Análisis de vulnerabilidades
El análisis de vulnerabilidades consiste en la comprobación periódica y sistemática de sus sistemas en busca de puntos débiles conocidos: software sin parches, configuraciones erróneas, servicios expuestos y componentes obsoletos con vulnerabilidades conocidas. No es lo mismo que una prueba de penetración, que simula a un atacante real que intenta alcanzar un objetivo específico; el análisis es más amplio y automatizado, y está diseñado para revelar el panorama completo de los problemas explotables en todo su entorno de forma periódica, en lugar de analizar en profundidad una vía de ataque concreta.
La razón por la que esto debe ser un proceso recurrente, en lugar de un proyecto puntual, es que su entorno cambia constantemente: se implementa nuevo software, las configuraciones se desvían y se revelan nuevas vulnerabilidades en el software existente que lleva años ejecutando sin haber modificado nada en absoluto. Un sistema que estaba libre de vulnerabilidades el trimestre pasado puede presentar hoy una vulnerabilidad crítica que se está explotando activamente, simplemente porque un investigador ha detectado una en un software que ha tenido instalado todo este tiempo.
Las limitaciones de los programas de análisis
Los dos tipos de fallos que observo con mayor frecuencia son: los análisis que se ejecutan, pero cuyos resultados nadie lee ni tiene en cuenta, por lo que las vulnerabilidades se acumulan sin resolver en un informe que existe únicamente con fines de cumplimiento normativo; y una cobertura de análisis que, de forma imperceptible, omite partes del entorno —recursos en la nube puestos en marcha al margen del proceso habitual o sistemas añadidos después de la última revisión del alcance del análisis—.
Cómo lo abordaría yo
Yo configuraría los análisis con una periodicidad que se ajuste realmente a su nivel de riesgo y al ritmo de cambio de su entorno —para algunas organizaciones, esto significa semanalmente; para otras, tiene más sentido realizar una cobertura diaria de los sistemas críticos— y me aseguraría de que el alcance cubra realmente todo lo que tiene en funcionamiento, no solo los sistemas que existían cuando se configuró el análisis por primera vez. Los resultados deben ir acompañados de una priorización real, no solo de una puntuación de gravedad extraída directamente de la base de datos de un proveedor: qué es realmente vulnerable en su entorno específico, qué está expuesto a Internet frente a lo que está oculto internamente, y qué debe solucionarse primero teniendo en cuenta su riesgo real. Además, alguien debe asumir la responsabilidad de actuar en función de lo que detecte el análisis, ya que un informe que acaba en una bandeja de entrada y no tiene ninguna repercusión no constituye un programa de seguridad, sino una documentación de los riesgos que usted conocía y no abordó.
Si desea un análisis de vulnerabilidades continuo y discreto que realmente impulse la corrección de los problemas, en lugar de limitarse a generar informes, Contacte conmigo.