Fundamentos de gestión de vulnerabilidades

La gestión de vulnerabilidades es una combinación de procesos y productos destinados a mantener un inventario de la infraestructura digital de una organización, buscar vulnerabilidades y remediar las debilidades identificadas. Es una práctica cíclica y el opuesto del conocido adagio de TI que dice: “Si no está roto, no lo arregles”. Este principio simplemente no funciona en la seguridad empresarial en estos días. Si los activos digitales no se monitorean y fortalecen continuamente, se convierten en frutas fáciles de alcanzar.

Un escáner no es suficiente

A diferencia de los escáneres de vulnerabilidades, el objetivo principal de la gestión de vulnerabilidades es endurecer la seguridad de la infraestructura y proporcionar una respuesta de emergencia a algunas amenazas superpeligrosas. Encontrar un agujero en un sistema es solo la mitad de la batalla, pero debe ser reparado para que los actores de la amenaza no puedan explotarlo como un punto de entrada. Los métodos de evaluación de vulnerabilidades y priorización de los problemas detectados en función de la infraestructura del cliente son igualmente importantes. Los escáneres no lo hacen.

La gestión de vulnerabilidades es, esencialmente, un complemento del proceso de escaneo que evalúa, prioriza y remedia las vulnerabilidades detectadas. Las necesidades de los clientes están cambiando, mientras que el objetivo principal solía ser descubrir una vulnerabilidad, ahora se trata de las formas de abordar el problema.

En cuanto a los modelos de licencia utilizados por los sistemas de gestión de vulnerabilidades, suelen basarse en la cantidad de direcciones IP protegidas. No importa dónde estén ubicadas ni cuántas instalaciones requiera el cliente. El costo de un escáner de vulnerabilidades, por otro lado, depende de la cantidad de instalaciones y parámetros de escaneo, como la cantidad de hosts.

Además, hay diferentes tipos de instalaciones, y algunos proveedores ofrecen el uso ilimitado de sus sistemas. La etiqueta de precio también puede verse influenciada por el conjunto de características, algunas de las cuales están disponibles como extras pagos.

Criterios para elegir un sistema de gestión de vulnerabilidades

Las características más importantes incluyen el tamaño de la organización, la cantidad de sus sucursales ubicadas en diferentes zonas horarias, así como la localización del producto, que es la capacidad de detectar vulnerabilidades específicas de la región y la industria.

Un factor interesante se relaciona con cómo bien los departamentos de InfoSec y TI de la empresa pueden negociar las características necesarias de la solución. Los especialistas en InfoSec suelen priorizar la detección de vulnerabilidades, mientras que los equipos de TI se centran principalmente en la implementación de parches. Por lo tanto, la superposición de estas dos áreas definirá los parámetros del sistema.

También es importante examinar la completitud y frecuencia de las actualizaciones, así como los sistemas operativos que el escáner admite. El sistema de gestión de vulnerabilidades ideal también debe adaptarse al contexto de la industria que representa la organización y las aplicaciones que está utilizando actualmente.

En la etapa de firma del contrato, el proveedor puede asegurar al cliente de su disposición a agregar nuevos productos y características en el futuro. Desafortunadamente, algunos proveedores no siempre cumplen con tales compromisos. Por lo tanto, es mejor centrarse en la funcionalidad disponible de la solución.

Una característica útil de cualquier sistema de gestión de vulnerabilidades es la capacidad de enriquecer su propia base de datos de vulnerabilidades con información de fuentes de terceros. También es genial si la solución puede proporcionar un ejemplo de una explotación que se aprovecha de una vulnerabilidad específica.

La mayoría de los clientes se enfrentan a un dilema clásico: utilizar un escáner gratuito o comprar una solución comercial desde el principio. Mantener una base de datos de vulnerabilidades actualizada es un proceso tedioso y costoso. Por lo tanto, en el caso de un producto gratuito, el equipo de desarrollo puede tener que priorizar otras áreas de su actividad en busca de fuentes de ingresos alternativas, lo que explica por qué estos escáneres tienen algunas limitaciones.

Herramientas bajo el paraguas de la gestión de vulnerabilidades

El conjunto de soluciones necesarias para organizar el proceso de gestión de vulnerabilidades dentro de una empresa puede incluir:

•       Diferentes instrumentos para recopilar información sobre vulnerabilidades, como escáneres, herramientas para procesar datos de fuentes de terceros y repositorios de información obtenidos de forma independiente por especialistas en InfoSec.
•       Herramientas de priorización de vulnerabilidades que definen las puntuaciones CVSS y evalúan el valor del activo potencialmente afectado por el error.
•       Herramientas para interactuar con bases de datos externas.
•       Sistemas que manejan una vulnerabilidad en el contexto de la organización, su infraestructura y la superficie de ataque global.

Gestión de activos y parches automáticos

El proceso de gestión de activos debe tener el máximo grado de automatización, cubrir toda la infraestructura de la organización y llevarse a cabo de forma regular. No es posible priorizar vulnerabilidades a menos que se cumplan estas condiciones. Además, no hay forma de controlar la infraestructura de TI de una organización sin saber exactamente de qué se compone. Por lo tanto, la gestión de activos es una parte muy importante de la gestión de vulnerabilidades.

El principal requisito previo para automatizar el proceso de gestión de parches es asignar un identificador específico a cada firma de vulnerabilidad y asegurarse de que la próxima actualización aborde ese problema. Este es un flujo de trabajo complejo con muchos obstáculos. Las consecuencias de saltarse una sola actualización pueden ser desastrosas, por lo que la implementación de parches debe ser lo más orquestada posible.

También es importante ajustar los parches automáticos a un área de aplicación específica. Para las estaciones de trabajo, es aceptable restringir las actualizaciones al sistema operativo y software básico, como navegadores y aplicaciones de oficina. En el caso de los servidores, las cosas son más complicadas porque hay mucho en juego, y una actualización defectuosa puede afectar la disponibilidad de recursos de TI críticos para el negocio.

Cuando se trata de monitorear la infraestructura empresarial, la mayoría de las empresas prefieren el escaneo sobre la instalación de agentes en los puntos finales, ya que a menudo se convierten en puntos de entrada de malware. Sin embargo, si el host no se puede alcanzar de ninguna otra manera, es necesario utilizar aplicaciones de recopilación de datos.

Como se mencionó anteriormente, la interacción sin problemas entre los departamentos de InfoSec y TI marca la diferencia. Los dos equipos deben acordar políticas que especifiquen quién es responsable de instalar actualizaciones para ciertos recursos y con qué frecuencia ocurrirá. Esencialmente, el proceso de gestión de vulnerabilidades debe reducirse a monitorear el cumplimiento de tales acuerdos e instalar parches urgentes.

¿Qué nos depara el futuro para los sistemas de gestión de vulnerabilidades?

En este punto, hay una tendencia clara hacia la automatización creciente del monitoreo de activos y la implementación de parches. A medida que las infraestructuras empresariales continúan migrando a la nube, es posible que el proceso de escaneo de vulnerabilidades se reduzca a verificar la configuración de seguridad de la nube. Otra dirección evolutiva se centra en mejorar los sistemas de evaluación de vulnerabilidades. Las herramientas de priorización de vulnerabilidades incluirán más datos, especialmente sobre las vulnerabilidades más “explotables”.

También hay una buena probabilidad de que estos sistemas cambien a una lógica de todo en uno en los próximos años, donde una sola solución proporcionará una gama completa de instrumentos de gestión de InfoSec. La aparición de una plataforma abarcadora que incluya gestión de vulnerabilidades, gestión de activos y capacidades de gestión de riesgos, junto con otras características de protección, es bastante probable. Tal vez habrá una consola de gestión de vulnerabilidades de un solo lugar para todos los elementos de la infraestructura digital, desde un servidor o una impresora hasta un contenedor en un host dedicado.