Análisis de vulnerabilidades informáticas

Qué es una vulnerabilidad informática

Una vulnerabilidad informática es una debilidad o error en el código de un sistema o dispositivo que cuando se explota puede comprometer o poner en riesgo la seguridad de la información personal o de una organización.

Esta permite a los atacantes ejecutar distintos tipos de códigos para acceder a los sistemas, instalarles malwares y destruir o modificar en ellos datos confidenciales.

Es decir, se trata de un fallo de diseño, programación, configuración o humano que permite a los atacantes obtener información privada.

En muchas ocasiones se tiende a pensar que una vulnerabilidad informática y una amenaza es lo mismo, pero lo cierto es que, aunque estén muy relacionados entre sí, son conceptos diferentes.

Ya hemos visto lo que es una vulnerabilidad informática, pero, ¿qué es una amenaza? Son todas aquellas acciones que utilizan o se aprovechan de la existencia de una vulnerabilidad para violar la seguridad de un sistema de información.

Es muy importante destacar que una amenaza puede convertirse en una vulnerabilidad en caso de que no se tomen las medidas correctas de seguridad (actualizaciones de software, parches, uso de herramientas de protección adecuadas…).

Tipos de vulnerabilidades informáticas

Previa a la lectura de los tipos de vulnerabilidad, sería interesante comprender cuáles son los cuatro pilares básicos de la seguridad informática en el artículo Cómo reforzar la seguridad activa y pasiva en una empresa.

En la actualidad, existen una gran variedad de tipos de vulnerabilidad. A continuación, se describirán algunas de las más destacadas:

• Vulnerabilidad de tipo humano: Las personas pueden causar daños tanto en el ambiente tecnológico como en los sistemas de información, ya sea de forma intencional o no. El motivo principal puede ser la carencia de capacitación o de conciencia de seguridad para llevar a cabo sus actividades rutinarias. Además de esto, se pueden llevar a cabo estafas o vandalismo. Es crucial que los usuarios protejan sus equipos llevando a cabo de manera regular actualizaciones de software.

• Vulnerabilidad física: Se trata de aquellas vulnerabilidades existentes en los lugares donde se encuentra almacenada la información. En algunas ocasiones a los atacantes les puede resultar más fácil acceder a la información vía física que vía lógica. Pueden quitar el suministro de corriente, desconectar los cables e incluso robar los equipos, afectando a uno de los principios básicos de la seguridad informática que es la disponibilidad.

• Vulnerabilidad natural: Hace referencia a todo lo relacionado con las condiciones de la naturaleza que ponen en riesgo la información (incendios, huracanes, terremotos, inundaciones…). Para evitar esto o hacer que las consecuencias sean mínimas es necesario contar con medidas adecuadas (respaldos, sistemas de alimentación ininterrumpida, sistemas de ventilación, etcétera).

• Vulnerabilidad de hardware: Hacen referencia a los posibles defectos de fábrica o mala configuración de los equipos de la empresa que puedan permitir ataques o alteración de estos. Por ejemplo, falta de actualización de equipos o mala conservación son factores de riesgos para las empresas.

• Vulnerabilidad de comunicación: La información lleva a cabo un viaje o sigue un camino, ya sea por satélite, fibra, ondas de radio o cables y en este, debe existir seguridad. El tránsito de los datos debe encontrarse protegido para que la información en todo el proceso esté segura. Se debe evitar cualquier falla en la comunicación que provoque que la información no esté disponible para los usuarios o, por el contrario, esté disponible para usuarios no autorizados. (Si la información se ve alterada y es capturada por usuarios no autorizados, afectará a su integridad).

• Vulnerabilidad de software: Accesos ilegales a los sistemas informáticos sin permisos por parte del administrador de la red. Si se lleva a cabo una incorrecta configuración o instalación de programas en los equipos, se producirá un uso abusivo de los recursos por parte de los usuarios no autorizados o malintencionados.

• Vulnerabilidad de medios de almacenaje: Hace referencia a aquellas que pueden darse en los soportes físicos o magnéticos que se usan para almacenar información (disco duro, USB…). Si estos soportes no se utilizan de forma correcta, el contenido de los mismos, la información, será vulnerable a factores que afecten a su disponibilidad, confidencialidad e integridad.

Además de lo anterior, la vulnerabilidad informática se puede clasificar de acuerdo a la gravedad que presenta:

• Vulnerabilidad baja: Afecta poco a los sistemas informáticos, es decir, su impacto es mínimo en los mismos. Es fácil hacerle frente y reducirla porque apenas supone riesgos reales para la organización. Tanto es así que no aporta ventajas ni punto de entradas aprovechables para los atacantes.

• Vulnerabilidad moderada: Son fáciles de solucionar, pero tienen un mayor impacto que las vulnerabilidades bajas. Sus consecuencias se reducen de manera sencilla con herramientas o configuraciones previas. Es importante destacar que estas tienen muy poco potencial para afectar a grandes cantidades de usuarios.

• Vulnerabilidad grave: Se trata de una vulnerabilidad mucho más peligrosa que la anterior, ya que pone en riesgo la confidencialidad, integridad y disponibilidad de los sistemas de información. Este tipo afecta tanto a los datos como a los recursos que utilizan para su funcionamiento.

• Vulnerabilidad crítica: Es el peor tipo de vulnerabilidad, ya que se propaga sin que sea necesaria la participación de los usuarios. Pone en riesgo la confidencialidad, disponibilidad e integridad de los datos de los usuarios y además, la integridad y disponibilidad de los recursos que disponga el sistema.

Análisis de vulnerabilidades informáticas

El análisis de vulnerabilidades informáticas estudia todo aquello que puede conllevar riesgos y comprometer los sistemas de información de una empresa. Para llevarlo a cabo son necesarios una serie de pasos:

1. Creación de un inventario para clasificar los diferentes activos existentes en una empresa. Análisis y escaneo de los sistemas para poder detectar todos los errores que puedan darse. Se revisará tanto el software como las configuraciones.

2. Detección de vulnerabilidades existentes dentro de los activos del inventario.

3. Clasificación y priorización del riesgo que puede tener para la empresa cada una de las vulnerabilidades. Es importante destacar que la mayor parte de las veces no se pueden arreglar todos los errores / fallos / vulnerabilidades que encontremos, ya sea por falta de dinero, de personal o de tiempo. Por este motivo, es necesario crear un esquema de prioridades en el que se tenga en cuenta tanto el nivel de gravedad como la importancia que tiene cada vulnerabilidad para la empresa.

4. Prueba de cambios en la configuración y actualizaciones. Para llevar a cabo este paso se deben realizar pruebas en una sola máquina, de esta forma se verificará que todo funciona correctamente sin propagar el error en toda la empresa.

5. Aplicar cambios en todas las máquinas de la red cuando ya se han probado los cambios y todo funciona correctamente. Existen formas de aplicar de forma automática todos los cambios en los sistemas de la empresa.

Una vez efectuado todo el proceso de análisis de vulnerabilidades es importante llevar a cabo de forma periódica:

• Actualización de activos en el inventario de la empresa.
• Realización de análisis de vulnerabilidades.
• Asignación de responsables de cada activo crítico para que tomen las medidas necesarias con los mismos.
• Establecimiento de proceso de actualizaciones y revisión de configuración.
• Diseño de un proceso de corrección de vulnerabilidades.

Un correcto análisis no detectará únicamente las áreas que se pueden mejorar, sino que propondrá lo necesario para proteger la infraestructura de una empresa. Es imprescindible que tras todos los esfuerzos que se realizan para implementar un análisis de vulnerabilidades se lleven a cabo procesos de auditorías al menos dos veces al año. De esta forma nos aseguraremos de que se están siguiendo todas las recomendaciones y están en funcionamiento tanto los procedimientos como las políticas acordadas en la organización / empresa.

Importancia del análisis de vulnerabilidades informáticas en una empresa

Para cualquier empresa que quiera aumentar los niveles de seguridad en sus estructuras tecnológicas es fundamental el análisis de vulnerabilidad. Con su utilización se podrá evitar, entre otras cosas, que usuarios malintencionados se aprovechen de las vulnerabilidades existentes.

La utilización de nuevas tecnologías en una empresa conlleva una mayor responsabilidad en el uso de las mismas por parte de cada uno de los usuarios que la conforman. Si tienes vulnerabilidades (todas las empresas las tienen) puedes ser víctima de un ataque, pero esta sería la única forma de evitarla o de hacer que el impacto sea el mínimo posible.

Realizar un análisis de vulnerabilidades puede traer una gran cantidad de ventajas para las empresas y por ello es tan importante su utilización: mayor seguridad, aumento de integridad y confidencialidad de los datos, rapidez a la hora de identificar errores y aumento de disponibilidad de cada uno de los servicios.

Herramientas de análisis de vulnerabilidades

A lo largo del presente apartado se va a dar una lista de varias herramientas que pueden resultar útiles a la hora de analizar vulnerabilidades:

Sucuri

Se trata de un escáner de seguridad y malwares que proporciona ayuda para proteger los sitios web. Este puede utilizarse en cualquier plataforma de sitios web (Joomla, WordPress, Magento…).

Se encuentra basado en la nube, por lo que no es necesario instalar nada para usarlo. Protege los sitios webs y funciona en capas para prevenir cualquier tipo de amenaza a la seguridad, ofreciendo cortafuegos, escaneo de malwares.

NMAP

Se usa para buscar hosts dentro de una red local o en internet, pueden llevar a cabo análisis y escaneos con los que comprobar IP, sistemas operativos que se utilizan, si están protegidos por un firewall, etcétera.

Es programa de código abierto y multiplataforma, aunque es mayormente utilizado en los sistemas Linux. Se puede utilizar como una herramienta para buscar vulnerabilidades tanto en los sistemas como en la red.

NESSUS

Es un programa de escaneo de vulnerabilidades que puede utilizarse en cualquier sistema operativo. Se puede utilizar por interfaz gráfica y por consola y suele tener muy pocos falsos positivos.