Para ofrecer las mejores experiencias, utilizamos tecnologías como las cookies para almacenar y/o acceder a la información del dispositivo. El consentimiento de estas tecnologías nos permitirá procesar datos como el comportamiento de navegación o las identificaciones únicas en este sitio. No consentir o retirar el consentimiento, puede afectar negativamente a ciertas características y funciones.
El almacenamiento o acceso técnico es estrictamente necesario para el propósito legítimo de permitir el uso de un servicio específico explícitamente solicitado por el abonado o usuario, o con el único propósito de llevar a cabo la transmisión de una comunicación a través de una red de comunicaciones electrónicas.
El almacenamiento o acceso técnico es necesario para la finalidad legítima de almacenar preferencias no solicitadas por el abonado o usuario.
El almacenamiento o acceso técnico que es utilizado exclusivamente con fines estadísticos. El almacenamiento o acceso técnico que se utiliza exclusivamente con fines estadísticos anónimos. Sin un requerimiento, el cumplimiento voluntario por parte de tu proveedor de servicios de Internet, o los registros adicionales de un tercero, la información almacenada o recuperada sólo para este propósito no se puede utilizar para identificarte.
El almacenamiento o acceso técnico es necesario para crear perfiles de usuario para enviar publicidad, o para rastrear al usuario en una web o en varias web con fines de marketing similares.
Gestión de vulnerabilidades: por qué actualizar no es suficiente
Actualmente, la infraestructura tecnológica de una empresa está formada por múltiples sistemas y servicios: equipos de trabajo, servidores, aplicaciones, dispositivos de red, páginas web, entornos cloud o soluciones de terceros. Cada uno de ellos puede convertirse en un punto de exposición si presenta una vulnerabilidad, pero no todas las vulnerabilidades implican el mismo nivel de riesgo ni requieren la misma urgencia de actuación.
Por este motivo, proteger una organización no consiste únicamente en aplicar actualizaciones cuando están disponibles. Es necesario contar con una visión global del entorno, conocer qué activos pueden estar expuestos, identificar las vulnerabilidades que les afectan y establecer prioridades en función de su criticidad y del impacto que podrían tener sobre el negocio.
Además, el proceso no termina cuando se aplica una corrección. También es necesario comprobar que la medida adoptada ha sido efectiva y que el riesgo se ha reducido realmente.
Ese enfoque continuo de identificación, análisis, priorización, corrección y verificación es la base de una correcta gestión de vulnerabilidades.
¿Qué es una vulnerabilidad?
Una vulnerabilidad es una debilidad presente en un sistema, aplicación, dispositivo o configuración que puede ser aprovechada para comprometer su seguridad.
Puede aparecer, por ejemplo, por:
La existencia de una vulnerabilidad no implica necesariamente que ya se haya producido un ciberataque. Significa que existe una debilidad susceptible de ser aprovechada si se dan determinadas condiciones.
El problema aparece cuando esa debilidad permanece sin detectar o sin corregir durante demasiado tiempo.
INCIBE define la gestión de vulnerabilidades como un proceso orientado a identificar, analizar y gestionar las vulnerabilidades existentes en los activos de una organización, incluyendo la identificación proactiva y la gestión de su exposición.
Actualizar es importante, pero no es suficiente
Instalar parches de seguridad es una parte fundamental del proceso.
NIST considera la gestión de parches empresariales como un proceso que incluye identificar, priorizar, adquirir, instalar y verificar actualizaciones, parches y mejoras en los sistemas de una organización.
La palabra clave aquí es proceso.
No basta con activar las actualizaciones automáticas y asumir que todos los riesgos quedan solucionados.
Puede ocurrir que una empresa tenga sistemas actualizados y, aún así:
Por eso debemos diferenciar entre gestionar actualizaciones y gestionar vulnerabilidades.
La primera forma parte de la segunda, pero no la sustituye.
¿Cómo se gestionan correctamente las vulnerabilidades?
Una buena gestión de vulnerabilidades debe funcionar como un ciclo continuo.
No consiste en realizar un análisis una vez al año, obtener un informe con cientos de resultados y archivarlo hasta la siguiente revisión.
El objetivo es mantener una visión actualizada del nivel de exposición de la organización y actuar en función del riesgo.
1. Saber qué hay que proteger
No se puede proteger aquello que no se conoce.
El primer paso es disponer de un inventario actualizado de los activos tecnológicos de la organización:
Este inventario permite responder a una pregunta aparentemente sencilla:
¿Qué sistemas podrían estar afectados cuando se publica una nueva vulnerabilidad?
Sin esta información, incluso una alerta crítica puede pasar desapercibida simplemente porque la organización no sabe que utiliza el producto afectado.
2. Detectar las vulnerabilidades
El siguiente paso consiste en identificar posibles debilidades.
Para ello pueden utilizarse herramientas de análisis de vulnerabilidades capaces de revisar sistemas, servicios y configuraciones en busca de problemas conocidos.
Estas revisiones deben complementarse con otras fuentes de información, como avisos de fabricantes, CERT, proveedores tecnológicos y organismos especializados.
Dependiendo del nivel de profundidad necesario, un análisis de vulnerabilidades puede complementarse con un pentesting, que permite comprobar de forma controlada hasta qué punto determinadas debilidades podrían ser explotadas.
Los análisis permiten detectar situaciones como:
INCIBE señala precisamente que el análisis de vulnerabilidades conocidas permite detectar debilidades y carencias que pueden utilizarse para reforzar la seguridad de los sistemas.
Pero detectar una vulnerabilidad es únicamente el principio.
3. Priorizar: no todas las vulnerabilidades tienen el mismo riesgo
Uno de los errores más habituales consiste en gestionar las vulnerabilidades únicamente en función de su nivel de severidad.
Una vulnerabilidad crítica merece atención, pero su puntuación técnica no debería ser el único criterio para decidir qué corregir primero.
Hay que incorporar el contexto de la empresa.
Por ejemplo, conviene valorar:
Imaginemos dos vulnerabilidades.
La primera tiene una severidad crítica, pero afecta a un equipo aislado utilizado únicamente para pruebas.
La segunda tiene una severidad algo inferior, pero afecta al servicio VPN utilizado para acceder remotamente a la infraestructura corporativa y existe evidencia de que está siendo explotada por atacantes.
Desde el punto de vista empresarial, la segunda puede exigir una actuación mucho más urgente.
4. Corregir o mitigar el riesgo
Una vez establecidas las prioridades llega la fase de remediación.
La solución más evidente suele ser instalar el parche proporcionado por el fabricante, pero no siempre es posible hacerlo inmediatamente.
Determinados sistemas pueden ser críticos para la actividad de la empresa y requerir pruebas previas o una ventana de mantenimiento antes de aplicar una actualización.
Además, algunas vulnerabilidades todavía no disponen de una corrección oficial cuando son descubiertas.
En estos casos pueden adoptarse medidas temporales para reducir la exposición, por ejemplo:
La cuestión importante es que una vulnerabilidad identificada no quede simplemente pendiente sin una decisión documentada sobre cómo gestionar su riesgo.
5. Comprobar que la vulnerabilidad realmente se ha solucionado
Instalar una actualización no debería cerrar automáticamente el proceso.
Después de aplicar una corrección hay que verificar su efectividad.
Puede ocurrir que:
Por ello, la gestión de vulnerabilidades debe incorporar una fase de verificación posterior.
Esta revisión permite confirmar que la vulnerabilidad ha desaparecido o que el riesgo residual se encuentra dentro de los niveles aceptados por la organización.
6. Volver a empezar
Aquí está una de las principales diferencias entre una auditoría de ciberseguridad puntual y un verdadero programa de gestión de vulnerabilidades.
El entorno cambia constantemente.
Aparecen nuevas vulnerabilidades, se instalan aplicaciones, se sustituyen equipos, se incorporan proveedores, se publican nuevos parches y algunos sistemas dejan de recibir soporte.
Por eso, la gestión de vulnerabilidades debe ser continua.
El ciclo debería repetirse de forma periódica:
Inventariar → detectar → analizar → priorizar → corregir → verificar → monitorizar.
Cinco errores habituales en la gestión de vulnerabilidades
Incluso organizaciones que realizan análisis periódicos pueden cometer errores que reducen considerablemente su efectividad.
1. Pensar que actualizar Windows es suficiente
Los sistemas operativos son solo una parte de la infraestructura. Navegadores, aplicaciones, servidores, firewalls, VPN, CMS, plugins y software de terceros también deben formar parte del proceso.
2. Corregir únicamente las vulnerabilidades críticas
La severidad es importante, pero debe analizarse junto con el contexto del activo y su exposición.
3. Realizar análisis pero no hacer seguimiento
Un informe de vulnerabilidades aporta poco valor si no existen responsables, prioridades y fechas para su resolución.
4. Olvidar los sistemas expuestos a Internet
Una vulnerabilidad en un servicio públicamente accesible puede presentar un riesgo muy diferente a la misma vulnerabilidad en un sistema completamente aislado.
5. No verificar después de corregir
El proceso no termina al instalar el parche. Hay que comprobar que la vulnerabilidad ya no está presente.
De una lista de vulnerabilidades a una estrategia de seguridad
Una empresa puede detectar cientos o incluso miles de vulnerabilidades.
El objetivo no debería ser simplemente conseguir que un informe muestre el menor número posible.
La finalidad real es reducir la superficie de ataque y concentrar los recursos en aquellas debilidades que presentan un mayor riesgo para la organización.
Para conseguirlo se necesita combinar herramientas tecnológicas con procedimientos claros:
Cuando este proceso funciona correctamente, la organización deja de reaccionar únicamente cuando aparece una vulnerabilidad crítica y pasa a gestionar el riesgo de una forma estructurada.
La gestión de vulnerabilidades es prevención
Muchos ciberataques no necesitan descubrir técnicas completamente nuevas. En numerosas ocasiones basta con localizar sistemas vulnerables, servicios expuestos o software que todavía no ha sido actualizado.
Por eso, gestionar las vulnerabilidades debe entenderse como una actividad preventiva y continua.
Actualizar sigue siendo imprescindible, pero la verdadera pregunta no es únicamente si los sistemas están actualizados.
Las preguntas que una organización debería poder responder son otras:
¿Sabemos qué activos tenemos?
¿Conocemos nuestras vulnerabilidades?
¿Sabemos cuáles representan un mayor riesgo?
¿Tenemos un proceso para corregirlas y verificar que realmente han desaparecido?
Si la respuesta a alguna de ellas no está clara, probablemente todavía exista margen para mejorar la gestión de vulnerabilidades.
En Dolbuck ayudamos a las organizaciones a identificar y analizar vulnerabilidades, priorizar los riesgos detectados y establecer medidas de corrección y seguimiento adaptadas a su infraestructura.
Una vulnerabilidad conocida y gestionada es un riesgo que podemos controlar. Una vulnerabilidad desconocida sigue siendo una puerta abierta.
Si necesitas más información ponte en contacto con nosotros a través de [email protected] o llamando al 900 52 52 45.
Síguenos en Facebook, Twitter, Linkedin e Instagram. Únete a nuestra comunidad y recibe gratis consejos, recomendaciones y las últimas noticias del sector.
Artículos recientes
Categorias