Estén expuestas o no, las vulnerabilidades son peligrosas

Ilustración de Lou Reade

Imagina que tienes un estanque en el jardín de tu casa y un muelle de madera. Un día, mientras caminas por el muelle, descubres que una tabla está agrietada. Está a punto de romperse. Debes decidir si repararla o dejarla así por un tiempo y ocuparte más adelante. Ahora bien, si eres la única persona que usa el muelle, no necesariamente es un gran problema. Sabes que la tabla está rota y tendrás cuidado (siempre que te acuerdes). Pero ¿qué pasa con el resto de tu familia? ¿O con las amistades que te visitan? No hay garantía de que, aunque se lo digas a todos, lo recuerden. Tarde o temprano, alguien pisará esa tabla y terminará dándose un baño involuntario. Basta con una persona y un paso. A menudo, una biblioteca puede tener una vulnerabilidad conocida, pero si el sitio o la aplicación en cuestión no usa una llamada a un método específico, esa vulnerabilidad no está expuesta. En ese caso, se te podría perdonar que la ignores: simplemente no afecta a tu sistema actual. Pero la palabra clave es «actual». Lo que pasa con las vulnerabilidades es que, por lo general, no son muy evidentes. No es como si el método vulnerable se llamara claramente «NoEsSeguroNoLoUses». Por lo general, las vulnerabilidades son sutiles. Un cambio en la configuración, una llamada a un método que parece inofensiva: eso es todo lo que hace falta para pasar de estar a salvo a estar en riesgo.Que una vulnerabilidad esté expuesta hoy o no es importante, pero no tanto como algunos creen. Sin duda, puede ser un factor decisivo al establecer prioridades. Si tienes que abordar dos vulnerabilidades y una está expuesta y la otra no, prioriza la expuesta. Pero también es fundamental abordar rápidamente las vulnerabilidades que no están expuestas. Hasta que lo hagas, serán una debilidad en tu aplicación, una grieta en la armadura. Basta con que un desarrollador haga un cambio en el código para que la vulnerabilidad se pueda explotar. La resiliencia importa, y una vulnerabilidad que no está expuesta pero sigue sin resolverse agrega una fragilidad innecesaria. Gran parte de la seguridad es reactiva: quienes se encargan de la defensa intentan seguir el ritmo de las innumerables maneras en que un atacante puede tratar de atacar sus sistemas. Las vulnerabilidades conocidas que todavía no están expuestas en tu aplicación no son algo que debas ignorar. Son una oportunidad poco común para adelantarte un paso y proteger tus sistemas antes de que algo salga mal. Ante todos los desafíos que enfrentamos para defender nuestros sitios y aplicaciones, deberíamos aprovechar cualquier oportunidad de actuar de forma proactiva para garantizar la seguridad de lo que construimos.