Inicio / Blog / Infórmate, actualízate, hazte fuerte

Infórmate, actualízate, hazte fuerte

Publicado el 02/04/2014, por INCIBE
listas de correo de seguridad

El pasado 19 de Marzo se anuncio públicamente el cierre de la lista de correo Full-Disclosure causando bastante revuelo en la comunidad de investigadores de seguridad, con mensajes como el de Katie Moussouris que recordaban cómo comenzó la lista en 2002.

La importancia que ésta y otras listas de correo tienen para la investigación y divulgación de nuevas vulnerabilidades es muy importante, ya que una lista como la de Full-Disclosure independiente de un actor con intereses cruzados, era ampliamente utilizada por fabricantes, e investigadores para reportar y discutir sobre la información técnica de las mismas.

Esta pérdida Este susto para la comunidad de investigación en seguridad nos recuerda lo importante que es la información sobre las vulnerabilidades y las nuevas amenazas a sistemas de información.

Al fin y al cabo, la información que manejan todas las empresas, de este o de otros sectores siempre se asienta en una infraestructura tecnológica con servidores, dispositivos de red, repositorios documentales, aplicaciones de gestión, sistemas de gestión empresarial, etc. En definitiva, una infraestructura que debe gestionarse adecuadamente. Esto lo saben también los ciberdelincuentes que invierten sus esfuerzos en descubrir los puntos vulnerables de esta infraestructura para acceder a nuestros activos.

Esta situación hace que, a medida que crece nuestra dependencia de los sistemas y comunicaciones, el departamento TI cobra relevancia y ha de responsabilizarse en mayor medida de la gestión de las amenazas, y del mismo modo que tiene que aportar nuevas herramientas que mejoren la eficacia y eficiencia de los sistemas que utilizamos en nuestro trabajo también deben hacerlo con la seguridad de la información y su tratamiento, y esto incluye la gestión de las vulnerabilidades.

Para una correcta gestión de vulnerabilidades debemos:

  • Realizar revisiones periódicas de los sitios web y las notificaciones de seguridad, para identificar las nuevas actualizaciones de software y los nuevos problemas de seguridad.
  • Determinar en qué medida afecta el fallo encontrado a la seguridad de nuestros sistemas.
  • Localizar y aplicar las actualizaciones necesarias conforme a las instrucciones del fabricante.
  • Verificar que el sistema está funcionando correctamente una vez aplicada la actualización.

Es en este punto de gestión de vulnerabilidades donde adquiere importancia la información sobre las vulnerabilidades, no podemos corregir lo que no conocemos.

Para facilitar esta tarea, desde INTECO ofrecemos de forma pública y gratuita la información de la base de datos de vulnerabilidades NVD (National Vulnerability Database) elaborada y mantenida por el NIST (National Institute of Standards and Technology’s) del gobierno americano, traducidas al español para facilitar su difusión.

Servicio de base de datos de Vulnerabilidades de INTECO

Ilustración 1: Servicio de base de datos de Vulnerabilidades de INTECO

El acceso a esta información se puede realizar también mediante un servicio de suscripción donde el usuario (un administrador de sistemas por ejemplo) pueda seleccionar los productos o fabricantes que le interesan y recibir esa información en su correo de forma periódica. Para ello tan sólo es necesario registrarse como usuario y seleccionar la opción del boletín de Vulnerabilidades.

Además también puedes encontrar el servicio de suscripción RSS para que conozcas todas las vulnerabilidades de forma rápida y sencilla a través de este servicio.