En seguridad informática, el término " vulnerabilidad " ( vulnerabilidad en inglés , en argot - un agujero ) se usa para referirse a una falla en el sistema, mediante la cual, puede violar intencionalmente su integridad y provocar un funcionamiento incorrecto. Una vulnerabilidad puede ser el resultado de errores de programación , fallas en el diseño del sistema, contraseñas débiles , virus y otro malware , secuencias de comandos e inyecciones de SQL . Algunas vulnerabilidades se conocen solo teóricamente, mientras que otras se usan activamente y tienen exploits conocidos .
Por lo general, una vulnerabilidad permite a un atacante "engañar" a una aplicación para que realice acciones que no pretendía el creador, u obligar a la aplicación a realizar una acción para la que no debería tener derechos. Esto se hace insertando datos o código en el programa de alguna manera en lugares que el programa los perciba como "propios". Algunas vulnerabilidades aparecen debido a una validación insuficiente de la entrada del usuario y permiten que se inserten comandos arbitrarios en el código interpretado ( inyección SQL , XSS , SiXSS ). Otras vulnerabilidades provienen de problemas más complejos, como violaciones de la seguridad de la memoria , como desbordamientos de búfer . Encontrar vulnerabilidades a veces se denomina sondeo , por ejemplo, cuando hablan de sondear una computadora remota, se refieren a buscar puertos de red abiertos y la presencia de vulnerabilidades asociadas con las aplicaciones que utilizan estos puertos. [una]
El método para reportar vulnerabilidades es un punto de discordia en la comunidad de seguridad informática . Algunos expertos abogan por la divulgación completa e inmediata de la información sobre las vulnerabilidades tan pronto como se encuentren. Otros aconsejan informar sobre las vulnerabilidades solo a los usuarios que corren mayor riesgo y publicar la información completa solo después de un retraso o no publicarla en absoluto. Dichos retrasos pueden permitir que aquellos que han sido notificados corrijan el error mediante el desarrollo y la aplicación de parches , pero también pueden aumentar el riesgo para aquellos que no están al tanto de los detalles.
Existen herramientas que pueden ayudarlo a encontrar vulnerabilidades en su sistema. Si bien estas herramientas pueden proporcionar al auditor una buena visión general de las posibles vulnerabilidades que existen en el sistema, no pueden reemplazar la participación humana en su evaluación.
Para garantizar la seguridad e integridad del sistema, es necesario monitorearlo constantemente: instalar actualizaciones, usar herramientas que ayuden a contrarrestar posibles ataques. Se han encontrado vulnerabilidades en todos los principales sistemas operativos, incluidos Microsoft Windows , Mac OS , varias versiones de UNIX (incluido GNU/Linux ) y OpenVMS . Dado que continuamente se encuentran nuevas vulnerabilidades, la única forma de reducir la probabilidad de que se utilicen contra un sistema es mantenerse alerta y utilizar versiones de software actualizadas.
Para identificar vulnerabilidades, se realizan pentests , durante los cuales se suele determinar una lista de sistemas probados y un objetivo específico, y luego se analiza la información disponible y se seleccionan los medios para lograr este objetivo. El objetivo de una prueba de penetración puede ser una " caja blanca " (sobre la cual se proporciona información preliminar y del sistema al evaluador por adelantado) o una " caja negra " (sobre la cual solo se proporciona información básica, si la hay, que no sea la empresa). nombre).
Se ha desarrollado un conjunto de políticas relacionadas con el Sistema de gestión de la seguridad de la información (SGSI) para gestionar las contramedidas de modo que la estrategia de seguridad se implemente de acuerdo con las normas y reglamentos aplicables a la organización. [2]
Un recurso (físico o lógico) puede tener una o más vulnerabilidades que un atacante puede explotar. El resultado podría comprometer potencialmente la confidencialidad, integridad o disponibilidad de los recursos propiedad de la organización y/u otras partes involucradas (clientes, proveedores). [3]
Los tipos comunes de vulnerabilidades incluyen: