A través de ESET Intelligence Labs ofrecemos diferentes tipos de servicios de seguridad. Anteriormente, publicamos información detallada sobre nuestro servicio de GAP Analysis, aclarando quiénes podrían estar interesados en este tipo de servicio. Continuando con la secuencia de posts explicando cada uno de nuestros servicios, en esta ocasión definiremos lo que es un Vulnerability Assessment, describiendo en detalle el alcance del mismo y quiénes deberían implementar este tipo de controles, siempre considerando mejorar los niveles de seguridad dentro de la organización.
¿Qué es un Vulnerability Assessment?
El Vulnerability Assessment es una técnica utilizada para evaluar los recursos y activos presentes en una organización. El concepto de este tipo de auditoría se basa en la identificación de puertos abiertos, servicios disponibles y a partir de ello la detección de posibles vulnerabilidades presentes en los sistemas objetivos.
La finalidad de un Vulnerability Assessment es conocer qué vulnerabilidades existen en los sistemas de una compañía y de esa manera poder elaborar un plan de acción adecuado.
¿Qué involucra un Vulnerability Assessment?
Este tipo de servicio puede ejecutarse en dos modalidades diferentes: interno y externo. El Vulnerability Assessment interno permite detectar las vulnerabilidades presentes en los sistemas desde una perspectiva interna a la compañía, es decir, teniendo acceso a los recursos y activos desde dentro de la organización.
El Vulnerability Assessment externo adopta la visión que posee un atacante desde el exterior de la organización. Esto permite evaluar la seguridad perimetral de la compañía en materia de seguridad referida a los sistemas en dicho ámbito.
Por lo tanto, un Vulnerability Assessment involucra las siguientes etapas:
- Localización de debilidades y vulnerabilidades en una etapa temprana, es decir, antes que un atacante lo haga
- Relevamiento de superficies de ataque para evaluar planes de acción y respuesta
- Descubrimiento de vulnerabilidades a partir del cambio de configuraciones específicas
- Visualización de la compañía desde el punto de vista de un atacante
¿Quiénes deberían ejecutar un Vulnerability Assessment?
Aquellas compañías que deseen implementar un sistema de gestión de información deben comenzar un proceso de evaluación de su seguridad. Este servicio permite obtener una primera fotografía del estado de seguridad en referencia a los activos y sistemas de la organización. De esta manera, podrán comenzar a gestionar la seguridad de una forma eficiente centrando el esfuerzo en los recursos necesarios.
En nuestro blog, en diversas ocasiones hemos informado sobre ataques a diferentes compañías a través de la explotación de vulnerabilidades, incluso algunas de ellas de gran renombre. Asimismo, según nuestro último ESET Security Report 2013, la explotación de vulnerabilidades es el segundo incidente con mayor frecuencia. A continuación se detalla la situación en Latinoamérica referente a la explotación de vulnerabilidades:
Claramente, estamos frente a una situación donde es necesario comenzar a evaluar las vulnerabilidades dentro de las compañías. La ejecución de un servicio como Vulnerability Assessment puede ser el inicio para comenzar a evaluar un plan de gestión de la seguridad.
Los invitamos a visitar el sitio de ESET Intelligence Labs para conocer más sobre los servicios que ofrecemos. Para más información, no duden en contactarnos, y los ayudaremos a encontrar vulnerabilidades antes de que los atacantes lo hagan.
Fernando Catoira
Analista de Seguridad
