9. Análisis basado en datos: Aunque ambos se basan en el análisis, la gestión de la exposición se centra en correlacionar varias fuentes, como los análisis de vulnerabilidades, la inteligencia sobre amenazas externas, los registros de uso de activos y las alertas de gestión de identidades. Este enfoque de fusión de datos crea perfiles de riesgo dinámicos que cambian con cada configuración incorrecta identificada o cada nuevo exploit publicado. La inteligencia artificial o el aprendizaje automático suelen desempeñar un papel más importante en el cambio de la lógica de análisis o la priorización de los parches en tiempo real.
10. Estratégico frente a táctico: La gestión de vulnerabilidades se considera generalmente como un proceso que consiste en encontrar un defecto, corregirlo y pasar al siguiente. La gestión de la exposición es más táctica y está orientada a las decisiones de arquitectura, la planificación de redes y la mitigación de riesgos a largo plazo. Si bien la gestión de la exposición implica centrarse en problemas específicos, como los roles con privilegios excesivos de las personas, este enfoque genera los cambios necesarios a nivel del sistema. La combinación de estos enfoques da como resultado una seguridad que puede proporcionar soluciones rápidas cuando es necesario, al tiempo que se planifica con antelación para los problemas que puedan surgir.

Exposición frente a vulnerabilidad: 7 diferencias clave

Es importante señalar que los términos exposición y vulnerabilidad están estrechamente relacionados, pero las distinciones pueden influir en la forma en que los equipos de seguridad priorizan los recursos. Las vulnerabilidades se definen como debilidades específicas de una aplicación, un software o un sistema, mientras que las exposiciones incluyen cualquier situación que aumente el riesgo. La siguiente tabla destaca siete aspectos esenciales que diferencian la exposición de la vulnerabilidad desde el punto de vista tanto del análisis como de las estrategias de riesgo más amplias:

Aspecto	Exposición	Vulnerabilidad
Definición	Se centra en cualquier factor que aumente la superficie de ataque, como puertos abiertos o rutas de datos desprotegidas	Principalmente fallos de código o del sistema en los que CVE conocidos o configuraciones erróneas obstaculizan la seguridad.
Ámbito	Abarca la identidad, la red, el flujo de datos y los vectores de ataque externos	Tiende a girar en torno a debilidades reconocidas a nivel de software o del sistema operativo
Enfoque de corrección	Puede implicar la reconfiguración, cambios en la política de identidad o ajustes arquitectónicos	Normalmente se aborda mediante parches de software, actualizaciones de bibliotecas o actualizaciones del sistema operativo
Causa raíz	A menudo se debe a descuidos en el diseño, ampliaciones del entorno o desajustes en los privilegios de los usuarios	Provocado por errores de software, parches incompletos o falta de actualizaciones
Herramientas de detección	Herramientas que escanean huellas externas, puntos finales abiertos, proliferación de identidades o actualizaciones mal configuradas	Herramientas que escanean código, paquetes del sistema operativo o consultan bases de datos CVE en busca de fallos conocidos
Impacto	Potencialmente más amplio: una exposición puede no tener un CVE conocido, pero puede facilitar ataques de varios pasos	Potencial de explotación directa, que a menudo conduce a un compromiso inmediato del sistema si no se corrige
Ejemplos	Buckets S3 abiertos, roles IAM demasiado permisivos o entornos de desarrollo efímeros abiertos al público.	Biblioteca Apache obsoleta, vulnerabilidad del sistema operativo Windows sin parchear o imágenes de contenedor mal configuradas

A partir de esta tabla, es evidente que las vulnerabilidades suelen estar relacionadas con código específico o actualizaciones faltantes, mientras que las exposiciones se adentran más en las capas operativas o arquitectónicas. Centrarse en las vulnerabilidades no tiene en cuenta la falta de concienciación sobre las configuraciones incorrectas o los privilegios de usuario riesgosos que los atacantes podrían aprovechar. A medida que crece la huella de TI, la combinación del análisis de la exposición y la vulnerabilidad garantiza que no haya vías inexploradas para actividades maliciosas. Las herramientas que integran ambos enfoques proporcionan un análisis más amplio, vinculando la configuración incorrecta con las CVE para ofrecer una visión contextual del riesgo. Esta integración da como resultado un enfoque más sólido que alinea la corrección del código con cambios ambientales más amplios. En conclusión, es importante comprender ambos conceptos para abordar las brechas en todos los niveles del entorno digital de una organización.

Conclusión

Reducir su exposición a diversos riesgos puede ayudar a mejorar la seguridad y la protección de su organización. La gestión de vulnerabilidades también va de la mano con ese proceso. Cuando se trabaja con múltiples canalizaciones, contenedores, puntos finales y diversos activos, es esencial contar con una estrategia de seguridad sólida. Mediante el escaneo, la puntuación de riesgos y la orquestación avanzada, es posible convertir eficazmente la gestión de vulnerabilidades en programas integrales de gestión de la exposición alineados con el enfoque de la empresa.lt;/p>

La mejor solución de análisis del mercado actual no puede resolver todos los problemas, desde terminales mal configurados hasta la proliferación de identidades. Las soluciones integradas, como SentinelOne, respaldan estas medidas identificando de forma proactiva comportamientos sospechosos en tiempo de ejecución e integrando inteligencia global sobre amenazas con prevención en tiempo real.

"

FAQs

¿Cuál es la diferencia entre la gestión de vulnerabilidades y la gestión de exposiciones?

La gestión de vulnerabilidades se basa en debilidades específicas del software o del sistema operativo, como CVE o parches faltantes, mientras que la gestión de la exposición va un paso más allá y tiene en cuenta las configuraciones incorrectas, los derechos excesivos de los usuarios y los activos externos. En términos sencillos, mientras que las vulnerabilidades son debilidades a nivel de código o del sistema, las exposiciones son cualquier factor que aumente el perfil de riesgo de una organización. Ser capaz de abordar las exposiciones va más allá de simplemente abordarlas con parches típicos. La combinación de ambos da como resultado un enfoque más integral de la defensa.

¿Qué es la exposición a vulnerabilidades en términos de ciberseguridad?

La exposición a vulnerabilidades denota la posibilidad de que los atacantes aprovechen fallos descubiertos (o no descubiertos) en un entorno informático. Si existe un fallo de software significativo que no se ha corregido, la "exposición" explica lo vulnerable o peligrosa que puede ser esa debilidad. También puede referirse a la externalidad de la vulnerabilidad, por ejemplo, datos sin cifrar o puertos abiertos. La gestión de la "exposición a vulnerabilidades" garantiza que los problemas descubiertos no sigan siendo fácilmente explotables durante largos periodos de tiempo.

¿Por qué es importante la gestión de la exposición más allá de la corrección de vulnerabilidades?

Dado que no todos los riesgos son el resultado de fallos en el código, algunos de ellos están relacionados con buckets S3 abiertos, configuraciones de firewall liberales o credenciales comprometidas, ninguno de los cuales está vinculado a un CVE. La gestión de la exposición identifica y elimina estas configuraciones erróneas o fallos de diseño, minimizando así las vías de infiltración. Aunque es necesario aplicar parches, las exposiciones no relacionadas con CVE son puntos de infiltración potenciales que quedan totalmente abiertos.

¿Cómo pueden los programas de gestión de vulnerabilidades evolucionar hacia estrategias de gestión de la exposición?

Los programas de gestión de vulnerabilidades pueden ampliar el escaneo para incluir no solo vulnerabilidades a nivel de código, sino también incorporar comprobaciones de identidad e integrar huellas externas. Las herramientas que supervisan las configuraciones incorrectas, las conexiones de terceros o los secretos almacenados ayudan a aumentar la cobertura. A largo plazo, la combinación de la inteligencia sobre amenazas en tiempo real y la criticidad de los activos conduce a una priorización basada en el riesgo. Esta progresión mejora las mejores prácticas del escaneo tradicional de vulnerabilidades y, al mismo tiempo, incorpora una evaluación ambiental más completa.

¿Cuáles son las mejores prácticas para gestionar tanto la exposición como las vulnerabilidades?

Realice análisis continuos de las vulnerabilidades del software, integre los análisis en el proceso de CI/CD y asegúrese de que el plazo de gestión de parches sea corto para las vulnerabilidades críticas. Este paso identifica los activos externos o subdominios, supervisa las brechas de identidad o configuración y prioriza los riesgos. Comuníquese con las partes interesadas mediante informes que contengan información sobre cuestiones pendientes, configuraciones fácilmente legibles y derechos de acceso de los usuarios. Utilice parches de código junto con modificaciones del entorno, como la segmentación de la red o la rotación de claves, para proteger el ecosistema.