Las agencias federales tienen un problema de acumulación de software. El problema no es nuevo, pero se agrava con cada año que pasa. El problema radica en la casi infinita variedad de opciones de software entre las que pueden elegir las agencias.
Los responsables de TI adquieren y desarrollan habitualmente entornos específicos para cada misión que requieren software. Sin embargo, cuando ese software ya no sea necesario dentro del conjunto de herramientas de la agencia, deberán decidir si lo sustituyen o si lo eliminan por completo.
Los riesgos del software que ha alcanzado el final de su vida útil (EOL)
Otro reto es que, a menudo, los proveedores dejan de ofrecer soporte técnico para el software. A esto se le denomina «fin de vida útil» (EOL). En esta fase del ciclo de vida del software, los costes de soporte y los riesgos cibernéticos aumentan drásticamente, ya que los proveedores dejan de ofrecer parches y actualizaciones.
No todas las organizaciones elaboran planes a largo plazo para la retirada de los productos al final de su vida útil. La mayoría da por sentado que puede relajarse, sobre todo cuando el contrato del software tiene una vigencia de varios años y la herramienta funciona según lo previsto.
Además, conseguir una herramienta nueva de recambio no siempre es un proceso rápido. El proceso de contratación pública federal suele ser largo.
Cuando llega el momento de sustituir una aplicación o herramienta que ha llegado al final de su vida útil, pueden pasar meses o años hasta obtener las autorizaciones necesarias, negociar los contratos, instalar el nuevo software, formar a los empleados y garantizar la eliminación segura del software antiguo.
Las agencias pueden tomar mejores decisiones sobre las herramientas y prepararse ante la posibilidad de que se anuncien fin de vida útil (EOL) utilizando la visibilidad en tiempo real y las herramientas de gestión de software de (se abre en una nueva pestaña).
En un artículo publicado en Nextgov (se abre en una nueva pestaña) , explico por qué las agencias deberían adoptar un enfoque moderno de racionalización de herramientas. Esto les permite revisar todo su proceso de implantación de herramientas, al tiempo que mantienen protegidas las redes.
El software sin soporte técnico es un objetivo para los atacantes malintencionados
Tomemos como ejemplo Adobe Flash Player (se abre en una nueva pestaña) , un programa que alcanzó el fin de su vida útil (EOL) en December 2020. En el momento álgido de su popularidad, el software estaba instalado en casi mil millones de dispositivos finales. A lo largo de los años, esa cifra ha disminuido debido a que cada vez se recurre más a HTML5 para ofrecer animaciones y contenidos interactivos.
Cuando un proveedor deja de ofrecer soporte técnico para un programa, no es ningún secreto. Los atacantes malintencionados crean y utilizan, siempre que pueden, exploits de día cero, es decir, vulnerabilidades para las que aún no existe ningún parche.
Si decide seguir utilizando software sin soporte técnico, la única forma de evitar que se aprovechen las vulnerabilidades de día cero es aplicar medidas de mitigación o estrategias estándar de defensa en profundidad; sin embargo, ninguna de estas dos opciones garantiza el éxito.
Los creadores de malware están al acecho y atacan de forma agresiva los sistemas que utilizan software obsoleto en cuanto se les presenta la oportunidad; además, es probable que se centren en aquellos sistemas que sigan utilizando software que saben que será vulnerable.
Cómo retirar del servicio un software que ha llegado al final de su ciclo de vida
A la hora de retirar software al final de su ciclo de vida, los equipos de TI federales necesitan disponer de visibilidad en tiempo real de sus entornos. Necesitan poder identificar los terminales en los que se ha instalado el software, dónde se está utilizando de forma activa, y realizar un seguimiento de las vulnerabilidades y de las medidas de corrección en curso.
A medida que pasa el tiempo, el riesgo de que se produzcan vulnerabilidades que puedan ser objeto de explotación aumenta, ya que los proveedores dejan de ofrecer soluciones. A menudo, los atacantes pueden acceder al sistema a través de un único dispositivo terminal —uno que aún ejecutaba el software fuera de servicio—. En muchos casos, pasó desapercibido tanto para los equipos de seguridad informática como para los de operaciones, ya que carecían de una visibilidad completa de los terminales en toda su red.
Los atacantes solo necesitan acceder a un único punto final, y la seguridad de las organizaciones depende del punto final más vulnerable. Un único punto final vulnerable pone en riesgo a toda una organización.
Lea el artículo completo « » en Nextgov (se abre en una nueva pestaña) para obtener más información sobre cómo Tanium puede ayudar a las agencias a gestionar el fin de la vida útil del software (EOL) y a proteger los dispositivos finales y las redes de las agencias (se abre en una nueva pestaña) al ritmo y a la escala de las amenazas actuales.
