Cómo parchar las vulnerabilidades de su software de código abierto

Identifique las causas de la acumulación de vulnerabilidades

Cada organización tiene cuellos de botella específicos para sus personas y procesos, y sus causas varían. Sin embargo, hay algunos factores comunes a tener en cuenta, dijo Matt Wilgus, director que dirige las ofertas de evaluación de amenazas y vulnerabilidades en Schellman & Company, una firma de auditoría y certificación de TI. Wilgus señaló que los sistemas incompatibles, los cambios de personal y la cultura desfavorable son tres causas comunes de vulnerabilidades de software de código abierto no tratadas.

«Atravesar una montaña de vulnerabilidades comienza con la comprensión de los problemas centrales que están causando el retraso», dijo Wilgus.

En muchos casos, las organizaciones no pueden parchar un dispositivo dado, que a su vez puede registrar cientos de vulnerabilidades de seguridad cibernética únicas. Investigue qué controles pueden ayudar a mitigar el alcance de la vulnerabilidad y su impacto. Busque alternativas seguras a los sistemas que no se pueden parchar, incluso si eso significa la ardua tarea de migrar a una tecnología diferente. Si esa no es una opción, encuentre una manera de proteger un sistema host de las vulnerabilidades más críticas. Por ejemplo, una única vulnerabilidad de ejecución remota de código no autenticada puede representar un mayor riesgo para un entorno de TI que cientos de escaladas de privilegios o vulnerabilidades de denegación de servicio, dijo Wilgus.

Cuando todas las vulnerabilidades de software de código abierto en su organización son relativamente recientes, aproximadamente de menos de 90 días de antigüedad, el problema puede deberse a un cambio de personal. Si la persona responsable de los parches se va, otra persona debe cumplir el rol o la organización puede contratar a un tercero.

El tercer peligro es la negación. Cuando el equipo piensa: «No sucederá aquí», esa actitud puede hacer que las vulnerabilidades se acumulen. Algunos trabajadores piensan que los hackers no explotarán las vulnerabilidades de ciberseguridad y, por lo tanto, no representan un riesgo real. La alta dirección debe abordar este problema fundamental. Haga que el CIO, CTO o incluso el CEO comisionen oficialmente el parchado, dijo Wilgus, especialmente cuando las fallas de seguridad inhiben una nueva iniciativa o la incorporación de un cliente.

Audite el programa de administración de parches

Los programas de administración de parches ayudan a las organizaciones a establecer procedimientos y estándares que a menudo priorizan los problemas y activos más críticos.

Las organizaciones deberían seguir un conjunto establecido de procesos como parte de un programa de gestión de parches para abordar las vulnerabilidades de software de código abierto de manera eficiente y segura, dijo Mieng Lim, director senior de gestión de productos en Digital Defense, un proveedor de plataforma de detección de amenazas y gestión de vulnerabilidades.

Dentro de los sistemas y aplicaciones heredados, no todas las vulnerabilidades pueden repararse. En estos casos, las organizaciones deberían mitigar el riesgo aislando la vulnerabilidad o poniendo controles de acceso para proteger el activo.

Compre tiempo para parches

Configure una estrategia para minimizar los efectos de las vulnerabilidades de software de código abierto entre el descubrimiento y la reparación. Las organizaciones deben hacer una variedad de preguntas como parte de su proceso de administración de parches, dijo Lim, para clasificar los esfuerzos de remediación y limitar el daño potencial.

Estas preguntas ayudan a contextualizar y priorizar las vulnerabilidades de software de código abierto en una acumulación:

• ¿Cómo se accede al activo?
• ¿Se puede limitar fácilmente el acceso o la exposición para crear tiempo para remediar?
• ¿Hay dependencias en el activo que un parche afectaría negativamente?
• ¿Qué tan fácil es corregir la vulnerabilidad en el activo?
• ¿Necesita un proveedor o un recurso de terceros brindar asistencia?
• ¿Cuántas instancias de la vulnerabilidad existen?
• ¿Qué tan importante es el activo vulnerable?

Factores como la disponibilidad de recursos, las pruebas y los procedimientos de administración de parches ayudarán a los equipos a priorizar las vulnerabilidades de ciberseguridad, así como si los miembros del equipo deben remediarlos manualmente o mediante automatización.

Los programas efectivos de gestión de parches y vulnerabilidades a menudo aprovechan tecnologías de protección adicionales o modificaciones a la arquitectura de red para limitar el acceso a los activos, aunque estos esfuerzos pueden requerir tiempo adicional. Las organizaciones que tienen demasiadas vulnerabilidades para parchar con el personal interno pueden complementar sus esfuerzos de remediación a través de la subcontratación.

Aplicar monitoreo continuo de seguridad

La supervisión continua de la seguridad ayuda a los equipos a detectar cambios en activos de software vulnerables y a optimizar el proceso de administración de parches. Con la supervisión continua de la seguridad, los equipos de seguridad implementan escáneres de vulnerabilidades y otras herramientas junto con técnicas manuales para evaluar regularmente las debilidades.

«Las organizaciones que generalmente tienen menos dolores de cabeza con el manejo de parches son a menudo las que evalúan más su entorno», dijo Wilgus.

No todas las organizaciones pueden hacer esto de manera continua. En ese caso, el escaneo mensual es mejor que el trimestral. Sin embargo, si es posible, ejecute análisis diarios, que los profesionales de TI a menudo pueden realizar utilizando agentes. Los escaneos más frecuentes proporcionan más tiempo para que los equipos de soporte prueben e implementen correcciones.

Un programa continuo de monitoreo de seguridad también proporciona visibilidad sobre si un esfuerzo de remediación fue efectivo. La mayoría de las organizaciones maduras requieren que los equipos de seguridad reparen los problemas de alta gravedad dentro de siete días y los problemas moderados dentro de 21 días, dijo Wilgus. El programa de monitoreo ayuda a las organizaciones a rastrear y alinear ese trabajo con sus objetivos.