Desde “Una al día” nos hacemos eco de las noticias más destacadas y de actualidad que envuelven el mundo de la ciberseguridad, fuente de información usada por miles de usuarios, estudiantes, profesionales o meros curiosos.
Todos los días ocurren varias incidencias de mayor o menor impacto, desde ataques cibercriminales cuyo objetivo es la simple obtención de dinero hasta ataques reivindicativos por asuntos políticos o religiosos; sin olvidar otros menores tales como venganzas, demostraciones de poder, etc. Incidentes que pueden llevarse a cabo en la mayoría de casos gracias a las distintas vulnerabilidades existentes en los sistemas operativos, las aplicaciones y en general en todos los dispositivos que comprenden el ecosistema informático mundial.
Fuente: cvedetails.com
Estas vulnerabilidades son normalmente producto del descuido en el diseño y elaboración de los mismos por ditintas causas que no vamos a detenernos a detallar en esta ocasión. Lo que hemos venido a contar (nunca mejor dicho) son las cifras que envuelven a las vulnerabilidades, esos “despistes de diseño” a través de los cuales los atacantes pueden conseguir su objetivo mediante la explotación de diversas técnicas de hacking.
Las vulnerabilidades reportadas por hackers éticos, fabricantes, desarrolladores y demás actores son recopiladas y documentadas mediante un sistema de clasificación el cual otorga una identificación única a cada vulnerabilidad y se clasifican además con una puntuación o “score” que detalla el riesgo de la vulnerabilidad a la hora de ser usada por los atacantes.
Puntuación CVSS o nivel de riesgo
Esta puntuación cataloga el nivel de riesgo desde 0.0 hasta 10.0, siendo 10.0 el índice máximo de riesgo, es el llamado CVSS (Common Vulnerability Scoring System) usado por esta lista de identificación y catalogación de vulnerabilidades que comentamos, esta lista fue creada en 1999 por la corporación MITRE y es conocida por las siglas CVE (Common Vulnerabilities and Exposures), es actualmente un estándar en ciberseguridad usado por la mayoría de repositorios de vulnerabilidades conocidas. Puede consultarse y es actualizada diariamente con todas las nuevas vulnerabilidades reportadas.
La forma de otorgar el nivel de riesgo a una vulnerabilidad viene dada por una combinación de diferentes factores como vector de acceso, el impacto en la confidencialidad o integridad, los potenciales daños colaterales, etc. Una forma sencilla de poder evaluar la puntuación de una vulnerabilidad que hayamos podido encontrar es haciendo uso de una calculadora de CVSS, como por ejemplo la ofrecida por el Instituto Nacional de Estándares y Tecnología del gobierno de Estados Unidos en la siguiente dirección: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator o la disponible en la web del Foro de Respuesta a Incidentes y Equipos de Seguridad, más conocido como el FIRST por sus siglas en inglés: https://www.first.org/cvss/calculator/3.1
En ella podemos calcular la puntuación obtenida por una vulnerabilidad seleccionando las opciones disponibles en un formulario. También podemos consultar la fórmula que utilizan para calcular el resultado.
El identificador CVE
El CVE asignado a una vulnerabilidad se compone de las siglas CVE seguido del número del año en la que se ha reportado la vulnerabilidad y el número de vulnerabilidad, normalmente de 4 dígitos aunque puede contener más cifras de ser necesario. El formato sería del estilo CVE-AAAA-NNNN, donde AAAA comprende los dígitos del año y NNNN al número de vulnerabilidad. Este número puede variar en el orden de publicación ya que puede asignarse por parte del CVE Content Team, el CVE Editor o por una reserva previa de numeración que puede ser de forma individual o por lotes al comienzo de cada año, como es el caso de los grandes fabricantes como Microsoft o Apple.
Un ejemplo de CVE podría ser el CVE-2021-44228, que corresponde a una vulnerabilidad publicada las pasadas navidades encontrada por un equipo de ciberseguridad de Alibaba Cloud en la librería LOG4J de la Apache Sotfware Foundation con una puntación de riesgo del nivel máximo que tanto revuelo ha ocasionado y del que hablamos en su momento en este blog.
Las vulnerabilidades en cifras
Ahora que ya todos conocemos la nomenclatura y la forma de puntuar las vulnerabilidades vamos a por esos números. Desde 1999 que se llevan recopilando las vulnerabilidades en la lista CVE, llevamos acumuladas hasta el pasado fin de semana la nada despreciable cifra de 172.448 vulnerabilidades reportadas de las cuales más de 20.000 son catalogadas como graves o muy graves.
En la gráfica anterior puede observarse como a lo largo de los años el número de vulnerabilidades reportadas ha ido en aumento significativamente, derivado por varios factores. El más destacado es el aumento de desarrollos existentes unido al creciente interés por la ciberseguridad en varios niveles. La cantidad de equipos de ciberseguridad y hackers éticos dispuestos a reportar ha aumentado en gran medida en los últimos años, los programas de bug bounty también han contribuido a ello.
En contraposición al aumento de publicación de vulnerabilidades encontramos la cantidad de vulnerabilidades de nivel muy grave que ha experimentado un descenso desde 2016, coincidente justo ese mismo año con el aumento de reportes como puede verse en la gráfica siguiente.
El aumento en concienciación en ciberseguridad por parte de las empresas fabricantes de software junto con el incremento de los ataques llevados a cabo por cibercriminales y otros grupos hace que la importancia de la figura de los hackers éticos sea crucial, al igual que la importancia de la aplicación de técnicas de desarrollo seguro por los equipos de programación de empresas y organizaciones.
Un indicador positivo en la aplicación de estas medidas podría ser el ver un descenso en el reporte total de vulnerabilidades de años venideros, aunque de momento todo parece apuntar a que van a seguir incrementándose.
Solo tenemos que observar los datos generados en los pocos meses transcurridos en 2022, que asciende a nada menos que a 5.335 vulnerabilidades, una cantidad superior a todos los reportes generados en todo el año 2013 y también si lo comparamos con los resultados del pasado año 2021 en la misma fecha que ascendía a poco más de 3.800 reportes.
Mientras tanto, seguimos trabajando para hacer de Internet un lugar más seguro, compartiendo desde UAD la información necesaria para ayudar a que así sea y desde Hispasec con servicios como SANA (Sistema de Análisis y Notificaciones sobre vulnerabilidades y Actualizaciones de seguridad) en el que los usuarios reciben las alertas personalizadas que afectan al inventario de activos de su organización.
SANA, el sistema de alertas personalizadas de Hispasec
SANA utiliza distintos formatos de notificación, a través del correo electrónico y mediante mensajes a teléfonos móviles y el panel de control web, un servicio de alertas que trabaja 24 horas al día, 365 días al año.
SANA se divide en 3 sectores. Las alertas, información puntual sobre nuevas vulnerabilidades que realmente puedan afectar a los sistemas del cliente, junto con las medidas preventivas y/o parches para subsanarlas. Los análisis, documentos técnicos elaborados por Hispasec que ayudan a instalar, configurar, establecer políticas y mantener seguros los sistemas. Por último el diario, una recopilación de noticias del sector y demás publicaciones relacionadas con la seguridad informática.
Más información:
https://nvd.nist.gov/vuln-metrics/cvss
https://hispasec.com/services/intel
Deja una respuesta