Las 8 mejores prácticas de gestión de vulnerabilidades

Mejores prácticas de gestión de vulnerabilidades

Cuantas más vulnerabilidades existan en los sistemas de una organización, más oportunidades tendrá un atacante para obtener acceso y causar daño a la compañía, sus empleados y sus clientes.

Al diseñar e implementar un proceso de administración de vulnerabilidades, tenga en cuenta las siguientes prácticas recomendadas.

#1. Realizar análisis de vulnerabilidades regulares

Los escáneres de vulnerabilidades son herramientas automatizadas que se emplean para identificar posibles vulnerabilidades y otros riesgos de seguridad dentro de una aplicación. Dado que los análisis están automatizados y se pueden programar, introducen una sobrecarga adicional mínima para un equipo de seguridad.

Las organizaciones deben realizar análisis de vulnerabilidades:

• A intervalos regulares: Los equipos de seguridad deben programar los análisis de vulnerabilidades con una cadencia fija (diaria, semanal, etc.). Esto ayuda a identificar cualquier nueva vulnerabilidad que se descubrió o introducido en sus entornos.
• Del nuevo software: Antes y luego de implementar una nueva aplicación, el software debe ser escaneado en busca de vulnerabilidades. Esto ayuda a garantizar que no se introduzcan nuevos riesgos de seguridad en el entorno de una organización.
• Cuando se anuncian nuevas vulnerabilidades: Algunas vulnerabilidades, como Log4J, requieren una acción inmediata. Cuando se anuncia una nueva vulnerabilidad importante, una organización debe realizar un análisis de vulnerabilidades ad hoc para determinar su exposición al riesgo.

A la hora de diseñar un programa de evaluación de vulnerabilidades , también es importante tener en cuenta la visibilidad de las distintas vulnerabilidades. Idealmente, los análisis de vulnerabilidades se realizarán tanto desde fuera como desde dentro de la red corporativa y con diferentes niveles de privilegio (no autenticado, usuario autenticado, administrador).

#2. Aplique los parches con prontitud

Cuando un fabricante de software se da cuenta de una nueva vulnerabilidad en uno de sus productos, desarrolla y emite un parche para solucionarla. Una vez que se anunció y lanzado un parche, los ciberdelincuentes podrían comenzar a buscarlo y explotarlo en cuestión de horas.

Las organizaciones deben planear la aplicación de parches lo antes posible. Algunos elementos clave de una estrategia de parches incluyen:

• Priorización de parches: Algunos parches abordan vulnerabilidades críticas y otros pueden afectar a activos de TI de alto valor. Se debe priorizar la aplicación de parches para maximizar el impacto potencial en la exposición de una organización a los riesgos cibernéticos.
• Pruebas de parche: Lo ideal es que los administradores prueben un parche en un entorno realista antes de implementarlo en los sistemas de producción. Esto ayuda a validar la eficacia del parche y garantiza que no introduzca nuevos problemas de seguridad.
• Implementaciones automatizadas: Las organizaciones suelen tener muchos parches para aplicar, y algunos pueden afectar a numerosos sistemas. Los flujos de trabajo de parches automatizados son esenciales para aplicar parches a escala de forma rápida y eficaz.
• Validación de actualizaciones: Una vez que se aplicó una actualización, el sistema parcheado debe evaluar nuevamente con un escáner de vulnerabilidades. Esto valida que el parche se aplicó correctamente y que no se introdujeron nuevos riesgos de seguridad.

#3. Realizar priorización de riesgos

Casi todas las aplicaciones contienen al menos una vulnerabilidad, lo que significa que las organizaciones suelen tener sistemas más vulnerables de los que pueden parchear de manera efectiva. A la hora de decidir dónde poner sus recursos y esfuerzos, los equipos de seguridad deben realizar la priorización de parches.

A medida que un equipo de seguridad considera cuándo o si aplicar un parche, algunas cosas que debe tener en cuenta incluyen:

• Calificaciones de gravedad: Muchas vulnerabilidades tienen asociadas puntajes del sistema de puntaje de vulnerabilidades comunes (CVSS) que describen la gravedad del problema. En igualdad de condiciones, una vulnerabilidad crítica debe ser parcheada antes que una alta, media o baja.
• Criticidad del sistema: Los parches pueden abordar vulnerabilidades en sistemas con diferentes niveles de importancia para la organización. Por ejemplo, una vulnerabilidad en la base de datos de la "joya de la corona" de la organización puede ser mucho más impactante si se explota que una de mayor gravedad en un sistema menos importante.
• Alcance del impacto: Algunas vulnerabilidades pueden existir en un solo sistema, mientras que otras pueden afectar a toda la organización. Las vulnerabilidades con un mayor número de sistemas afectados pueden requerir parches antes que aquellos que afectan solo a unos pocos dispositivos.
• Requisitos de recursos: Algunos parches, como las actualizaciones del sistema operativo de Windows, están diseñados para automatizar, mientras que otros requieren operaciones comerciales manuales. El impacto de un parche también debe sopesar con el esfuerzo requerido para aplicarlo.

Al final del día, una organización no parcheará (y probablemente no debería) todas las vulnerabilidades, ya que cada una consume recursos que podrían usar de manera más rentable en otros lugares. La decisión de qué y cuándo aplicar un parche debe basar en la amenaza que represente:

• Una vulnerabilidad particular
• La tolerancia al riesgo de una organización

#4. Gestionar configuraciones del sistema

Algunas vulnerabilidades se crean por errores en el código de la aplicación. Por ejemplo, la inyección de código SQL y la vulnerabilidad de desbordamiento de búfer se deben a la falta de seguimiento de las mejores prácticas de codificación segura. Sin embargo, se introducen otras vulnerabilidades cuando se implementa y configura una aplicación.

La nueva vulnerabilidad de seguridad puede ser introducida por:

• Contraseñas débiles
• El uso de la configuración predeterminada

Las organizaciones pueden gestionar esto definiendo y aplicando el uso de una configuración de línea de base segura para todas las aplicaciones y sistemas corporativos. El uso de esta línea de base debe aplicar a través de auditorías periódicas y sistemas de gestión de la configuración.

#5. Aproveche la inteligencia sobre amenazas

Inteligencia sobre amenazas proporciona información sobre las amenazas y las campañas de ciberataques a las que es más probable que se enfrente una organización. Si otras organizaciones del mismo sector, jurisdicción o tamaño están siendo objeto de una amenaza concreta, es probable que su compañía también lo haga.

La inteligencia sobre las amenazas puede ser muy valiosa para priorizar los esfuerzos de corrección y mitigación de vulnerabilidades. Las vulnerabilidades que están experimentando una explotación activa deben ser parcheadas inmediatamente si es posible.

Si no se puede aplicar ningún parche, la organización debe implementar el monitoreo y las medidas preventivas disponibles para reducir el riesgo de explotación.

#6. Integración con la respuesta a incidentes

La gestión de vulnerabilidades y la respuesta a incidentes son esfuerzos relacionados y complementarios.

Idealmente, la gestión de vulnerabilidades niega la necesidad de respuesta a incidentes al eliminar los riesgos de seguridad antes de que puedan ser explotados. Sin embargo, no siempre es así.

En el caso de que una organización sufra un ciberataque, el acceso a los datos de gestión de vulnerabilidades puede acelerar el proceso de respuesta a incidentes. Si el equipo de respuesta a incidentes (IRT) es consciente de que existe una vulnerabilidad concreta en los sistemas de una organización, esto podría acelerar el análisis de la causa raíz y los esfuerzos de corrección.

Por otro lado, la inteligencia de la respuesta a incidentes también puede informar los esfuerzos de corrección de vulnerabilidades.

Los equipos de respuesta a incidentes pueden identificar una vulnerabilidad desconocida o descubrir que una no gestionada está experimentando una explotación activa. Estos datos pueden ayudar al equipo de seguridad a abordar las vulnerabilidades de alto riesgo y actualizar su priorización de riesgos para evitar que ocurran incidentes similares en el futuro.

#7. Adopte la mejora continua

La gestión de vulnerabilidades es un proceso continuo para la mayoría de las organizaciones. Todos los días se descubren y revelan nuevas vulnerabilidades, por lo que la mayoría de los equipos de seguridad tienen una acumulación constante de vulnerabilidades para evaluar y parches para aplicar.

Dado que es probable que eliminar la vulnerabilidad por completo no sea una opción, los equipos de seguridad deben centrar en tratar de mejorar sus programas de gestión de vulnerabilidades con el tiempo.

Estas son algunas métricas que se deben tener en cuenta:

• Número de vulnerabilidades que llegan a los sistemas de producción.
• Tiempo medio para identificar una nueva vulnerabilidad.
• Tiempo medio para parchear una vulnerabilidad.
• Tiempo medio para parchear una vulnerabilidad crítica o de alta gravedad.
• Número total de vulnerabilidades en los sistemas de producción.

#8. Tenga en cuenta los requisitos de cumplimiento

Las compañías deben tener en cuenta un serial de regulaciones y normas a la hora de desarrollar sus programas de gestión de seguridad y vulnerabilidades. Las vulnerabilidades explotadas son una forma común en que se violan los datos confidenciales, y las compañías deben gestionar estos riesgos.

Al definir los planes y procesos de gestión de parches , los equipos de seguridad deben tener en cuenta los tipos de datos procesados por los distintos sistemas y sus participaciones normativas.

Por ejemplo, es posible que algunos sistemas deban priorizar en el proceso de aplicación de parches debido a los requisitos de cumplimiento.