Al igual que las langostas, los fallos de «día cero» no dejan de aparecer. La última, denominada « Spring4Shell», es una vulnerabilidad en el producto « » de VMware, «Spring »,
, un conjunto de herramientas de código abierto en Java para el desarrollo de aplicaciones. Por el momento, nadie sabe hasta qué punto será grave esta vulnerabilidad.
Al igual que en el caso de la vulnerabilidad denominada « Log4Shell» ( ), que los investigadores dieron a conocer públicamente en December 2021, será necesaria una rápida actuación conjunta por parte de los profesionales de la ciberseguridad y los desarrolladores de software. Esa colaboración está tomando forma.
La nueva vulnerabilidad, revelada en March 31, es el segundo fallo de Spring del que se ha informado en una semana, y se produce apenas unos días después de que Google anunciara que su navegador Chrome , utilizado por unas 3.2 mil millones de personas, contenía una vulnerabilidad de día cero en su motor de JavaScript. El navegador Edge de Microsoft sufrió el mismo fallo. Ambas empresas publicaron parches e instaron a los usuarios a actualizar dichos navegadores lo antes posible.
Los fallos de software se pueden solucionar. Pero solo si actualiza su software. Y aunque la aplicación de parches pueda ser tarea de los equipos de operaciones de TI, los miembros del consejo de administración y los altos directivos se están involucrando cada vez más en el debate. Están preguntando a sus responsables de seguridad de la información (CISO), a sus directores de sistemas de información (CIO) y a otros responsables si cuentan con estrategias adecuadas de gestión de parches. Y si no es así, ¿por qué no? Hace ya mucho tiempo que se deberían haber celebrado esas conversaciones.
¿Le gustaría iniciar su propia conversación? A continuación, les explicamos lo que los líderes empresariales y tecnológicos deben saber sobre las mejores estrategias.
Aprenda los conceptos básicos de la gestión de parches
Una vulnerabilidad de «día cero» es el tipo de vulnerabilidad más peligroso, ya que los piratas informáticos la conocen antes de que los proveedores de software o los usuarios se den cuenta de su existencia. La vulnerabilidad de seguridad de «día cero» anunciada por Google afecta a los usuarios de Chrome en Windows, macOS y Linux, así como a los usuarios del navegador Edge de Microsoft. Google señala que el nivel de amenaza es elevado, pero no ha facilitado más información al respecto.
«Google señala que el nivel de amenaza es alto, pero no ha facilitado más información.»
En situaciones como estas, los directivos de las empresas deben pensar como los oncólogos. Puede que no comprendan del todo en qué consiste el cáncer, pero deben conocer a la perfección el tratamiento.
Esto implica comprender los pasos necesarios para una gestión eficaz de los parches. Entre ellas se incluyen la búsqueda de parches disponibles, la priorización de los que resultan más importantes para una organización y, a continuación, la instalación, las pruebas y la documentación de sus configuraciones.
La gestión automatizada de parches puede ayudar a simplificar ese proceso, especialmente en el caso de las empresas que cuentan con cientos, si no miles, de terminales. La automatización de la seguridad garantiza que no quede ninguna vulnerabilidad sin resolver. Y esa es solo una de sus múltiples ventajas.
[Más información: ¿Qué es la gestión de parches?]
Prepárese para afrontar los retos que plantean las actualizaciones de software
El lunes, March 28, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) advirtió a las agencias civiles federales que corrigieran la vulnerabilidad de Chrome. Les concedió tres semanas para hacerlo. El mandato del programa ASAP no es nada nuevo. La CISA emitió una directiva de emergencia en diciembre en la que exigía a los organismos que aceleraran la aplicación de parches en las redes para subsanar la vulnerabilidad « » Log4j. Log4j, una utilidad de registro de código abierto, se utiliza en millones de aplicaciones Java, y su explotación suscitó una gran preocupación, lo que provocó un renovado interés por la gestión de parches entre los líderes empresariales y tecnológicos.
Suzanne Spaulding, a senior adviser for homeland security and director of the Defending Democratic Institutions project at the Center for Strategic and International Studies, called CISA’s patching directives “risk management 101.”
Esto significa que la aplicación de parches de software es fundamental. Pero también puede resultar complicado. En « December 2021» ( ), Endpoint expuso la necesidad de actuar con rapidez en este tipo de iniciativas, los obstáculos que surgen en el camino y los pasos a seguir para superarlos. Paso uno: Establezca un proceso exhaustivo de detección e inventario de activos .
[Véase también: CISA — Las agencias federales deben corregir urgentemente Log4j vulnerabilidades]
Busque vulnerabilidades de software en su cadena de suministro
Para los líderes empresariales y tecnológicos, que aún se muestran inquietos por el fallo Log4j , las noticias sobre la última vulnerabilidad de Spring les han provocado una sensación de déjà vu. Pero también sirvió para recordar que los terceros que forman parte de su ecosistema de red pueden abrir una puerta trasera a los piratas informáticos.
«Es probable que las organizaciones cuenten con más terceros en su ecosistema que nunca», advirtió Sandy Carielli, analista principal de Forrester, durante el evento « » y el «Security & Risk Forum 2021» de la empresa.
Son demasiadas las organizaciones que no han modificado su forma de mitigar los riesgos relacionados con la tecnología empresarial y los terceros. Eso tiene que cambiar. En « December 2021» ( ), Endpoint analizó en profundidad los ataques a la cadena de suministro: cómo funcionan (es menos complicado de lo que podría pensarse), a quiénes afectan (es decir, a todos nosotros) y por qué siguen teniendo tanto éxito. (Existen errores habituales que cometen las empresas y otros colectivos y que facilitan a los atacantes llevar a cabo sus actividades ilícitas.)
[Lea también: Cómo gestionar los riesgos de la cadena de suministro tras la vulnerabilidad Log4j ]
Sin duda, las noticias de esta semana harán que muchas personas accedan al Catálogo de vulnerabilidades explotadas de la CISA, « » (Vulnerabilidades explotadas), disponible en. La CISA incorpora nuevas vulnerabilidades a esta base de datos basándose en pruebas de que están siendo objeto de explotación activa. Aunque fue diseñada y adaptada inicialmente para organismos federales, la base de datos constituye un recurso útil para cualquier persona, y la CISA anima a las empresas y otras entidades a utilizar la información que contiene como guía para detectar actividades ciberdelictivas significativas.
Como demuestran los titulares recientes —«: se añaden ocho vulnerabilidades», «: nueve», «: 32», «: 66»—, los ataques no cesan.
Lo mejor es que añada esa página de la CISA a sus favoritos.
