Vulnerabilidades de día cero

Vulnerabilidades de día cero

Definición del tema

En este caso quiero abordar el tema del mercado de vulnerabilidades de día cero. Hace apenas unos días platicábamos en la oficina al respecto y teníamos dos posturas encontradas.

Primero, por un lado, teníamos la postura de que una vulnerabilidad de día cero representaba un gran riesgo para cualquier institución. Después de todo, no hay un parche o una solución específica. Simplemente podemos implementar algunos controles que fungirán como controles compensatorios en caso de que esta problemática pueda presentarse. Esto es muy similar a lo planteado por Panda “Encontrar una vulnerabilidad que no ha sido subsanada y atacar por sorpresa constituye uno de los mayores deseos para muchos ciberatacantes, tanto por el reconocimiento que supone para ellos por haber descubierto la brecha, como por el beneficio que pueda obtener con el daño causado con el ataque. Por eso, los ataques de día cero son tan peligrosos.” (Panda, 2019)

Por otro lado, se decía que una vulnerabilidad de día cero debe ser la menor de las preocupaciones para el CISO de cualquier organización. Después de todo, el hacerse con una de estas vulnerabilidades significa pagar una gran cantidad de dinero a un hacker para que nos proporcione los conceptos básicos de lo que promete ser una puerta de entrada a una plataforma o sistema. Y después de eso, aún tenemos que armar un ataque dirigido y específicamente orientado a la organización que queramos atacar. Todo esto representa un importante esfuerzo que, después de todo, tendría que representar un beneficio muy importante después de todo lo que se le haya invertido.

Considerando estas dos posturas iniciales, es importante entender que tratándose de una vulnerabilidad de día cero, comúnmente nos referimos a un problema que aún no es conocido. ¿Cómo nos preparamos para afrontar lo desconocido? También quiero señalar que en este punto no nos habíamos puesto de acuerdo en lo que es por definición, una vulnerabilidad de día cero, este planteamiento obedecía simplemente a lo que cada uno entendía por un ataque de día cero de acuerdo con su experiencia.

A partir de este punto necesitamos entonces tener clara la idea de lo que significa una vulnerabilidad de día cero. Para ello recurrimos a investigación y nos encontramos con lo siguiente:

De acuerdo con Alberto Ávila, “Un ataque de día cero es llamado así porque hace referencia al tiempo que tardan los desarrolladores o empresas en darse cuenta de una vulnerabilidad, es decir, un ataque de día cero es aquel que no ha sido descubierto, y una vez que se descubre o hace público deja de ser un ataque de día cero.” (Ávila, 2018)

Pero investigando más, también nos encontramos con otra definición, esta vez por parte de Rodolfo de muyseguridad: “Por definición un zero day es una brecha de seguridad que aún no ha sido parcheada (o incluso descubierta) por el vendedor, que puede ser explotada y a la vez, convertida en un arma poderosa.” (Rodolfo, 2019)

...