"Hemos tomado buenas precauciones y creo que estamos bien protegidos". Esta frase, repetida con frecuencia, crea una falsa sensación de seguridad. Aunque muchas empresas han invertido en ciberseguridad, sólo en caso de emergencia descubren si la resiliencia de la seguridad realmente cumple lo que promete en todas las áreas. Las evaluaciones de vulnerabilidades de seguridad de TI y las pruebas de penetración son más importantes que nunca.
Estudios como el actual Informe de amenazas de Sophos muestran que, a pesar de todos los esfuerzos, todavía existen demasiadas lagunas para los ciberdelincuentes. Casi el 50 por ciento de todos los casos de malware analizados estaban dirigidos a pequeñas y medianas empresas y el 90 por ciento de todos los ciberataques implican el robo de datos o de identidad. Posteriormente, los ciberdelincuentes utilizan esta información robada para otras acciones, como acceso remoto no autorizado, extorsión o instalación de ransomware. Además, los dispositivos IoT inseguros suelen ser una puerta de entrada para los ciberdelincuentes.
Vulnerabilidades no detectadas en la infraestructura de TI
El problema rara vez son las soluciones de seguridad, sino más bien vulnerabilidades no reconocidas en la infraestructura de TI que no pueden protegerse sin una identificación clara. Por lo tanto, son importantes evaluaciones periódicas de vulnerabilidad y pruebas de penetración. Sólo ellos proporcionan información fiable sobre el estado real de la seguridad y la ciberresiliencia de la empresa.
Las evaluaciones de vulnerabilidad y las pruebas de penetración tienen objetivos diferentes. Según el NIST, las evaluaciones de vulnerabilidad proporcionan una "descripción y evaluación formal de las vulnerabilidades de un sistema de información", mientras que las pruebas de penetración utilizan una metodología "en la que los auditores, que normalmente trabajan bajo ciertas restricciones, intentan eludir o superar las características de seguridad de un sistema". Sólo los resultados de ambas medidas proporcionan a las empresas información sobre los riesgos existentes y permiten sacar conclusiones sobre qué prioridades se deben fijar a la hora de eliminarlos.
La frecuencia de ambas medidas depende del comportamiento informático de la empresa y de las normas legales (por ejemplo, industria de tarjetas de pago). Las empresas con bajas fluctuaciones tecnológicas (por ejemplo, cambios de código, actualizaciones de hardware, cambios de personal, cambios de topología, etc.) no pueden prescindir de las pruebas, pero con menor frecuencia. Las organizaciones que experimentan un alto cambio tecnológico aumentan su resiliencia cibernética con pruebas más frecuentes.
Etapas de evaluaciones de vulnerabilidad y pruebas de penetración.
🔎 Comentario de John Shier, CTO comercial de campo en Sophos (Imagen: Sophos).
La realización de evaluaciones de vulnerabilidad y pruebas de penetración implica 12 pasos clave, desde el descubrimiento hasta la evaluación, la corrección y el informe final:
- Definición de alcance: Defina claramente el alcance, incluidos los sistemas, redes y aplicaciones que se probarán y cualquier meta u objetivo específico.
- Exploración: Recopilar información sobre los sistemas, redes y aplicaciones de destino utilizando medios pasivos, como información disponible públicamente y técnicas de ingeniería social.
- Escaneo de vulnerabilidades: Uso de herramientas automatizadas para verificar los sistemas de destino en busca de vulnerabilidades, configuraciones incorrectas y vulnerabilidades conocidas. Esto puede incluir exploraciones tanto internas como externas.
- Evaluación de vulnerabilidad: Analice los resultados del análisis de vulnerabilidades para identificar y priorizar las vulnerabilidades en función de la gravedad, el impacto y la probabilidad de explotación.
- Pruebas manuales: Realice pruebas manuales para validar y verificar los resultados de los análisis automatizados e identificar vulnerabilidades adicionales no detectadas por las herramientas automatizadas.
- Pruebas de penetración: Explotar activamente las vulnerabilidades para evaluar la postura de seguridad de los sistemas, redes y aplicaciones de destino. Se pueden utilizar varias técnicas, p.e. B. explotación de redes, ataques a aplicaciones web e ingeniería social.
- Post-explotación: Una vez que se establece un punto de apoyo en el entorno objetivo, se lleva a cabo una mayor exploración y se aumentan los privilegios para determinar el alcance del daño potencial que podría causar un atacante real.
- Documentación: Recopilar y compilar todos los hallazgos, incluidas las vulnerabilidades descubiertas, las técnicas de explotación utilizadas y cualquier recomendación para su corrección o mitigación.
- Informes: Producir un informe completo tanto para los oficiales de seguridad como para la gerencia con los resultados de la evaluación, incluyendo un resumen, detalles técnicos de las vulnerabilidades, evaluaciones de riesgos y recomendaciones para su remediación o mitigación.
- Planificación de acciones correctivas: Establecer prioridades y planificar acciones correctivas basadas en los resultados de la evaluación, así como en la tolerancia al riesgo y las prioridades comerciales de la organización.
- Reevaluación: Realizar evaluaciones de seguimiento para verificar que las vulnerabilidades se hayan solucionado de manera efectiva y para garantizar que la postura de seguridad de los sistemas, redes y aplicaciones de la empresa haya mejorado.
- Monitoreo continuo: Implemente procesos regulares de monitoreo y prueba para identificar y remediar nuevas vulnerabilidades de seguridad a medida que surjan.
Acerca de Sophos Sophos cuenta con la confianza de más de 100 millones de usuarios en 150 países. Ofrecemos la mejor protección contra amenazas informáticas complejas y pérdida de datos. Nuestras soluciones integrales de seguridad son fáciles de implementar, usar y administrar. Ofrecen el costo total de propiedad más bajo de la industria. Sophos ofrece soluciones de cifrado galardonadas, soluciones de seguridad para terminales, redes, dispositivos móviles, correo electrónico y web. También cuenta con el soporte de SophosLabs, nuestra red global de centros de análisis patentados. Las oficinas centrales de Sophos se encuentran en Boston, EE. UU. y Oxford, Reino Unido.