Más de 10 nuevas vulnerabilidades diarias en agosto

El número de nuevos agujeros de seguridad informática detectados
no justifica las alarmas generalizadas.
El Servicio de Análisis, Notificación y Alertas (SANA) de Hispasec
documentó y distribuyó más de 10 nuevas vulnerabilidades diarias
durante el pasado mes de agosto. Pese al aumento significativo en el
número de avisos, no ha sido un mes que destaque por el número de
incidencias en materia de seguridad informática en comparación con
periodos anteriores.

Algunas de las plataformas más afectadas fueron los sistemas y
aplicaciones de Microsoft con un 11,51% de los avisos, las
distribuciones RedHat 8,40%, Debian 7,08%, mientras que Sun
protagonizó un 6,19% y HP un 5,75% del total de las vulnerabilidades.

Según la clasificación de SANA, el 7,08% de las vulnerabilidades se
han considerado de riesgo Alto, el 8,41% Medio-Alto, el 78,31% de
nivel Medio, el 3,54% Medio-Bajo y un 2,66% como riesgo Bajo.

La mayoría de estas vulnerabilidades, un 68,14%, contaron con
actualizaciones y parches para corregirlas, mientras que para el
resto Hispasec documentó contramedidas y acciones preventivas
adicionales a la espera de la solución oficial.

Pese a este baile de cifras, que a primera vista es significativo y se
presenta como una buena herramienta para el marketing (sin ir más
lejos la propia nota lleva implícita la promoción de SANA), la
percepción desde Hispasec es que el aumento cuantitativo no responde
necesariamente a un incremento de las amenazas reales ni al número de
incidencias que finalmente se han producido.

Uno de los efectos colaterales del 11-S ha sido precisamente una
hipersensibilización en materia de seguridad informática que se ha
traducido en un aumento significativo tanto en el número de nuevas
vulnerabilidades detectadas como en el reporte de incidencias, fruto
de una mayor preocupación y dedicación general. Según estimaciones
de Antonio Ropero, Jefe de Producto de SANA, «si no se llevara a
cabo un filtro selectivo en estos momentos podríamos rondar unos
20 avisos diarios».

Es decir, las vulnerabilidades e incidentes no han aumentado de
forma tan espectacular, ya existían con anterioridad, si bien ahora
se han prestado más recursos y atención global a su descubrimiento
y notificación. Esta situación, lejos de suponer una amenaza, supone
un incremento y fortalecimiento de la seguridad.

Esta reactivación del sector se presenta como beneficiosa, a todos los
niveles, dadas las carencias y debilidades que presentan la mayoría de
sistemas implantados, sin embargo Hispasec recomienda prudencia a la
hora de valorar estos indicadores, evitando las alarmas injustificadas
en busca de resultados inmediatos, ya que a la larga supondrían una
perdida de sensibilidad/seguridad por parte de las empresas y usuarios,
amén del impacto negativo en la credibilidad del sector.

En definitiva, no se debe caer en la tentación de vender miedo y de
utilizar como argumento principal interpretaciones subjetivas y
partidistas de las estadísticas.

«Un pronosticador sencillo utiliza la estadística como un hombre
borracho las farolas, más como soporte que como iluminación.»
Andrew Lang

Más información:

SANA – Servicio de Análisis, Notificación y Alertas
http://www.hispasec.com/sana/