¿Qué es la evaluación de vulnerabilidad? {Guía de prueba de vulnerabilidades}

Los ciberdelincuentes suelen atacar a las empresas a través de vulnerabilidades que el personal de seguridad no pudo descubrir ni solucionar a tiempo. Si bien suelen ser pequeñas y fáciles de pasar por alto, estas debilidades ofrecen una puerta trasera que permite a un pirata informático pasar desapercibido y provocar una vulneración costosa.

Este artículo es una introducción a las evaluaciones de vulnerabilidad, una de las técnicas más efectivas y asequibles para descubrir fallas en el sistema. Continúe leyendo para saber cómo una evaluación de vulnerabilidades ayuda a detectar fallos del sistema, evaluar riesgos y mejorar la ciberseguridad general.

¿Qué es una evaluación de vulnerabilidad?

Una evaluación de vulnerabilidad es una revisión sistemática de un sistema de TI que descubre, clasifica y prioriza fallas de seguridad. Este tipo de análisis tiene tres objetivos:

• Evalúe el sistema en busca de fallas explotables.
• Asigne un nivel de riesgo a cada vulnerabilidad.
• Recomendar acciones para evitar que los piratas informáticos aprovechen las debilidades.

Otros nombres comunes para una evaluación de vulnerabilidad son análisis de vulnerabilidad y prueba de vulnerabilidad.

El objetivo principal de esta prueba es descubrir errores explotables y puntos débiles antes de que los piratas informáticos accedan al sistema. Como tal, se considera un componente central de un sistema férreo de gestión de riesgos de seguridad de la información. La mayoría de las fallas son errores de código, defectos en la arquitectura del software y errores en los procedimientos de seguridad. Ejemplos de vulnerabilidades comunes son:

• Malas configuraciones del sistema.
• Una debilidad de la base de datos que permite inyecciones SQL.
• Falta de comportamiento cuidadoso del personal.
• Errores de incumplimiento de políticas.
• Datos no cifrados que se mueven a través de redes.
• Un error en el software o las interfaces de programación.
• Un programa de puerta trasera malicioso que permite a los piratas informáticos gestionar un ataque APT o configurar ransomware.
• Ejecuciones automáticas de scripts sin comprobaciones de virus ni malware.
• Una falla en los privilegios de la cuenta.
• Un mecanismo de autenticación explotable.
• Sistemas operativos y aplicaciones sin parches.
• Contraseñas débiles.
• Explotaciones de día cero.

Tanto las empresas como las PYMES pueden beneficiarse de una prueba de vulnerabilidad. Las empresas suelen realizar evaluaciones anualmente o cada vez que el equipo realiza un cambio significativo, como por ejemplo:

• Añadiendo nuevos servicios.
• Abriendo nuevos puertos.
• Instalación de un nuevo equipo.
• Apertura de una oficina en una nueva ubicación.
• Pasando a la nube.

Una empresa que desee organizar una prueba de vulnerabilidad tiene dos opciones: hacer que el personal interno realice la prueba o contratar a un tercero para que evalúe el sistema. Si bien optar por el equipo interno es la opción más económica, los mejores resultados provienen de evaluadores que no están familiarizados con el sistema en cuestión y sus protocolos.

Tipos de evaluaciones de vulnerabilidad

Las empresas dependen de diferentes tipos de pruebas de vulnerabilidad para descubrir defectos del sistema. Dependiendo del área de la infraestructura bajo revisión, existen tres tipos de pruebas:

• Escaneos externos: Inspección de componentes que miran directamente a Internet y están disponibles para usuarios externos (puertos, redes, sitios web, aplicaciones, etc.).
• Escaneos internos: examen de redes y sistemas internos accesibles solo para los empleados.
• Análisis ambientales: estas pruebas se centran en tecnologías operativas específicas, como implementaciones en la nube, IoT o dispositivos móviles.

A continuación se muestran los cuatro tipos más comunes de evaluaciones de vulnerabilidad.

Evaluaciones de red

Los análisis de evaluación de la red identifican posibles amenazas a la seguridad de la red. Los evaluadores inspeccionan concentradores, conmutadores, enrutadores, clústeres y servidores para garantizar que los recursos accesibles a la red estén a salvo de actores maliciosos.

Una prueba de red es el tipo más común de escaneo de vulnerabilidades. Este escaneo garantiza la seguridad de las redes, los canales de comunicación y todos los equipos de red.

Una evaluación de la red también detecta vulnerabilidades en las redes inalámbricas. Estos análisis suelen centrarse en posibles puntos de ataque, errores de configuración y configuraciones deficientes del firewall.

Evaluación del anfitrión

Este análisis localiza y clasifica vulnerabilidades en estaciones de trabajo, portátiles y otros hosts. Los escaneos del host examinan:

• Configuraciones de host.
• Directorios de usuarios.
• Sistemas de archivos.
• Configuraciones de memoria.

Una evaluación del host garantiza que una mala configuración dentro de un punto final no permita que un atacante traspase el perímetro y viole el sistema.

Escaneos de aplicaciones

Los análisis de aplicaciones detectan fallas de software y configuraciones incorrectas de las aplicaciones web y su código fuente. Hay dos formas comunes de análisis de aplicaciones:

• Prueba dinámica de seguridad de aplicaciones (DAST): esta técnica de prueba ejecuta una aplicación y detecta defectos en tiempo real.
• Prueba de seguridad de aplicaciones estáticas (SAST): este análisis identifica fallas en la aplicación sin ejecutar el programa.

Los dos métodos prueban las aplicaciones de manera diferente y son más efectivos en diferentes fases del ciclo de vida de desarrollo de software (SDLC). Por ejemplo, SAST descubre fallas como secuencias de comandos entre sitios (XSS) anteriormente en el SDLC, mientras que DAST es más útil cuando una aplicación entra en producción.

Escaneos de bases de datos

Los análisis de bases de datos identifican posibles vulnerabilidades en una base de datos. Estas pruebas descubren configuraciones erróneas, bases de datos no autorizadas y entornos de desarrollo y pruebas inseguros. Los análisis de bases de datos son vitales para prevenir inyecciones de SQL.

¿Cómo realizar una evaluación de vulnerabilidad?

Una prueba de vulnerabilidad típica consta de cinco pasos durante los cuales el equipo inspecciona el sistema, evalúa los riesgos y sugiere mejoras.

Paso 1: preparación inicial

Este paso es la etapa de planificación. El equipo decide el alcance y el objetivo de la próxima prueba. Una vez que el plan está listo, los evaluadores examinan el hardware y el software en el entorno de prueba. El equipo realiza las siguientes tareas:

• Identifique todos los activos en cuestión y dispositivos críticos.
• Definir el valor, los controles de acceso y las capacidades de todos los sistemas en cuestión.
• Establezca dónde residen los datos confidenciales y cómo se mueven entre sistemas.
• Registre todos los servicios, procesos y puertos abiertos de los dispositivos en cuestión.
• Asigne todos los puntos finales.
• Inspeccionar los sistemas operativos (OS).
• Conozca las prácticas y políticas de mitigación de riesgos para cada entorno.

La información de este paso ayuda al equipo a idear escenarios de ataque y a crear una estrategia de remediación sólida. El equipo de pruebas suele elaborar un documento central para estructurar el proceso durante este paso.

Paso 2: Prueba de evaluación de vulnerabilidad

El equipo comienza a ejecutar escaneos en los dispositivos y entornos en cuestión. Los analistas utilizan herramientas tanto automatizadas como manuales para probar el estado de seguridad de los sistemas. Los equipos también dependen de los siguientes recursos para una identificación precisa de fallas:

• Bases de datos de vulnerabilidad.
• Anuncios de vulnerabilidad del proveedor.
• Sistemas de gestión de activos.
• Inteligencia de amenazas.
• Auditorías de seguridad de la red.

Los evaluadores deben identificar la causa raíz de cada vulnerabilidad que descubren. Determinar la causa raíz de la falla permite a los evaluadores comprender el alcance de la vulnerabilidad y el mejor método para solucionar el problema.

Dependiendo del tamaño del sistema de destino y del tipo de análisis, una sola prueba puede tardar entre un minuto y unas pocas horas.

Paso 3: priorizar las fallas del sistema

El equipo prioriza los defectos según el nivel de amenaza. La mayoría de los evaluadores determinan el riesgo asignando una puntuación de gravedad. Algunos factores que impactan la puntuación son:

• Las consecuencias de un posible ataque.
• Qué fácil es explotar la debilidad.
• La edad del problema.
• Si el defecto es un problema común o una rareza.
• El espacio para el movimiento lateral.
• Las funciones empresariales y los datos sensibles están en riesgo.
• Disponibilidad de parches.
• Si la culpa es de conocimiento público.

El equipo también debe asegurarse de filtrar los falsos positivos durante este paso. Se produce un falso positivo cuando una herramienta de análisis señala incorrectamente un defecto de seguridad, lo que genera trabajos de reparación innecesarios.

Paso 4: crear un informe de evaluación de vulnerabilidades

Los evaluadores compilan un informe de análisis que describe las fallas descubiertas e indica cómo solucionar los problemas. Si bien los problemas menores no requieren una explicación detallada, un evaluador debe proporcionar la siguiente información para cada debilidad de riesgo medio a alto:

• El nombre de la vulnerabilidad.
• La fecha del descubrimiento.
• El método mediante el cual el equipo descubrió la amenaza.
• Una descripción detallada del defecto.
• Detalles sobre los sistemas afectados.
• El daño potencial que un atacante puede causar al explotar el defecto.
• Instrucciones sobre cómo corregir la vulnerabilidad.

Cuantificar la amenaza da una idea clara del nivel de urgencia detrás de cada falla. Si es posible, el equipo también debería proporcionar una prueba de concepto (PoC) para cada vulnerabilidad significativa.

Paso 5: implementar cambios según el informe

La empresa utiliza la información del informe para cerrar las brechas de seguridad dentro de los sistemas de TI. La implementación de cambios suele ser un esfuerzo conjunto entre el personal de seguridad, los equipos de desarrollo y operaciones.

La clasificación de riesgos permite a la empresa priorizar el proceso de remediación y manejar primero las amenazas urgentes. Ignorar las fallas de bajo riesgo también es común, ya que algunas amenazas tienen tan poco impacto que repararlas no vale el costo ni el tiempo de inactividad necesario.

Las acciones de remediación más comunes son:

• Introducción de nuevos procedimientos y medidas.
• Instalación de nuevas herramientas de seguridad.
• Actualizaciones de software.
• Parches personalizados.
• Adición de seguridad de confianza cero.
• Cambios operativos y de configuración.
• Segmentación de la red.
• Actualizaciones de cortafuegos.
• Mejoras en la cadena de ciberataque.

Dependiendo del acuerdo, el equipo contratado que realizó la prueba de vulnerabilidad puede participar en este paso.

Si el equipo realiza cambios significativos en el sistema, es muy recomendable realizar una prueba posterior. Si el equipo solo agrega actualizaciones menores, la próxima ronda regular de pruebas puede evaluar el estado mejorado del sistema.

Herramientas de evaluación de vulnerabilidades

Una evaluación de vulnerabilidad implica el uso de técnicas de prueba tanto manuales como automatizadas. Los tipos comunes de herramientas incluyen:

• Escáneres de aplicaciones web que simulan diferentes patrones de ataque para probar las ciberdefensas.
• Escáneres de protocolos que buscan procesos, puertos y servicios inseguros.
• Escáneres de red que descubren fallas como direcciones IP perdidas, generación de paquetes sospechosos y paquetes falsificados.

¿Por qué es importante la evaluación de vulnerabilidades?

Los análisis de vulnerabilidades permiten a una empresa garantizar una estrategia coherente e integral para identificar y resolver las amenazas cibernéticas. Los controles de seguridad exhaustivos y periódicos ofrecen importantes beneficios a una empresa, entre ellos:

• Descubrimiento temprano de las debilidades de TI.
• Protección de datos y activos sensibles.
• Garanticé el cumplimiento de regulaciones como HIPPA, PCI y GDPR.
• Prevención de accesos no autorizados.
• Planificación empresarial precisa que permite inversiones cuidadosas en seguridad.

Las evaluaciones reducen la probabilidad de que se produzcan filtraciones de datos exitosas y son vitales para protegerse contra los principales tipos de ciberataques.

Evaluaciones de vulnerabilidad frente a pruebas de penetración

Tanto el análisis de vulnerabilidad como las pruebas de penetración detectan debilidades dentro de un sistema de TI y mejoran el nivel de seguridad general. Una prueba de penetración también suele incluir un análisis de vulnerabilidades de forma predeterminada.

Sin embargo, existe una diferencia entre los dos procesos de prueba. Mientras que un análisis de vulnerabilidades intenta detectar y mitigar fallas del sistema, una prueba de penetración implica intentos reales de explotar las debilidades. Los pentesters (o hackers éticos) intentan activamente entrar en un sistema simulando un ciberataque real en un entorno controlado. El objetivo es demostrar que:

• Un sistema tiene un punto débil explotable.
• Un atacante puede utilizar la vulnerabilidad para dañar el sistema.

Los análisis de vulnerabilidades también pueden incluir pruebas de penetración a pequeña escala. Los analistas utilizan herramientas de pruebas de penetración para detectar fallas específicas invisibles para los análisis estándar de red o sistema.

¿Evaluación de vulnerabilidad versus evaluación de riesgos?

Una evaluación de vulnerabilidad descubre, cuantifica y prioriza las debilidades en un entorno de TI. Por el contrario, una evaluación de riesgos evalúa la probabilidad de que ciertas fallas y actores de amenazas provoquen una exposición o pérdida de datos.

Un análisis de vulnerabilidades tiene un alcance mayor que una evaluación de riesgos. Un análisis completo no sólo evalúa la probabilidad de una infracción, sino que también aborda las posibles consecuencias y estrategias para evitar futuros incidentes.

Garantizar una alta resiliencia del sistema

Las pruebas de vulnerabilidad son una parte esencial de cualquier estrategia sólida de seguridad de TI. Programe análisis periódicos de todos los sistemas críticos para minimizar el riesgo de costosas infracciones y garantizar un crecimiento empresarial ininterrumpido.

Considere también migrar cargas de trabajo confidenciales a la plataforma en la nube más segura para estar tranquilo. Data Security Cloud es una plataforma de infraestructura en la nube alojada de forma segura y multiinquilino creada en colaboración con Intel^® y VMware^®.