Contenidos
Debilidad de la seguridad
La gestión de las vulnerabilidades de seguridad es difícil no sólo porque las vulnerabilidades pueden ser difíciles de detectar, sino también porque hay muchos tipos diferentes de vulnerabilidades. Afortunadamente, existen herramientas y técnicas que pueden abordar los distintos tipos de vulnerabilidades que pueden acechar en cualquier capa de su pila tecnológica.
Como se explica con más detalle a continuación, estos errores o fallos pueden adoptar diversas formas. Una vulnerabilidad de seguridad podría ser un error de codificación dentro del código fuente de la aplicación que puede ser utilizado para lanzar un ataque de desbordamiento de búfer. Puede ser un descuido de los desarrolladores que olvidan validar correctamente las entradas en una aplicación, permitiendo así ataques de inyección. Puede tratarse de un error de configuración en una política de control de acceso o en una configuración de red que permita el acceso de personas ajenas a los recursos sensibles.
Es posible que escuche los términos “vulnerabilidad de seguridad”, “exploit”, “amenaza” y “brecha” usados muy cerca. Sin embargo, aunque estos términos están estrechamente relacionados, cada uno de ellos se refiere a diferentes partes de la cadena de eventos que pueden conducir a un incidente de seguridad:
Definición de vulnerabilidad
En este contexto, una debilidad se refiere a los defectos de implementación o a las implicaciones de seguridad debidas a las elecciones de diseño. Por ejemplo, ser capaz de sobrepasar los límites de un búfer mientras se escriben datos en él introduce una vulnerabilidad de desbordamiento de búfer. Ejemplos de vulnerabilidades notables son Heartbleed, Shellshock/Bash y POODLE.
Las vulnerabilidades de día cero son vulnerabilidades que no han sido divulgadas públicamente y se mantienen privadas. Existen varios repositorios públicos de vulnerabilidades que permiten a los interesados acceder fácilmente a la información relativa a las vulnerabilidades conocidas. Los repositorios de vulnerabilidades más destacados son CVE, NVD y OVAL. El CVE ha establecido un sistema de referencia para registrar las vulnerabilidades denominado identificador CVE (CVE-ID). Los CVE-ID suelen incluir una breve descripción de la vulnerabilidad de seguridad y, en ocasiones, avisos, medidas de mitigación e informes.
La gestión de la vulnerabilidad identifica, clasifica, evalúa y mitiga las vulnerabilidades. Los profesionales de la seguridad informática llevan a cabo el proceso de gestión de vulnerabilidades de forma organizada y oportuna siguiendo los pasos que se describen a continuación:
Ejemplos de vulnerabilidad en la configuración
Los identificadores comunes de CVE facilitan el intercambio de datos entre distintas bases de datos y herramientas de seguridad de la red, y proporcionan una línea de base para evaluar la cobertura de las herramientas de seguridad de una organización. Si un informe de una de sus herramientas de seguridad incorpora identificadores CVE, podrá acceder de forma rápida y precisa a la información de corrección en una o más bases de datos independientes compatibles con CVE para remediar el problema.
MITRE Corporation mantiene CVE y este sitio web público, gestiona el programa de compatibilidad, supervisa las autoridades de denominación de CVE y proporciona orientación técnica imparcial al Consejo Editorial de CVE durante todo el proceso para garantizar que CVE sirva al interés público.
Ejemplos de vulnerabilidad de la seguridad
Debilidad en un sistema de información, en los procedimientos de seguridad del sistema, en los controles internos o en la implementación que podría ser explotada o activada por una fuente de amenaza. Nota: El término debilidad es sinónimo de deficiencia. La debilidad puede dar lugar a riesgos para la seguridad y/o la privacidad.
Una exposición de seguridad en un sistema operativo u otro componente de software de sistema o de aplicación. Diversas organizaciones mantienen bases de datos de vulnerabilidades de acceso público basadas en los números de versión del software. Cada vulnerabilidad puede comprometer potencialmente el sistema o la red si se explota.
Debilidad en un sistema de información, en los procedimientos de seguridad del sistema, en los controles internos o en la implementación que podría ser explotada o activada por una fuente de amenaza. Nota: el término debilidad es sinónimo de defecto. La debilidad puede dar lugar a riesgos para la seguridad y/o la privacidad.
Una debilidad en los procedimientos de seguridad del sistema, en el hardware, en el diseño, en la implementación, en los controles internos, en los controles técnicos, en los controles físicos, o en otros controles que podrían ser activados accidentalmente o explotados intencionalmente y resultar en una violación de la política de seguridad del sistema.