El software mueve el mundo. Implementado en todo el entorno de terminales, garantiza el funcionamiento continuo y contribuye a generar una ventaja competitiva en cada minuto de cada día. Sin embargo, cada vez más, está compuesto por un conjunto complejo y extenso de elementos procedentes de diferentes fuentes. ¿Qué ocurre cuando se detecta un problema en uno de estos componentes? Los equipos directivos deben conocer el alcance del impacto que esto tiene en la organización. Y necesitan tener la seguridad de que el riesgo se puede gestionar con rapidez y eficacia.
Los proveedores de aplicaciones podrían tardar entre días y semanas en comprender todos los detalles de un componente afectado de su software —como la vulnerabilidad actual de OpenSSL — antes de que los clientes puedan siquiera empezar a buscarla en sus dispositivos finales. Una vez que se haya implementado en su entorno la lista de componentes de software (SBOM) de Tanium Software de , solo se tardará unos segundos en obtener una lista completa de componentes de software de cada aplicación en cada terminal.
El problema con el software
Si el software es lo que mueve el mundo, son, cada vez más, los componentes de código abierto los que impulsan estas aplicaciones. Un nuevo informe de estima que las solicitudes de los desarrolladores dirigidas a los cuatro principales ecosistemas de código abierto superarán los 3 billones de dólares este año. Están impulsando una ola imparable de innovación en DevOps al acelerar el tiempo de comercialización y ayudar a las organizaciones a adaptarse más rápidamente a las exigencias del mercado, que cambian a un ritmo vertiginoso. Sin embargo, los componentes de código abierto no solo se incorporan a las aplicaciones desarrolladas internamente. Tal y como ilustró de forma notoria el artículo « Log4j », las aplicaciones propietarias también están repletas de código de terceros.
Por desgracia, el código lo escriben personas, y las personas cometen errores. Según el informe « » de la Linux Foundation (), un proyecto medio de desarrollo de aplicaciones contiene 49 vulnerabilidades repartidas en 80 dependencias directas. Las dependencias indirectas son aún más difíciles de detectar. Según ese mismo informe, dos quintas partes (40 %) de todas las vulnerabilidades se detectaron en estas dependencias transitivas.
Profundizando en el tema
Entonces, ¿qué ocurre cuando se detecta una vulnerabilidad en uno de estos componentes? Los equipos de TI y de seguridad pronto se darán cuenta de que un inventario general de todas sus aplicaciones no es suficiente. Deben ser capaces de descomprimir las dependencias y «abrir las muñecas rusas» de archivos comprimidos que se encuentran dentro de esas aplicaciones para gestionar eficazmente el riesgo. Esperar dos semanas a que un proveedor confirme con sus desarrolladores si sus productos se ven afectados o no supone un margen de tiempo demasiado amplio en el que los delincuentes pueden actuar.
En resumen, los equipos de TI deben saber exactamente dónde se utiliza un componente afectado en las aplicaciones de desarrollo propio y de terceros instaladas en sus terminales. Y necesitan esta información en tiempo de ejecución.
Lista de componentes de software de Tanium
Este es el valor que aporta el SBOM de Tanium. A partir de su único agente Tanium ya existente, ofrece una visibilidad fundamental en tiempo real de entornos de software complejos, lo que permite a las organizaciones tomar decisiones mejor fundamentadas para gestionar los riesgos de los terminales. Tanium permite a los clientes:
- Comprenda cada componente de software en tiempo de ejecución, identificando los paquetes de software y desglosándolos para examinar todos los componentes que los conforman sin necesidad de recurrir al proveedor del software. Puede analizar archivos de clientes pesados y examinar el funcionamiento de los entornos de clientes ligeros.
- Corrija cualquier vulnerabilidad o error de configuración que se detecte en dichos componentes.
- Adopte medidas inmediatas para mitigar el riesgo en la cadena de suministro, ya sea dejando de utilizar un dispositivo afectado, cerrando los procesos pertinentes o incluso eliminando por completo las aplicaciones de los terminales afectados.
- Optimice las inversiones en herramientas de terceros, como ServiceNow, alimentándolas con datos de la lista de materiales de software (SBOM) detallados, precisos y en tiempo real.
La complejidad es el enemigo de la gestión del riesgo cibernético. Sin embargo, Tanium SBOM arroja luz sobre los rincones más oscuros de la cadena de suministro de software para ofrecer visibilidad y control allí donde hay opacidad y riesgos descontrolados.
Tanium SBOM forma parte de la solución de detección e inventario de activos de . Obtenga más información y descubra cómo conseguir visibilidad sobre los riesgos de su cadena de suministro de software hoy mismo.
