Solo unas semanas después de que se publicara la primera página web del mundo, en el otoño de 1991, 50 expertos en criptografía se reunieron en una pequeña sala de reuniones de un hotel de California para la primera conferencia RSA (RSAC). Más de tres décadas después, la web ha transformado la sociedad, y RSAC es el lugar de reunión central para aquellos que luchan por proteger el mundo digitalizado en constante expansión.
El RSAC mucho más grande de la actualidad es cero para algunos de los anuncios de ciberseguridad más significativos de los gobiernos y líderes de seguridad empresarial. También es un foro de discusión clave para los expertos mientras se esfuerzan por mantenerse un paso adelante de los atacantes.
La conferencia 45,000-person , que se llevará a cabo el 6-9 de mayo, es tan grande que tiene su propia gravedad, lo que atrae numerosos eventos satelitales cerca de su hogar en el Moscone Center de San Francisco. Un evento de este tipo incluirá a Melissa Bischoping, directora de investigación de seguridad de endpoint en Tanium, quien analizará los problemas que enfrentan las empresas al gestionar una marea creciente de vulnerabilidades de ciberseguridad y cómo pueden enfrentar el desafío.
Las vulnerabilidades pasan por el techo. Según la base de datos nacional de vulnerabilidades del gobierno federal, se documentaron alrededor de 29,000 vulnerabilidades y exposiciones comunes (CVE) en todo el mundo en 2023, en comparación con solo 15 en 1991. Esto hace que un entorno cibernético complejo, y simplemente confuso, para que los líderes empresariales lidien con él.
El truco para una gestión eficaz de vulnerabilidades, dice Bischoping, es ver los desafíos y las oportunidades inesperadas que presenta este panorama. Los nuevos avances tecnológicos y la automatización a escala lo ayudan a “eliminar el ruido”, priorizar las vulnerabilidades que representan la mayor amenaza para su empresa y establecer estrategias de facilitación que puede implementar de inmediato para reducir ese riesgo. (Su charla, “Perspectiva accionable para la gestión de vulnerabilidades y riesgos con Tanium Guardian”, se llevará a cabo en Stinson Room en Four Seasons SF el May 6 a las 12 p.m. PT y May 8 a las 4:15 p.m. PT).
Focal Point se puso al día con Bischoping para lograr que asumiera el auge de los CVE, los errores comunes que cometen las empresas y cómo deben verse las mejores prácticas.
(La siguiente entrevista se ha editado para mayor claridad y duración).
Las vulnerabilidades se han expandido en las últimas dos décadas. ¿Por qué?
La primera causa es una mayor adopción de tecnología. Hace veinte años, no todos tenían un teléfono celular en su bolsillo, una computadora portátil en su bolsa y un servidor con el que conectarse en su oficina. Hoy en día, la tecnología está en todas partes.
“Hemos llegado al punto en el que las personas ya no pueden entender cada línea de código y si es segura o no”.
El segundo motivo es que más personas buscan errores de seguridad. Las recompensas por errores y los programas de recompensas han motivado a los buenos a encontrar los errores antes de que los malos lo hagan.
Finalmente, el software es cada vez más complejo, con capas adicionales de dependencias. Hemos llegado al punto en el que las personas ya no pueden entender cada línea de código y si es segura o no.
¿Qué problemas ha creado esto para las empresas que deben hacer un seguimiento de todo?
Todos intentan hacer más con menos. No tienen espacio para más personal y no pueden aumentar su presupuesto. Mientras tanto, las herramientas de alerta y la inteligencia de amenazas alimentan a los analistas de ciberseguridad de inundaciones con más datos de vulnerabilidad. Obtienen informes que enumeran miles de vulnerabilidades en su entorno, cada una con un puntaje de gravedad.
¿Cómo priorizan los equipos pequeños en qué actuar a medida que se acumulan las vulnerabilidades? Al principio de mi carrera, asumí que podía corregir los peores errores uno tras otro. No funciona de esa manera. No puede escalar equipos humanos para lidiar con la creciente marea de datos de vulnerabilidad.
¿Qué enfoques de vulnerabilidad comunes ve que adoptan las empresas y cómo no se ajustan?
El error más común es enfocarse ciegamente en el número del Sistema de calificación de vulnerabilidades comunes (Common Vulnerability Scoring System, CVSS) que indica la gravedad del error. Los titulares se centran en puntajes altos porque parecen los más aterradores. En realidad, un CVSS de 10 en la computadora portátil de un usuario sentado en su oficina central probablemente sea menos preocupante para mí que un puntaje de 7 en mi servidor de correo público, pero el puntaje por sí solo no surgirá. Hay puntajes de CVSS más bajos que permiten violaciones todos los días.
“Todos intentan hacer más con menos... Mientras tanto, las herramientas de alerta y la inteligencia de amenazas alimentan a los analistas de ciberseguridad de inundaciones con más datos de vulnerabilidad”.
Otro error es retrasar el parcheo de vulnerabilidades en la infraestructura de red. Tradicionalmente, no coloca agentes de endpoint en enrutadores y firewalls, por lo que hay menos visibilidad. La red también es crítica para la misión, y esta baja tolerancia al tiempo de inactividad hace que las actualizaciones sean más riesgosas. El software de dispositivos de red a menudo está desactualizado durante años y sujeto a vulnerabilidades realmente peligrosas que son explotadas por actores nacionales-estatales y operadores de ransomware.
¿Cuáles deben ser las mejores prácticas para la gestión de vulnerabilidades?
El primer paso es rastrear qué vulnerabilidades son relevantes para su infraestructura. Esto significa priorizar la visibilidad mediante el uso de un inventario integral de activos de hardware y software, junto con la recopilación de una buena telemetría.
“Si no está gestionando la vulnerabilidad, debe aceptar el riesgo”.
Una vez que sepa qué activos son vulnerables, necesita una estrategia para la gestión de vulnerabilidades que vaya más allá de los puntajes de criticidad simples para observar factores como la probabilidad de exploit.
Hay herramientas para ayudar con esto. Soy un gran fanático del sistema de calificación de predicción de exploits, que estima la probabilidad de que una vulnerabilidad se explote en su hábitat natural. El Catálogo de vulnerabilidades explotadas conocidas de CISA, que enumera las vulnerabilidades explotadas activamente, es otra herramienta útil, aunque a menudo hay un retraso entre el primer exploit y la publicación de una vulnerabilidad en esa lista.
También debe abordar el impacto de una vulnerabilidad en el mundo real. Pregunte si está apuntando a las vulnerabilidades que podrían resultar en el mayor daño a su entorno al dar a los atacantes acceso a sus joyas de corona.
[Leer también: Clase RaaS: una guía defensiva para ataques de ransomware como servicio]
Hable con los propietarios de la unidad de negocios para determinar factores como cuánto costaría un exploit de un sistema en particular y cuánto tiempo tardaría las operaciones en recuperarse de él. Así es como comienza el proceso de gestión de riesgos. Si no está gestionando la vulnerabilidad, debe aceptar el riesgo.
¿Cómo puede ayudar la tecnología?
Necesita herramientas que le ayuden a analizar las miles de vulnerabilidades anunciadas cada semana y a entender dónde poner su energía. Sus herramientas deben prealcanzar las vulnerabilidades por usted y decirle automáticamente dónde está el impacto. Eso significa ponderar algorítmicamente una combinación de predicción de exploit, puntajes de CVSS y criticidad para encontrar vulnerabilidades con el impacto más significativo en su entorno. Su conjunto de herramientas debe poder combinarlo con inteligencia de amenazas para dar a esos exploits un contexto más amplio.
La tecnología también debe recomendar cómo implementar los cambios y crear previamente manuales de estrategias para ayudar a eliminar algunos pasos manuales. Eso le da a su equipo tiempo para analizar con el propietario del negocio lo que está a punto de suceder.
La tecnología no es toda la historia. También ayuda cuando aumenta las herramientas con inteligencia humana a través de asociaciones que le proporcionan perspectivas humanas confiables sobre la gestión de riesgos y vulnerabilidades. Eso puede ayudarle a navegar por una marea de datos e información realmente compleja que solo seguirá aumentando.
Consulte otras entrevistas exclusivas con los participantes que hablan en la Conferencia RSA 2024: Aplicar lecciones anteriores para la detección de amenazas de identidad impulsada por inteligencia
