Foro: Análisis de las vulnerabilidades encontradas

Foro: Análisis de las vulnerabilidades encontradas

Objetivo:

El tema del foro es discutir sobre cómo podemos analizar las vulnerabilidades que pueden ser aprovechadas por las amenazas.

Para ello primero es necesario determinar, evaluar o decidir en dónde podemos encontrar vulnerabilidades.

Podemos encontrar vulnerabilidades en muchas partes, mismas que permitirían a una amenaza obtener la información que buscan o desean.

El objetivo del foro es ayudarnos a visualizar, en dónde podemos encontrar vulnerabilidades (hardware, software o” humanware”), las posibles repercusiones de estas vulnerabilidades; y ya con esta información hacer un análisis sobre ellas.

No es necesario hacer aportaciones tipo ensayo, pero sí que denoten un cierto nivel de investigación (que son y dónde podemos encontrar vulnerabilidades), meditación sobre consecuencias y/o repercusiones (que tanto puede afectar a una organización o a nosotros mismos su existencia).

Buenas tardes con todos, les dejo mi participación:

¿Que son y donde podemos encontrar vulnerabilidades?

A continuación, compartiré dos definiciones de vulnerabilidad que encontré, las cuales me parecieron las más completas, la primera es de la compañía Tenable, muy conocida en el ámbito de gestión de vulnerabilidades, la cual define a una vulnerabilidad como “una debilidad … que puede explotarse para poner en peligro los sistemas y dar a los atacantes acceso a sus datos e información.”

La segunda definición proviene del libro: INTRODUCCIÓN A LAS VULNERABILIDADES DE LAS REDES INFORMÁTICAS, donde el autor define las vulnerabilidades como “una condición, una debilidad o ausencia de un procedimiento de seguridad, o controles técnicos, físicos o de otro tipo que podrían ser explotados por una amenaza”

Ambas concurren en definir a una vulnerabilidad como una debilidad de un sistema (una de ellas habla de los componentes físicos y lógicos y la otra definición amplia e incluye procedimientos, controles y usuarios) las cuales son aprovechadas o explotadas por las amenazas o atacantes para robar o atentar contra la información o activos críticos de nuestra empresa u organización.

De igual forma podemos encontrar en ambas referencias anteriores una explicación sobre los lugares donde podemos encontrar las vulnerabilidades, por ejemplo, Tenable nos habla de la superficie de ataque cuya definición, “es el número total de vectores de ataque que podrían usarse como punto de entrada para lanzar un ataque cibernético u obtener acceso no autorizado a datos confidenciales. Esto podría incluir vulnerabilidades en tu gente, entornos físicos, de red o de software”.  

Asimismo, en la otra fuente encontramos la siguiente afirmación: “Existen vulnerabilidades no solo en el hardware y software que constituyen un sistema informático, sino también en las políticas y procedimientos, especialmente las políticas y procedimientos de seguridad, que se utilizan en un sistema de red informática y en los usuarios y empleados de los sistemas de red informática”. 

Nuevamente ambas coinciden en que al no existir un sistema 100% seguro, podríamos encontrar vulnerabilidades en cualquiera de los componentes de nuestro sistema desde donde podríamos lanzar un ciberataque explotando la vulnerabilidad encontrada. Podríamos agrupar las fuentes de las vulnerabilidades en 3 grandes grupos: Físico o Hardware, Lógico o software y el usuario o Humanware, en esta última deberíamos incluir todos los aspectos procedimentales, falta de políticas, entre otros generados por factores humanos que no puedan ser incluidos en los anteriores.

¿Cuáles son las consecuencias o repercusiones?

En análisis de riesgos definimos las consecuencias o repercusiones como el impacto negativo que puede existir debido a la materialización de la amenaza, esto quiere decir que efectúe exitosamente su ciberataque y logre su objetivo.

SI efectuamos un correcto análisis de riesgos, empezando por la identificación de nuestros activos, analizamos y evaluamos las vulnerabilidades, amenazas, probabilidad de ocurrencia e impacto de las mismas sobre nuestros activos, elaboramos planes de mitigación o tratamiento, efectuamos una evaluación continua y contamos con planes de contingencia o continudad del negocio, entonces estamos bien preparados para afrontar cualquier emergencia.

Cada organización es diferente y para cada una el tipo de información que maneja o sus activos críticos representan un valor distinto y le darán una prioridad distinta.

nos presenta el concepto de Cyber Exposure (mediante el cual ayudan a los equipos de ciberseguridad a medir y gestionar el riesgo cibernético existente), la gestión de vulnerabilidades (proceso de identificación y clasificación de todos los activos a lo largo de su superficie de ataque, la evaluación de dichos activos en busca de vulnerabilidades, la priorización para su mitigación y la aplicación de las medidas de corrección adecuadas) y finalmente

Según la Norma ISO 27001, sabemos que una de las fases del análisis de riegos consiste en identificar los activos de nuestra empresa u organización, tales como la información en todo su ciclo de vida. Esto lo hacemos porque debemos protegerlos ya que son valiosos para la continuidad del negocio.

También recordaremos que debemos protegerlos de las amenazas que están buscando atentar contra cualquiera de los pilares o triada de la seguridad de esa información, por nombrar algunos la confidencialidad, robando esta información o disponibilidad como denegándonos el acceso o utilización de nuestros servidores o bases de datos, etc.

...