Diciembre de 2021 fue una época terrible en el mundo de la ciberseguridad. Se descubrió una vulnerabilidad de seguridad en un componente de software ampliamente utilizado por miles de grandes empresas y departamentos gubernamentales. Los medios lo denominaron “la pesadilla antes de Navidad” y los expertos en seguridad lo llamaron el defecto más grave que jamás hayan visto.
¿Cómo puede proteger su organización de una pesadilla así? En esta guía, aprenderá sobre las vulnerabilidades de seguridad, el proceso del ciclo de vida de gestión de vulnerabilidades para gestionarlas sistemáticamente y detalles prácticos para cada etapa de ese proceso.
¿Qué es una vulnerabilidad de seguridad?
Una vulnerabilidad es una debilidad de seguridad en uno de sus activos de tecnología de la información (TI) que los piratas informáticos pueden explotar. Puede resultar en una denegación de servicio u otro tipo de ciberataque, inyección de malware en sus activos, una filtración de datos que robe sus valiosos datos comerciales o un ataque de ransomware.
La gestión de vulnerabilidades es el proceso de detectar de forma sistemática y continua estas debilidades de seguridad en sus activos. Se instituye un programa de gestión de vulnerabilidades para gestionar las vulnerabilidades de forma sistemática. Exploraremos cómo funciona a continuación.
El ciclo de vida de la gestión de vulnerabilidades
Los nuevos clientes o los nuevos proyectos requieren la adición de activos, y los nuevos activos traen consigo nuevas vulnerabilidades. Además, los investigadores de seguridad de todo el mundo descubren continuamente debilidades de seguridad en software y hardware populares.
Entonces, necesariamente, el proceso de gestión de vulnerabilidades es un ciclo continuo de detección, corrección y verificación. Este proceso continuo se denomina ciclo de vida de gestión de vulnerabilidades. Consta de seis etapas que te explicamos detalladamente a continuación.
Etapa 1: Descubrimiento de Activos
Necesita conocer todos los activos de TI que afectan la ciberseguridad de su empresa antes de poder escanearlos en busca de vulnerabilidades. En esta etapa se crea un inventario de todos sus activos relevantes para la seguridad. El objetivo es comprender el estado de su seguridad informática y su superficie de ataque, es decir, todos los objetivos potenciales de los ciberataques.
Ejemplos de activos
Algunos activos son físicos y otros son virtuales; algunos se gestionan individualmente, mientras que otros se gestionan en grupo. Exploremos algunos activos críticos que deberían formar parte de su plan de ciclo de vida de gestión de vulnerabilidades.
1. Infraestructura informática Infraestructura informática
se refiere a los activos físicos y virtuales que proporcionan los recursos para ejecutar cualquier software. Incluye servidores web, hipervisores, máquinas virtuales, contenedores, sistemas operativos y software de servidor.
2. Infraestructura de red
La infraestructura de red proporciona redes de área local y amplia para su negocio. Incluye hardware (como enrutadores de red y puntos de acceso inalámbrico) y software como redes privadas virtuales, firewalls y servidores proxy.
También incluye componentes menos visibles pero aún vulnerables, como sus cuentas con registradores de dominios, entradas del sistema de nombres de dominio y certificados de seguridad de sitios web.
3. Aplicaciones web y de software como servicio (SaaS)
Todas sus aplicaciones web, suscripciones SaaS y sus datos son activos. Las aplicaciones orientadas al público y al cliente reciben especial atención, ya que enfrentan más amenazas que las aplicaciones internas. Las aplicaciones SaaS y los servicios en la nube a menudo proporcionan interfaces de programación de aplicaciones (API) de inspección para informar sobre los activos almacenados en ellos.
4. Bases de datos y datos
Cada servidor de base de datos y cada base de datos que aloja son activos. A veces, algunos de sus activos más importantes se pueden encontrar en una de estas bases de datos. Por ejemplo, una tabla de base de datos particular que contenga detalles del cliente puede ser el activo de datos más valioso de su negocio. En una tabla que contiene datos de varios proveedores (datos de múltiples inquilinos), las filas asociadas con un proveedor particularmente valioso se pueden tratar como un activo separado.
5. Otros activos
Los activos adicionales relevantes para la seguridad incluyen dispositivos terminales (como estaciones de trabajo, computadoras portátiles y teléfonos inteligentes para empleados) y llaves de seguridad de hardware.
Métodos de descubrimiento
Un desafío importante en el descubrimiento de activos es que su colección de activos es muy dinámica. Crece y se encoge todo el tiempo. Ésa es una de las razones por las que se le llama ciclo de vida de gestión de vulnerabilidades y no proceso único.
¿Cómo se detectan activos nuevos, modificados o faltantes que sean relevantes para la seguridad? Para ello, utilice su inventario de TI como base y detecte cambios en él utilizando las siguientes herramientas y técnicas:
- Agentes: Los agentes son componentes de software que se implementan en activos para informar activos locales como paquetes de software instalados, servicios de red activos o aplicaciones en ejecución.
- Sin agente: El descubrimiento sin agentes implica la detección de activos sin implementar agentes mediante el uso de acceso remoto a la red, acceso remoto a la base de datos, API de SaaS, o protocolo simple de monitoreo de red.
- Monitoreo del tráfico de red: El tráfico de la red se monitorea de forma centralizada para detectar servicios de red y puntos finales API, pero solo puede encontrar aquellos activos que utilizan la red.
- inventario manual: cada departamento de su empresa puede refinar manualmente la lista de inventario ocasionalmente para incluir activos menos tangibles. Por ejemplo, un documento de proceso puede ser el activo más valioso de un departamento en particular. Lo ideal es que todos los activos agregados manualmente se agreguen al descubrimiento automatizado del siguiente ciclo.
Desafíos de seguridad durante el descubrimiento
El descubrimiento de activos puede enfrentar los siguientes desafíos:
- Credenciales revocadas o modificadas: La mayoría de los activos requieren algunas credenciales (contraseñas o claves de seguridad) para permitir el acceso. Las credenciales revocadas o los permisos de acceso modificados pueden impedir que se ejecuten las herramientas de descubrimiento de activos. Evite esto utilizando un servicio de gestión de acceso e identidad común que utilicen todos los servicios.
- Riesgo de comprometer activos durante el proceso de descubrimiento: Dados sus altos niveles de acceso a todos sus activos, el proceso de descubrimiento de activos en sí puede convertirse en un objetivo de ciberataques. El Ataque de vientos solares de 2020 comprometió un servicio de gestión de red ampliamente utilizado para inyectar vulnerabilidades en las redes de todos sus clientes.
Etapa 2: Priorización de activos
No todos los activos garantizan altos niveles de protección. Es posible que una aplicación interna (una aplicación que solo utilizan sus empleados a través de una red interna segura) no requiera tanta atención como una aplicación orientada al cliente. En esta etapa, usted prioriza sus activos, dadas sus limitaciones de presupuesto, tiempo y recursos.
El objetivo es identificar los activos que son críticos para sus operaciones comerciales a través de estos pasos:
- Evalúe sus operaciones comerciales: Utilice métricas comerciales como los ingresos recurrentes mensuales y el volumen de transacciones de los clientes para estimar los costos del daño a la reputación y las responsabilidades legales en caso de un ciberataque. A marco de gestión de riesgos cibernéticos puede ayudarte a guiarte.
- Identificar activos críticos: Los activos críticos mantienen sus operaciones comerciales críticas en funcionamiento.
- Asignar un valor de negocio a cada activo crítico: determine las métricas y los costos de todos sus activos para ayudarlo a juzgar la importancia de cada uno.
De esta manera, puede priorizar los activos desde una perspectiva de seguridad.
Etapa 3: Evaluación de vulnerabilidad
La evaluación de vulnerabilidades es la etapa más importante en el ciclo de vida de la gestión de vulnerabilidades. Los escáneres de vulnerabilidad se utilizan para detectar y crear perfiles de riesgo para cada activo.
Herramientas de escaneo de vulnerabilidades
Existe una amplia variedad de escáneres de vulnerabilidad que cubren todas las clases de activos. La profundidad y precisión del escaneo varían según la prioridad de un activo. Los activos de alta criticidad se someten a múltiples escáneres para eliminar hasta la última vulnerabilidad, por menor que sea.
Ejemplos de escáneres incluyen:
- Escáneres del sistema operativo: Detectan vulnerabilidades que pueden surgir de los permisos del sistema de archivos, la configuración del sistema operativo y los servicios del sistema.
- Escáneres de bases de datos: Se centran en la autenticación, el acceso, los permisos, la inyección de lenguaje de consulta estructurado (un ataque en el que los datos que se agregan a la base de datos son en realidad una consulta de base de datos maliciosa) y otras vulnerabilidades que se sabe que existen en el software y los servicios de bases de datos.
- Escáneres de aplicaciones web: Las aplicaciones web son propensas a sufrir una gran cantidad de vulnerabilidades, como entradas de solicitudes no validadas, falsificación de solicitudes entre sitios, secuencias de comandos entre sitios y muchas más. Dado un sitio web y credenciales de acceso, estos escáneres visitan cada página de sus aplicaciones web en busca de vulnerabilidades.
- Escáneres SaaS: Estos escáneres buscan configuraciones incorrectas, control de acceso inadecuado y vulnerabilidades específicas de funciones en su Suscripciones a SaaS y a la nube. Dado que cada SaaS tiene características y conceptos únicos, cada uno tiene su escáner especializado con reglas específicas.
- Escáneres generales: Software como Marco Metasploit y Suite de eructos Proporciona una variedad de módulos de escaneo predefinidos y scripts personalizados para cada clase de activo.
- Escáneres personalizados: Además de todo lo anterior, la mayoría de los equipos de seguridad escriben scripts personalizados para escanear sus aplicaciones y redes internas.
Bases de datos de vulnerabilidad
Todo el tiempo se descubren nuevas vulnerabilidades y nuevas técnicas para explotarlas. ¿Cómo funcionan estos escaneos? herramientas ¿Mantenga? Eso sucede gracias a bases de datos de vulnerabilidad global como la Vulnerabilidades y exposiciones comunes (CVE) catálogo. Los investigadores de seguridad utilizan CVE para compartir nuevas vulnerabilidades, técnicas de explotación y amenazas de ciberseguridad que descubren. Luego, las herramientas de escaneo se actualizan rápidamente para cubrir los nuevos hallazgos.
Validación de vulnerabilidad
La validación de las vulnerabilidades detectadas, especialmente en sus activos de mayor prioridad, es necesaria para medir la efectividad de su proceso y ver si algunos escáneres informan falsos positivos inútiles. Utilice herramientas y equipos de pruebas de penetración para esta validación. Durante una prueba de penetración, una herramienta o un equipo de expertos en seguridad intenta explotar deliberadamente las vulnerabilidades para probar sus defensas.
Etapa 4: Informes
Los resultados de la etapa de evaluación deben llegar a múltiples partes interesadas:
- ejecutivos y gerencia: Reciben resúmenes ejecutivos del estado general de seguridad de sus activos para planificar soluciones comerciales, organizativas y legales para cualquier problema de seguridad descubierto.
- Equipos de riesgo y cumplimiento: Reciben perfiles de riesgo de activos críticos para ayudar a cumplir con estándares como el Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS) y pautas como el Marco de ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST).
- Equipos de seguridad: Reciben los detalles técnicos de todas las vulnerabilidades para poder diseñar planes de seguridad para todos los activos.
- Equipos de operaciones e ingeniería.: Ellos también reciben los detalles técnicos para poder implementar cambios de software y configuración en los activos.
Lea nuestro artículo sobre evaluaciones de seguridad para obtener detalles sobre los informes de evaluación.
Descubra el poder de ThreatKey
¿Quiere profundizar en las ventajas de nuestra tecnología de sistema de registro? Lea más sobre cómo ThreatKey puede mejorar su estrategia de ciberseguridad. Obtenga más información sobre ThreatKey.
.svg)
