Gestión automatizada de parches de seguridad
Una gran parte de las brechas de seguridad que he analizado no implicaban un sofisticado ataque de día cero, sino una vulnerabilidad para la que ya existía un parche disponible —en ocasiones desde hacía meses— que simplemente aún no se había aplicado. El parche existía. La solución existía. Estaba pendiente. La gestión de parches parece el elemento más básico de cualquier lista de comprobación de seguridad, y lo es; precisamente por eso es donde las cosas suelen fallar de forma tan sistemática: no resulta atractiva, es una tarea constante y es lo primero que se deja de lado cuando un equipo está desbordado.
El reto no suele residir en la sofisticación técnica, sino en la disciplina y la cobertura: conocer todos los parches relevantes en cada uno de los sistemas que se gestionan, probarlos lo suficiente como para estar seguros de que no provocarán fallos críticos y, de hecho, implementarlos antes de que el lapso entre el «lanzamiento del parche» y su «aplicación» se convierta en la ventana por la que se cuele un atacante. Esa ventana se está reduciendo en todo el sector; los atacantes realizan ingeniería inversa en los parches para encontrar la vulnerabilidad casi tan rápido como se publican dichos parches.
Cómo lo abordaría yo
Yo empezaría por un inventario preciso de activos, ya que no se puede aplicar un parche a algo que no se sabe que se está ejecutando; aquí es donde la gestión de activos y la gestión de parches se solapan directamente. A partir de ahí, se debe proceder a la implementación automatizada siempre que sea realmente seguro automatizarla, con un proceso sensato de pruebas y puesta en marcha para todo aquello que presente un mayor riesgo, de modo que el objetivo no sea «aplicar el parche al instante», sino «aplicarlo tan rápido como sea realmente seguro para su entorno». Las vulnerabilidades críticas deben priorizarse y tratarse con carácter urgente antes que las actualizaciones rutinarias, y todo el proceso requiere una supervisión que le indique, con total franqueza, qué se ha parcheado realmente y qué sigue expuesto —no una suposición de que la automatización funciona, sino la verificación de que así es—.
Una gestión de parches bien hecha resulta aburrida en el mejor sentido de la palabra: simplemente funciona, de forma silenciosa, en segundo plano, y nadie tiene que pensar en ella hasta que un informe confirme que se está llevando a cabo. Ese es el objetivo.
Si no está totalmente seguro de que sus sistemas estén recibiendo las actualizaciones en un plazo que realmente sea relevante, hablemos de cómo subsanar esa carencia.