REPORTE DE VULNERABILIDADES EN ASCENSO

REPORTE DE VULNERABILIDADES EN ASCENSO

Todos los días ocurren varias incidencias de mayor o menor impacto, desde ataques cibercriminales cuyo objetivo es la simple obtención de dinero hasta ataques reivindicativos por asuntos políticos o religiosos; sin olvidar otros menores tales como venganzas, demostraciones de poder, etc. Incidentes que pueden llevarse a cabo en la mayoría de casos gracias a las distintas vulnerabilidades existentes en los sistemas operativos, las aplicaciones y en general en todos los dispositivos que comprenden el ecosistema informático mundial.

Vulnerabilidades totales reportadas por score desde 1999 hasta 2021
Vulnerabilidades totales reportadas por puntuación a 20/03/2022
Fuente: cvedetails.com

Estas vulnerabilidades son normalmente producto del descuido en el diseño y elaboración de los mismos por distintas causas que no vamos a detenernos a detallar en esta ocasión. Lo que hemos venido a contar (nunca mejor dicho) son las cifras que envuelven a las vulnerabilidades, esos “despistes de diseño” a través de los cuales los atacantes pueden conseguir su objetivo mediante la explotación de diversas técnicas de hacking.

Las vulnerabilidades reportadas por hackers éticos, fabricantes, desarrolladores y demás actores son recopiladas y documentadas mediante un sistema de clasificación el cual otorga una identificación única a cada vulnerabilidad y se clasifican además con una puntuación o “score” que detalla el riesgo de la vulnerabilidad a la hora de ser usada por los atacantes.

Tabla de equivalencia de nivel de riesgo según puntuación CVSS
Equivalencia de nivel de riesgo según puntuación CVSS

Puntuación CVSS o nivel de riesgo

Esta puntuación cataloga el nivel de riesgo desde 0.0 hasta 10.0, siendo 10.0 el índice máximo de riesgo, es el llamado CVSS (Common Vulnerability Scoring System) usado por esta lista de identificación y catalogación de vulnerabilidades que comentamos, esta lista fue creada en 1999 por la corporación MITRE y es conocida por las siglas CVE (Common Vulnerabilities and Exposures), es actualmente un estándar en ciberseguridad usado por la mayoría de repositorios de vulnerabilidades conocidas. Puede consultarse y es actualizada diariamente con todas las nuevas vulnerabilidades reportadas.

La forma de otorgar el nivel de riesgo a una vulnerabilidad viene dada por una combinación de diferentes factores como vector de acceso, el impacto en la confidencialidad o integridad, los potenciales daños colaterales, etc. Una forma sencilla de poder evaluar la puntuación de una vulnerabilidad que hayamos podido encontrar es haciendo uso de una calculadora de CVSS, como por ejemplo la ofrecida por el Instituto Nacional de Estándares y Tecnología del gobierno de Estados Unidos en la siguiente dirección: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator o la disponible en la web del Foro de Respuesta a Incidentes y Equipos de Seguridad, más conocido como el FIRST por sus siglas en inglés: https://www.first.org/cvss/calculator/3.1

En ella podemos calcular la puntuación obtenida por una vulnerabilidad seleccionando las opciones disponibles en un formulario. También podemos consultar la fórmula que utilizan para calcular el resultado.

El identificador CVE

El CVE asignado a una vulnerabilidad se compone de las siglas CVE seguido del número del año en la que se ha reportado la vulnerabilidad y el número de vulnerabilidad, normalmente de 4 dígitos aunque puede contener más cifras de ser necesario. El formato sería del estilo CVE-AAAA-NNNN, donde AAAA comprende los dígitos del año y NNNN al número de vulnerabilidad. Este número puede variar en el orden de publicación ya que puede asignarse por parte del CVE Content Team, el CVE Editor o por una reserva previa de numeración que puede ser de forma individual o por lotes al comienzo de cada año, como es el caso de los grandes fabricantes como Microsoft o Apple.

Un ejemplo de CVE podría ser el CVE-2021-44228, que corresponde a una vulnerabilidad publicada las pasadas navidades encontrada por un equipo de ciberseguridad de Alibaba Cloud en la librería LOG4J de la Apache Sotfware Foundation con una puntación de riesgo del nivel máximo que tanto revuelo ha ocasionado.

Las vulnerabilidades en cifras

Ahora que ya todos conocemos la nomenclatura y la forma de puntuar las vulnerabilidades vamos a por esos números. Desde 1999 que se llevan recopilando las vulnerabilidades en la lista CVE, llevamos acumuladas hasta el pasado fin de semana la nada despreciable cifra de 172.448 vulnerabilidades reportadas de las cuales más de 20.000 son catalogadas como graves o muy graves.

Todas las vulnerabiliadades reportadas desde 1999 hasta 2021

En la gráfica anterior puede observarse como a lo largo de los años el número de vulnerabilidades reportadas ha ido en aumento significativamente, derivado por varios factores. El más destacado es el aumento de desarrollos existentes unido al creciente interés por la ciberseguridad en varios niveles. La cantidad de equipos de ciberseguridad y hackers éticos dispuestos a reportar ha aumentado en gran medida en los últimos años, los programas de bug bounty también han contribuido a ello.

En contraposición al aumento de publicación de vulnerabilidades encontramos la cantidad de vulnerabilidades de nivel muy grave que ha experimentado un descenso desde 2016, coincidente justo ese mismo año con el aumento de reportes como puede verse en la gráfica siguiente.

Índice de vulnerabilidades graves desde 1999 a 2021

El aumento en concienciación en ciberseguridad por parte de las empresas fabricantes de software junto con el incremento de los ataques llevados a cabo por cibercriminales y otros grupos hace que la importancia de la figura de los hackers éticos sea crucial, al igual que la importancia de la aplicación de técnicas de desarrollo seguro por los equipos de programación de empresas y organizaciones.

Un indicador positivo en la aplicación de estas medidas podría ser el ver un descenso en el reporte total de vulnerabilidades de años venideros, aunque de momento todo parece apuntar a que van a seguir incrementándose.

Solo tenemos que observar los datos generados en los pocos meses transcurridos en 2022, que asciende a nada menos que a 5.335 vulnerabilidades, una cantidad superior a todos los reportes generados en todo el año 2013 y también si lo comparamos con los resultados del pasado año 2021 en la misma fecha que ascendía a poco más de 3.800 reportes.

Compartiva de vulnerabilidades reportadas en el primer trimenstre de 2021 y 2022

Fuente: https://unaaldia.hispasec.com/2022/03/vulnerabilidades-reportadas-ascienden-a-mas-de-172-000.html

 


Deja un comentario


Contacto

  • Calle de la Prosa 136, San Borja Lima
  • (01) 225 1313
  • usuarios@osiptel.gob.pe
  • www.osiptel.gob.pe