Pueden surgir nuevas vulnerabilidades en una red en cualquier momento, por lo que el ciclo de vida de la gestión de vulnerabilidades es un ciclo continuo en lugar de una serie de eventos distintos. Cada ronda del ciclo de vida alimenta directamente a la siguiente. Una sola ronda suele contener las siguientes etapas:
Etapa 0: Planeación y trabajo previo
Técnicamente, la planeación y el trabajo previo ocurren antes del ciclo de vida de gestión de vulnerabilidades, de ahí la designación de "Etapa 0". Durante esta etapa, la organización resuelve los detalles críticos del proceso de gestión de vulnerabilidades, incluidos los siguientes:
- Qué stakeholders estarán involucrados y qué roles tendrán
- Recursos, incluidas personas, herramientas y financiamiento, disponibles para la gestión de vulnerabilidades
- Directrices generales para priorizar y responder a las vulnerabilidades
- Métricas para medir el éxito del programa
Las organizaciones no pasan por esta etapa antes de cada ronda del ciclo de vida. Por lo general, una empresa lleva a cabo una extensa fase de planeación y trabajo previo antes de lanzar un programa formal de gestión de vulnerabilidades. Cuando se implementa un programa, los stakeholders revisan periódicamente la planeación y el trabajo previo para actualizar sus pautas y estrategias generales según sea necesario.
Etapa 1: Descubrimiento de activos y evaluación de vulnerabilidades
El ciclo de vida formal de la gestión de vulnerabilidades comienza con un inventario de activos: un catálogo de todo el hardware y software en la red de la organización. El inventario incluye aplicaciones y endpoints autorizados oficialmente y cualquier activo de TI en la sombra que los empleados usen sin aprobación.
Debido a que de manera regular se agregan nuevos activos a las redes de la empresa, el inventario de activos se actualiza antes de cada ronda del ciclo de vida. Las empresas suelen emplear herramientas de software, como plataformas de gestión de superficies de ataque, para automatizar sus inventarios.
Después de identificar los activos, el equipo de seguridad los evalúa para detectar vulnerabilidades. El equipo puede emplear una combinación de herramientas y métodos, incluidos escáneres de vulnerabilidades automatizados, pruebas de penetración manuales e inteligencia de amenazas externas de la comunidad de ciberseguridad.
Evaluar cada activo durante cada ronda del ciclo de vida sería oneroso, por lo que los equipos de seguridad suelen trabajar en lotes. Cada ronda del ciclo de vida se centra en un grupo específico de activos, y los grupos de activos más críticos reciben análisis con mayor frecuencia. Algunas herramientas avanzadas de análisis de vulnerabilidades evalúan continuamente todos los activos de la red en tiempo real, lo que permite al equipo de seguridad adoptar un enfoque aún más dinámico para el descubrimiento de vulnerabilidades.
Etapa 2: Priorización de vulnerabilidades
El equipo de seguridad prioriza las vulnerabilidades que encontraron en la etapa de evaluación. La priorización garantiza que el equipo aborde primero las vulnerabilidades más críticas. Esta etapa también ayuda al equipo a evitar dedicar tiempo y recursos a vulnerabilidades de bajo riesgo.
Para priorizar las vulnerabilidades, el equipo considera estos criterios:
- Calificaciones de criticidad de inteligencia de amenazas: esto puede incluir la lista de Vulnerabilidades y exposiciones comunes (CVE, por sus siglas en inglés) o el Sistema de puntuación de vulnerabilidades comunes (CVSS, por sus siglas en inglés).
- Criticidad de los activos: una vulnerabilidad no crítica en un activo crítico a menudo recibe mayor prioridad que una vulnerabilidad crítica en un activo menos importante.
- Impacto potencial: el equipo de seguridad evalúa lo que podría suceder si los hackers explotaran una vulnerabilidad particular, incluidos los efectos en las operaciones comerciales, las pérdidas financieras y cualquier posibilidad de acción legal.
- Probabilidad de explotación: el equipo de seguridad presta más atención a las vulnerabilidades con exploits conocidos que los hackers emplean activamente en la naturaleza.
- Falsos positivos: el equipo de seguridad se cerciora de que las vulnerabilidades realmente existan antes de dedicarles recursos.
Etapa 3: Resolución de vulnerabilidades
El equipo de seguridad trabaja a través de la lista de vulnerabilidades priorizadas, desde la más crítica hasta la menos crítica. Las organizaciones tienen tres opciones para abordar las vulnerabilidades:
- Corrección: abordar completamente una vulnerabilidad para que ya no pueda ser explotada, por ejemplo, parcheando un error del sistema operativo, corrigiendo una configuración incorrecta o eliminando un activo vulnerable de la red. La corrección no siempre es factible. Para algunas vulnerabilidades, las correcciones completas no están disponibles en el momento del descubrimiento (por ejemplo, vulnerabilidades de día cero). En el caso de otras vulnerabilidades, la corrección requeriría demasiados recursos.
- Mitigación: Dificultar la explotación de una vulnerabilidad o reducir el impacto de la explotación sin eliminar la vulnerabilidad por completo. Por ejemplo, agregar medidas de autenticación y autorización más estrictas a una aplicación web dificultaría que los hackers secuestren cuentas. La elaboración de planes de respuesta ante incidentes para las vulnerabilidades identificadas puede suavizar el golpe de los ciberataques. Los equipos de seguridad suelen optar por la mitigación cuando la reparación es imposible o prohibitivamente cara.
- Aceptación: algunas vulnerabilidades tienen un impacto tan bajo o es poco probable que se exploten que solucionarlas no sería rentable. En estos casos, la organización puede optar por aceptar la vulnerabilidad.
Etapa 4: Verificación y monitoreo
Para verificar que los esfuerzos de mitigación y corrección funcionaron según lo previsto, el equipo de seguridad vuelve a escanear y vuelve a probar los activos en los que acaba de trabajar. Estas auditorías tienen dos propósitos principales: determinar si el equipo de seguridad abordó con éxito todas las vulnerabilidades conocidas y garantizar que la mitigación y la corrección no introdujeron ningún problema nuevo.
Como parte de esta etapa de reevaluación, el equipo de seguridad también monitorea la red de manera más amplia. El equipo busca nuevas vulnerabilidades desde el último análisis, antiguas mitigaciones que se volvieron obsoletas u otros cambios que puedan requerir acción. Todos estos hallazgos ayudan a informar la siguiente ronda del ciclo de vida.
Etapa 5: Reporting y mejora
El equipo de seguridad documenta la actividad de la ronda más reciente del ciclo de vida, incluidas las vulnerabilidades encontradas, los pasos de resolución tomados y los resultados. Estos reportes se comparten con las partes interesadas relevantes, incluidos ejecutivos, propietarios de activos, departamentos de cumplimiento y otros.
El equipo de seguridad también reflexiona sobre cómo fue la ronda más reciente del ciclo de vida. El equipo puede examinar parámetros clave como el tiempo medio de detección (MTTD), el tiempo medio de respuesta (MTTR), el número total de vulnerabilidades críticas y los índices de recurrencia de vulnerabilidades. Mediante el seguimiento de estas métricas a lo largo del tiempo, el equipo de seguridad puede establecer una línea de base para el rendimiento del programa de gestión de vulnerabilidades e identificar oportunidades para mejorar el programa con el tiempo. Las lecciones aprendidas en una ronda del ciclo de vida pueden hacer más eficaz la siguiente.