El reciente Reporte de Verizon de Investigación de Violaciones de Seguridad (2016) descubrió que las diez principales vulnerabilidades representaron el 85% del tráfico de amenazas exitosas, mientras que el 15% restante fue atribuido a más de 900 Vulnerabilidades y Exposiciones Comunes (CVEs).
De acuerdo con Ricardo Wolff, director General de BMC México, si el profesional de TI sigue una estrategia de prioridades y se enfoca solo a las diez principales, sin detectar efectivamente los riesgos CVE a su red y manejarlos, “puede dejar su red expuesta de manera crítica. La ironía es que la gran mayoría de estos CVE pueden ser resueltos fácilmente por un simple parche o a través de las mejores prácticas de código básico, asumiendo que ya ha identificado el riesgo”.
La industria en general está comenzando a reconocer las amenazas que se tienen enfrente y adoptar la mejor manera de protegerse, aunque no tan rápido como deberían. En una investigación reciente de Forbes y en la Encuesta de Seguridad de BMC, el 60% de los 300 encuestados de nivel ejecutivo, dijeron que el descubrimiento y remedio de las vulnerabilidades expandidas, era la iniciativa principal en 2016, mientras que solo el 30% destinaron más recursos en defenderse contra ataques de “Día Cero” como una iniciativa primaria.
“Ante tal panorama –apuntó Wolff- y para romper el hábito de alta-prioridad, en BMC proponemos cuatro principales mejores prácticas para asegurar un programa de gestión completa de vulnerabilidades, que ayudan a navegar exitosamente en el cada vez más denso, diverso y peligroso mundo de amenazas de ciberseguridad:
- Realice un scan temprano y continuo
Si sus datos del scan de vulnerabilidad, ya sea de un scan autentificado o no autentificado, no son completos ni actuales, cualquier intento de proteger la red está destinado al fracaso. No podrá identificar con exactitud las amenazas reales en su red o priorizar su reparación. Para aplicaciones que su organización esté desarrollando, asegúrese de escanear tan temprano como sea posible en el ciclo de vida del desarrollo de software (SDLC) para incrementar la seguridad general mientras se reducen los costos de reparación.
- Asegúrese de que los datos son consumibles y accionables
Contar con una simple lista de vulnerabilidades en una hoja de cálculo y luego enviarla a varios accionistas es casi garantía de que la gestión de vulnerabilidades va a fallar. Incluso asumiendo que cada nuevo reporte de scan sea abierto, es casi imposible usar ese documento para evaluar con exactitud los riesgos y coordinar con el equipo de operaciones la reparación de las vulnerabilidades de alto riesgo. Esencialmente, esto es como tener cientos de correos “urgentes” para responder antes del final del día y nos quedamos con el asunto de determinar qué es realmente crucial contra lo que puede esperar. ¿Cómo pueden las empresas decidir qué vulnerabilidades tienen prioridad cuando todo lo que plantea es un riesgo para la organización?
“Para mitigar esto último, los resultados del scan de vulnerabilidad necesitan estar en una forma que sea fácil de utilizar por los equipos de operaciones y seguridad. Deben incluir detalles como el nivel de severidad y la antigüedad de la vulnerabilidad. Además, la información también necesita ser fácil de entender. Esto requiere crear un proceso rápido y automatizado (y por lo tanto repetible) que conecte una vulnerabilidad de alto riesgo con su reparación”, añadió el directivo.
- Desarrolle el contexto
El contexto es clave cuando se trata de entender la naturaleza de un problema y tomar la decisión de respuesta más efectiva. Si alguien grita “¡Fuego!” usted necesita más información antes de determinar si debe correr hacia el fuego para ayudar o alejarse para protegerse, o si debe llamar al departamento de bomberos o tomar un extinguidor. ¿En dónde es el fuego? ¿Qué tan grande es? ¿Qué tan rápido se está esparciendo? ¿Alguien está en peligro o herido?
“Consideramos que el mismo criterio aplica para las vulnerabilidades, aún si conocemos el número de vulnerabilidades, su nivel de severidad y su antigüedad, el responder efectivamente todavía requiere respuestas a preguntas adicionales: ¿Qué activos pueden ser afectados? ¿En dónde están en mi red? ¿Hay un parche disponible? Si lo hay, ¿cuándo puede ser desplegado? Si no, ¿puede mitigarse el riesgo a través de protección en tiempo real ofrecida por un firewall o un sistema de prevención de intrusiones?”, explicó Wolff.
Solo conociendo el contexto se puede asegurar que se tomara la decisión de respuesta correcta.
- Incremente su “inteligencia de vulnerabilidad”
Conforme mejora su habilidad para desarrollar contexto y responder a vulnerabilidades basadas en datos accionables, su nivel general de “inteligencia de vulnerabilidad” se incrementa, permitiéndole tomar cada vez mejores decisiones de seguridad. También le permite adaptar continuamente su estrategia de gestión de vulnerabilidades, conforme las amenazas evolucionan, para acelerar el tiempo entre descubrimiento y remedio, así como reducir el riesgo total.
“Conforme las vulnerabilidades continúan incrementándose y mientras los atacantes continúan su estrategia prolongada de encontrar recompensas fáciles a través de CVEs, incluso mientras evolucionan sus estrategias, resulta crítico contar con una estrategia sólida de gestión de vulnerabilidades basada en una información completa y actual de scan, además de tener la habilidad para que de forma fácil y rápida, se pueda ver el contexto. Esta es la única manera de evitar la “trampa de prioridad” y estar seguros de que se está decidiendo correctamente para mitigar tanto las amenazas más comunes como los CVEs que pueden conducir a un incidente significativo de seguridad”, finalizó Ricardo Wolff.
