¿Qué es la gestión de vulnerabilidades?

Vulnerabilidades de seguridad. Siempre hablaremos de ellas. En Fluid Attacks son parte de nuestra razón de ser. En nombre de nuestros clientes, los objetivos iniciales que nos planteamos con ellos son identificar, describir y notificar estos problemas de seguridad. Pero nuestra misión no termina ahí. En nuestro artículo anterior, hablamos principalmente de la evaluación de vulnerabilidades, un procedimiento que cubre los objetivos anteriores. En esta ocasión, nos centraremos en explicar un término que ya relacionamos con el anterior: la gestión de vulnerabilidades. Este concepto abarca una gama más amplia de actividades relacionadas con las vulnerabilidades, las cuales también ofrecemos a nuestros clientes. Antes de entrar en materia, empecemos contextualizando para quienes no tengan claro qué es una vulnerabilidad en ciberseguridad.

Una vulnerabilidad de seguridad se refiere a una debilidad en un sistema informático que suele ser el resultado de fallas de software, errores de diseño o configuraciones incorrectas. Al ser explotada por atacantes, una vulnerabilidad puede funcionar como una puerta que permite el acceso no autorizado y el control del sistema para el robo de información u otros activos o la interrupción de operaciones.

Una vulnerabilidad es, por ejemplo, dejar desbloqueado un punto de acceso a información confidencial de tu sistema. Esto no significa necesariamente que se vaya a producir un daño, pero existe esa posibilidad. En sí, este es el riesgo: una situación peligrosa, una posibilidad de que ocurra algo malo. La valoración del riesgo dependerá de la probabilidad de que se produzca el efecto negativo y de los gastos que este supondría para sus propietarios u otras partes implicadas. En nuestro ejemplo, la posibilidad es que alguien no autorizado acceda ilegalmente a la información confidencial para usos ilícitos.

Aunque, en el diccionario, la palabra "amenaza" también tiene entre sus definiciones "posibilidad de problema, peligro o desastre" y, en ciberseguridad, a veces se utiliza indistintamente con la palabra "riesgo", en nuestro caso, preferimos atribuir "amenaza" al agente que puede generar el efecto negativo o daño. Sin embargo, esta última definición también se le da a "riesgo" en el diccionario. (Es como si prácticamente definieran lo mismo.) Por eso a veces es mejor hablar explícitamente de "actor de amenaza" (threat actor). En resumen, si tienes una vulnerabilidad en tu sistema, existe el riesgo de que un actor de amenaza la explote para perjudicarte.

Las vulnerabilidades de seguridad suelen clasificarse según su severidad (es decir, el nivel de riesgo que representan) de acuerdo con el Common Vulnerability Scoring System (CVSS). Este estándar internacional gratuito y abierto al público, administrado por la organización sin ánimo de lucro FIRST, presenta una escala cuantitativa que va de 0,0 a 10,0, la cual suele dividirse en una escala cualitativa de calificación de severidad, como se muestra en la siguiente tabla:

La puntuación CVSS completa se compone de tres grupos de métricas: Base, Temporal y Ambiental. La puntuación Base representa la severidad de una vulnerabilidad según sus características inherentes permanentes a lo largo del tiempo y en diferentes entornos. Esta métrica aborda principalmente la facilidad con la que la vulnerabilidad puede ser explotada y los impactos directos de su explotación. La puntuación Temporal refleja la severidad de una vulnerabilidad en función de sus características cambiantes a lo largo del tiempo. Así, esta métrica tiene en cuenta la existencia y disponibilidad de código de explotación y parches de remediación. La puntuación Ambiental representa la severidad de una vulnerabilidad según sus características relevantes para un entorno de usuario específico. Esta métrica tiene en cuenta factores como los controles de seguridad presentes y la importancia relativa del sistema vulnerable dentro de toda una infraestructura informática.

Aunque es habitual que las organizaciones utilicen e informen sobre la métrica Base, es recomendable que los usuarios incluyan en la ecuación las otras dos métricas para modificar las puntuaciones Base y revelar severidades de vulnerabilidades completas y más precisas, ajustadas a sus entornos. Para conocer algunas de las deficiencias de la métrica CVSS, te invitamos a leer este artículo.

Las vulnerabilidades de seguridad divulgadas públicamente en todo el mundo suelen catalogarse y describirse en listas de libre acceso como la CVE (Common Vulnerabilities and Exposures). Por otro lado, la CWE (Common Weakness Enumeration) enumera y categoriza los distintos tipos de debilidades en software y hardware que pueden dar lugar a vulnerabilidades explotables. La CWE ofrece incluso un Top 25 de las debilidades de software más peligrosas, similar al Top 10 de la OWASP. Sin embargo, este último destaca específicamente los riesgos de seguridad más críticos para las aplicaciones web (riesgos asociados a vulnerabilidades de seguridad).

Tipos de vulnerabilidades hay muchos. Aunque existen diferentes criterios para categorizar las vulnerabilidades, en Fluid Attacks, por ejemplo, aplicamos uno similar al utilizado en CAPEC (Common Attack Pattern Enumeration and Classification) para organizar los patrones de ataque. Lo que hacemos es separar los tipos de vulnerabilidades por mecanismos de ataque frecuentemente utilizados para su explotación, que en este caso son nueve grupos. Como la intención aquí no es listar todos los tipos, lo que ofrecemos a continuación es una lista de los grupos con tres tipos de vulnerabilidades como ejemplos para cada uno. Por favor, consulta la sección Criteria de nuestra documentación para ver la lista completa.

Las vulnerabilidades de seguridad podrían estar presentes en nuestros sistemas informáticos sin ningún problema si no existieran los actores de amenazas. (De hecho, si ellos no existieran, seguramente las primeras no se llamarían así.) Pero esto no es más que un sueño inalcanzable. Los ciberdelincuentes recorren sin cesar las redes de información buscando víctimas, motivados principalmente por el dinero. Lo que quieren inicialmente es descubrir nuestras vulnerabilidades. Si estas no existieran, los atacantes no podrían perjudicarnos. Así que, en última instancia, de lo que buscamos protegernos es de los actores de amenazas y de sus acciones malintencionadas, no de las vulnerabilidades. Sin embargo, lo que está a nuestro alcance, lo que podemos controlar, es la prevención y el tratamiento de las vulnerabilidades. Y esto es algo que podemos conseguir con la gestión de vulnerabilidades. Pero, ¿qué es la gestión de vulnerabilidades en ciberseguridad?

Cuando hablamos de gestión de vulnerabilidades, la evaluación de vulnerabilidades debe entrar necesariamente a la ecuación. En cambio, esta última puede darse de forma independiente. La evaluación de vulnerabilidades forma parte del proceso de gestión de vulnerabilidades porque es cuando se identifican, clasifican y notifican los problemas de seguridad. Esta evaluación puede realizarse por parte de herramientas automatizadas (es decir, escaneo de vulnerabilidades) o humanos (normalmente a través de pruebas de penetración o hacking ético); aun así, debería existir un complemento entre ambos. Así, la evaluación de vulnerabilidades se integra en un ciclo en el que también se priorizan y abordan las vulnerabilidades.

Lo que algunas herramientas automatizadas parecen capaces de hacer hasta ahora es remediar vulnerabilidades demasiado básicas y superficiales, muchas de ellas presentes en componentes de terceros de código abierto que solo requieren la identificación y aplicación de parches o actualizaciones para ser solucionadas. Por tanto, la intervención humana sigue siendo fundamental. Es cierto que, como viene ocurriendo desde hace tiempo en diferentes fases de la gestión de vulnerabilidades, las herramientas permiten cada vez más ahorrar tiempo y esfuerzo para que los expertos en seguridad y desarrollo puedan centrarse directamente en las vulnerabilidades más complejas y riesgosas. Sin embargo, una correcta gestión de vulnerabilidades hoy en día no puede automatizarse por completo.

Además, la organización debería definir los roles y responsabilidades para su equipo de gestión de vulnerabilidades, tales como, quiénes se encargarían de supervisar las distintas etapas y el ciclo completo, quiénes identificarían, abordarían o remediarían las vulnerabilidades, y quiénes revisarían y autorizarían la implementación de estrategias y la entrega de reportes. Por tanto, debería también elegir las herramientas y servicios para la evaluación de vulnerabilidades y, en general, para todas las etapas de la gestión de vulnerabilidades. Finalmente, la organización debería establecer políticas de evaluación y tratamiento de vulnerabilidades (p. ej., frecuencia de revisión, parámetros de aceptación temporal y absoluta, y plazos de remediación).

Esta etapa puede comenzar con el escaneo de vulnerabilidades. Las herramientas automatizadas escanean los sistemas elegidos por la organización para detectar si alguno o todos los problemas de seguridad que tienen en sus bases de datos de vulnerabilidades conocidas públicamente están presentes en esos sistemas. Una configuración precisa de los escáneres y sus escaneos puede ayudar a evitar la interrupción o alteración de funciones en la tecnología evaluada y tasas muy altas de falsos positivos. Después, la intervención humana llega en forma de pentesting manual, que cuenta con la ayuda de otras herramientas. Los llamados pentesters, con una metodología orientada a la evaluación en profundidad de los sistemas informáticos, se esfuerzan por detectar todo aquello que se escapa del radar de las herramientas automatizadas. A menudo, se trata de vulnerabilidades más severas, más complejas y previamente desconocidas (de día cero).

En un punto de esta etapa, los pentesters o profesionales de la seguridad buscan minimizar las tasas de falsos positivos y falsos negativos. Para ello, validan los informes de los escáneres y corrigen sus errores. Es decir, eliminan de las listas de vulnerabilidades identificadas aquellos reportes que en realidad no constituyen vulnerabilidades e incluyen en ellas las vulnerabilidades que las herramientas deberían haber notificado pero no lo hicieron. (Estas son listas separadas de las entregadas por las pruebas de penetración en la etapa anterior).

Tanto los escáneres como los pentesters suelen calificar sus hallazgos basándose en métricas bien conocidas como el CVSS. Como hemos dicho antes, este sistema puntúa la severidad de las vulnerabilidades de 0,0 a 10,0. Entonces, se pueden priorizar las vulnerabilidades; se pueden clasificar por orden de importancia según el riesgo que representan. La ventaja de esta priorización de vulnerabilidades es que, en el momento del reporte, la organización evaluada puede saber qué problemas de seguridad debe tratar en primer lugar.

Uno de los factores que influyen en la evaluación y priorización de vulnerabilidades es su explotabilidad. En esta fase surgen preguntas como las siguientes: ¿Es explotable esta vulnerabilidad? ¿Es fácil de explotar? ¿Existe ya un exploit para esta vulnerabilidad circulando por la red? (Un exploit es un código especializado que permite aprovecharse de un problema de seguridad). ¿Qué consecuencias tendría su explotación? Los pentesters son cruciales para responder a preguntas como esta última. A partir de su enfoque ofensivo de la seguridad, es decir, simulando ataques del "mundo real", estos expertos se encargan de evaluar la explotabilidad de vulnerabilidades concretas para aportar pruebas de sus posibles repercusiones.

Otra forma de expresar la pregunta anterior podría ser: ¿Por qué necesitamos la gestión de vulnerabilidades? La importancia de la gestión de vulnerabilidades para una organización radica esencialmente en lo que hemos mencionado antes: Este es un procedimiento que nos permite mantener el control de un problema. Aquellas vulnerabilidades, producto de nuestra ignorancia o descuido, las cuales los actores de amenazas buscan explotar, son las que pretendemos detectar y cerrar lo antes posible o evitar que salgan a la luz pública e incluso que tomen forma. Traduzcamos la importancia de un ciclo de vida de gestión de vulnerabilidades completo y continuo en beneficios específicos:

¿Estás interesado en implementar un proceso de gestión de vulnerabilidades? En Fluid Attacks, ofrecemos una solución de gestión de vulnerabilidades dentro de nuestro servicio Hacking Continuo, la cual podemos integrar en tu ciclo de vida de desarrollo de software desde el principio. Conectamos todas las etapas del proceso de gestión de vulnerabilidades descrito anteriormente desde un único lugar, es decir, la plataforma de Fluid Attacks. Desarrollamos nuestras propias herramientas automatizadas o escáneres de seguridad, los cuales aplican metodologías como SAST, DAST y SCA para la evaluación continua de vulnerabilidades en tus sistemas. También contamos con un amplio grupo de expertos en pruebas de penetración que, con sus habilidades como hackers (consulta aquí sus múltiples certificaciones), verifican los hallazgos de los escáneres e identifican aquellas vulnerabilidades que estas máquinas no han podido detectar. Su objetivo aquí es minimizar las tasas de falsos positivos y falsos negativos. Cabe destacar que utilizamos la inteligencia artificial para priorizar la evaluación de aquellas partes de los sistemas que tienen más probabilidades de contener problemas de seguridad.

Para la calificación de vulnerabilidades, vamos más allá del CVSS, añadiendo una versión modificada por nosotros: "CVSSF". Con esta métrica, como puedes conocer en detalle en otro artículo del blog, superamos varios inconvenientes, como el que nos hace creer erróneamente que una vulnerabilidad de severidad 10,0 supone el mismo riesgo que diez vulnerabilidades de severidad 1,0. En nuestra plataforma, te reportamos continuamente las vulnerabilidades a medida que las descubrimos y evaluamos en las continuas pruebas de seguridad. Además de proporcionarte muchos detalles sobre cada hallazgo, incluimos pruebas tangibles de las explotaciones de vulnerabilidades llevadas a cabo por nuestro red team y recomendaciones para su tratamiento. Asimismo, desde la plataforma, puedes asignar actividades de remediación a los miembros de tu equipo. Después de que apliquen las medidas correctivas necesarias (para las que nuestros expertos pueden asesorarles), puedes pedirnos tantas veces como quieras que reevaluemos o volvamos a atacar las vulnerabilidades para verificar que se cerraron efectivamente.

Utilizando nuestra plataforma, puedes elegir políticas específicas de tratamiento de vulnerabilidades, determinar qué requisitos de seguridad cumplir (que cubren más de 60 estándares de seguridad) y asegurar su cumplimiento. Adicionalmente, puedes hacer un seguimiento de los tiempos de remediación de vulnerabilidades y de los cambios en la exposición al riesgo dentro de tu organización. Por supuesto, puedes personalizar los informes y descargarlos en diferentes formatos. Puedes disfrutar de esto y mucho más dentro de un servicio que, desde una perspectiva preventiva, busca ayudarte a mejorar continuamente la seguridad de tu organización. Estando un paso por delante de los ciberdelincuentes, tu organización puede evitar ser víctima de ciberataques y ver seriamente afectados sus activos, operaciones e incluso su reputación.

¿Te interesa nuestro servicio? No dudes en contactarnos.