4 pasos del proceso de corrección de vulnerabilidades

Siempre es importante recordar que el objetivo final de la gestión de vulnerabilidades es la corrección. Uno de los KPI importantes de un programa de gestión de vulnerabilidades es cuántas vulnerabilidades de alto riesgo se eliminan o neutralizan antes de que se vean comprometidos sistemas y activos críticos.

¿Qué es la corrección de vulnerabilidades y por qué es importante?

Los clientes, socios, empleados y organismos reguladores esperan que las empresas implementen políticas y procesos que protejan los datos de forma continua y eficaz contra la pérdida y exposición accidentales o maliciosas. También existe tolerancia cero ante interrupciones o ralentizaciones de los sistemas. En resumen, afrontar los desafíos de la corrección de vulnerabilidades se ha convertido en una actividad crítica para el negocio.

Nos enfocamos principalmente en los pasos de priorización y corrección para lograr un proceso de corrección de vulnerabilidades escalable y eficaz.

4 pasos del proceso de corrección de vulnerabilidades

• Encontrar: Detectar vulnerabilidades mediante escaneo y pruebas

• Priorizar: Entender cuáles vulnerabilidades representan un riesgo real y significativo

• Corregir: Aplicar parches, bloquear o corregir vulnerabilidades a escala y en tiempo real

• Monitorear: Monitorear automáticamente proyectos y código para detectar nuevas vulnerabilidades, con alertas y notificaciones en tiempo real a través de todos los canales relevantes

1. Encontrar vulnerabilidades

Antes de pasar a priorizar y corregir vulnerabilidades, repasemos rápidamente qué son y cómo se encuentran.

Las vulnerabilidades de seguridad son errores de código conocidos o configuraciones incorrectas del sistema que se pueden aprovechar para comprometer una aplicación, servicio, biblioteca, contenedor o función, así como todos sus activos relacionados. El ataque activo busca interrumpir o detener el rendimiento, exfiltrar datos, secuestrar recursos informáticos, etc. Los sistemas y activos a los que se puede acceder lateralmente desde el componente comprometido también están en riesgo.

Por ejemplo, una vulnerabilidad de código de software comúnmente conocida puede consistir en no implementar ningún proceso de autenticación de usuarios o en implementar un control inadecuado, como la autenticación de un solo factor en lugar de la práctica recomendada de autenticación multifactor. Este tipo de vulnerabilidad permite que usuarios no autorizados con privilegios suficientes realicen ataques como los de intermediario (MITM), que consisten esencialmente en espionaje electrónico. Los equipos de seguridad y los hackers encuentran vulnerabilidades nuevas con regularidad, como Log4Shell, por lo que es importante escanear con frecuencia.

Por lo tanto, el primer paso del proceso de corrección de vulnerabilidades es escanear para encontrar vulnerabilidades de seguridad. Los programas maduros de gestión de vulnerabilidades adoptan un enfoque DevSecOps shift-left, en el que el escaneo de vulnerabilidades se realiza a lo largo de todo el ciclo de vida de desarrollo de software (SDLC) seguro. Para no ralentizar el pipeline de CI/CD, se implementan herramientas automatizadas de pruebas de vulnerabilidades en entornos de desarrollo, pruebas y producción. Estas pueden incluir:

• Herramientas de análisis de composición de software (SCA)

• Escáneres de vulnerabilidades de código abierto

• Herramientas de seguridad de aplicaciones estáticas de caja blanca (SAST)

• Herramientas de seguridad dinámica de aplicaciones de caja negra (DAST)

Cómo encontrar vulnerabilidades de seguridad en contenedores

Se debe prestar especial atención a la seguridad de los contenedores. Es importante escanear en busca de vulnerabilidades de seguridad en las imágenes de contenedor y las instancias de contenedor en ejecución, junto con todas sus conexiones. También es importante asegurarse de que las imágenes de contenedor de terceros provengan únicamente de fuentes confiables. La seguridad de Kubernetes también plantea desafíos únicos para el escaneo de vulnerabilidades. Si se vulnera un clúster, todos los servicios y máquinas de la red están en riesgo.

2. Priorizar vulnerabilidades

El siguiente paso del proceso de corrección de vulnerabilidades es priorizar qué vulnerabilidades corregir.

«Uno de los errores que cometí al principio de mi carrera en seguridad de aplicaciones fue dedicar demasiado tiempo a intentar hacer demasiadas cosas. Eso significaba que pasaba demasiado tiempo profundizando en vulnerabilidades específicas».

Brendan Dibbel, líder del equipo de ingeniería de seguridad de aplicaciones en Toast

Sin importar qué enfoque adopte tu empresa para la gestión de riesgos de seguridad, no todas las vulnerabilidades detectadas representan el mismo nivel de riesgo. Siempre hay que equilibrar varios factores, como la gravedad, la posibilidad de corregirlas, la cobertura y el cumplimiento. Con una priorización basada en riesgos y consciente del contexto, el equipo encargado de corregir vulnerabilidades puede enfocar sus recursos limitados en los problemas más importantes.

Cómo priorizar vulnerabilidades

Es muy probable que el 80 % o más de las vulnerabilidades descubiertas sean falsos positivos, otro 18 % represente un riesgo bajo y el 2 % restante corresponda a problemas que realmente debes corregir.

La plataforma de seguridad de aplicaciones nativas de la nube de Snyk permite priorizar vulnerabilidades de varias maneras:

• Información útil sobre vulnerabilidades: Snyk te permite priorizar según información práctica, como el nivel de madurez de la explotación, la posibilidad de corrección, el nivel de riesgo (incluida la gravedad del peligro en general y el impacto en proyectos críticos para el negocio), la prevalencia (la cantidad de proyectos y activos afectados) y la antigüedad.

• Puntuación de prioridad precisa y basada en riesgos: Snyk enriquece y analiza datos de diversas fuentes públicas y privadas a través de Snyk Vulnerability Database para ofrecer una cobertura sin precedentes de vulnerabilidades conocidas y desconocidas, cada una con una puntuación de prioridad calculada cuidadosamente.

• Información a nivel de aplicación: Snyk utiliza datos de ejecución e invocación en tiempo de ejecución, información de configuración de Kubernetes y señales de contenedores en ejecución para determinar el impacto —o la falta de impacto— de una vulnerabilidad. Si una función vulnerable no se está ejecutando, ¿realmente merece tu atención urgente?

• Control granular de las políticas de seguridad: La priorización de vulnerabilidades debe realizarse en el contexto de las políticas de seguridad de la empresa. Cuanto más granular sea la implementación de los controles de seguridad, más enfocada podrá ser la priorización. Snyk te permite usar etiquetas y atributos para definir políticas de seguridad para cada proyecto.

3. Corregir vulnerabilidades

El tercer paso del proceso de corrección de vulnerabilidades consiste en corregir la debilidad.

En muchos casos, eliminar software vulnerable implica implementar una actualización o un parche, según lo recomiende el proveedor del software afectado. Sin embargo, implementar parches puede ser un desafío por sí mismo. Probar y distribuir parches y actualizaciones puede consumir mucho tiempo y recursos. Es posible que haya que apagar sistemas críticos para el negocio durante el proceso de implementación. Además, siempre existe el riesgo de que el parche tenga un impacto imprevisto en la aplicación o sus dependencias.

Puede haber formas menos riesgosas de corregir una debilidad o ganar tiempo mientras se prepara un parche para su implementación. Por ejemplo, puedes actualizar las configuraciones de sistemas, plataformas o servicios de riesgo. También puedes deshabilitar un proceso o función vulnerable, o eliminar un componente vulnerable que no esté en uso.

4. Monitorear vulnerabilidades

Al igual que el resto del SDLC, el proceso de corrección de vulnerabilidades de seguridad es continuo. Para facilitar este ciclo, necesitas contar con monitoreo. Para ello, las herramientas deben monitorear automáticamente los proyectos y el código en busca de vulnerabilidades recién descubiertas, con alertas y notificaciones en tiempo real a través de todos los canales relevantes.

Lo ideal es que la herramienta de monitoreo también ofrezca una priorización contextualizada que ayude con los pasos 1 y 2 del proceso de corrección de vulnerabilidades (encontrar y priorizar). 

De lo contrario, los desarrolladores o equipos de AppSec que reciban notificaciones pronto se agotarán por la avalancha de vulnerabilidades de baja prioridad. Los equipos no deben verse abrumados por el ruido, ya que esto puede retrasar la atención de vulnerabilidades importantes y de alta prioridad que necesitan corregirse pronto.

Aunque el monitoreo es el paso 4 de esta lista, podría considerarse el paso 1 de un programa de seguridad de alto rendimiento.

Aunque es importante conocer los 4 pasos fundamentales del proceso de corrección de vulnerabilidades, también es muy importante contar con las herramientas adecuadas para facilitarlo y hacerlo más eficiente.

«Veo este problema en casi todas las organizaciones: tienes unos cuantos ingenieros de seguridad frente a un grupo enorme de desarrolladores y no hay forma de seguir el ritmo de todos los cambios.

Así que, en lugar de enfocarnos en hacerlo todo, queremos centrarnos en cómo darles a nuestros ingenieros las herramientas que necesitan para hacerse responsables de la seguridad».

Brendan Dibbel, líder del equipo de ingeniería de seguridad de aplicaciones en Toast

Gestiona y corrige vulnerabilidades de ciberseguridad con Snyk

Bríndales a tus equipos de desarrollo las herramientas adecuadas para encontrar y corregir vulnerabilidades. Estas son algunas formas en que Snyk puede ayudarte:

• Bloqueo inmediato: La herramienta SCA de Snyk escanea y detecta rápidamente todas las instancias afectadas por una vulnerabilidad, y toma medidas de inmediato para bloquear el acceso de los atacantes.

• Navegación mejorada: En las aplicaciones nativas de la nube actuales, altamente distribuidas y activadas por eventos, no es una tarea sencilla para los desarrolladores encontrar el código o componente vulnerable que requiere corrección. Snyk acelera la corrección al indicarles exactamente cómo llegar a la vulnerabilidad.

• Integración con los flujos de trabajo existentes de los desarrolladores: Al estar donde trabajan los desarrolladores, como en el IDE y en herramientas de control de versiones como GitHub, Snyk puede reducir el cambio de contexto y ayudar a corregir posibles vulnerabilidades al inicio del ciclo de desarrollo.

• Actualizaciones automáticas o manuales a versiones sin vulnerabilidades: Snyk actualiza las dependencias directas a una versión sin vulnerabilidades, ya sea automáticamente mediante pull requests de corrección automáticos o indicándole al equipo que lo haga manualmente.

Aplicación de parches a la vulnerabilidad: Snyk comprueba automáticamente si existe una rama y vuelve a abrir el pull request existente para aplicar la corrección exacta. Si no existe una rama, crea una nueva rama y un pull request.

Preguntas frecuentes

¿Qué son el escaneo y las pruebas de vulnerabilidades?

El escaneo de vulnerabilidades monitorea aplicaciones y sistemas comparándolos con una base de datos de errores de código y configuraciones incorrectas conocidos. Las pruebas de vulnerabilidades examinan las aplicaciones para evaluar su nivel de exposición. Tanto el escaneo como las pruebas de vulnerabilidades deben ser procesos automatizados que se integren sin problemas con los pipelines de CI/CD a lo largo del ciclo de vida del desarrollo de software.

¿Cómo se pueden priorizar las vulnerabilidades de forma segura?

Snyk te ayuda a priorizar las vulnerabilidades según puntajes de riesgo que se obtienen al analizar y seleccionar datos de múltiples fuentes de información sobre vulnerabilidades y amenazas. Algunas de estas fuentes son de acceso público, pero deben complementarse con información del campo (desarrolladores, instituciones académicas, etc.) y con investigación propia.

¿Cómo eliminar software vulnerable?

Por lo general, el software vulnerable se elimina mediante la implementación de parches y actualizaciones proporcionados por los proveedores de software. Sin embargo, también es posible corregir el software vulnerable mediante otras acciones, como actualizar las configuraciones del sistema o de la aplicación, o eliminar o deshabilitar los componentes sin uso que se hayan identificado como vulnerables.