¿Qué es una vulnerabilidad informática?

Si has leído o escuchado este término te preguntarás ¿por qué se habla de vulnerabilidades en informática?, ¿qué significa tener vulnerabilidades? Una vulnerabilidad en cualquier ámbito es una posibilidad de recibir un daño, lo podemos ver como una fisura o una debilidad de la cual debemos ser conscientes si no queremos que nos perjudique.

Dicho esto, si lo trasladamos a la ciberseguridad, una vulnerabilidad en los sistemas informáticos es una posible puerta abierta a que alguien con una intención dañina pueda fastidiarnos a nosotros o a nuestra empresa. 

Los expertos en ciberseguridad son los encargados de por un lado intentar que no existan estas vulnerabilidades, sería la parte que gestionarían los encargados de la seguridad de la compañía, es decir, el Blue Team. Por otro lado, se realizan auditorías que deben analizar si este trabajo está bien hecho o, si por el contrario, se han quedado vulnerabilidades del sistema informático al descubierto. Este lado ofensivo es el que abarca el Red Team.

Estas vulnerabilidades pueden ser de muchos tipos, no solo estamos hablando de vulnerabilidades en el software, sino, también pueden ser de hardware. En la otra parte, encontramos el término amenaza. Una amenaza es cualquier tipo de acción que hace explotar una vulnerabilidad, estas amenazas pueden ser tanto externas como internas, siendo desde un ciberataque, un malware, un problema físico en las instalaciones o, incluso, malas prácticas por parte de los empleados de la empresa.

Por último, también debemos tener en cuenta el término del riesgo, pueden existir diferentes vulnerabilidades, pero, su riesgo puede ser mayor o menor en tanto al impacto que puede tener sobre la compañía. No será lo mismo si esa vulnerabilidad afecta solo a un elemento aislado, que si pone en riesgo una gran base de datos, por ejemplo.

¿Qué tipos de vulnerabilidades existen?

Como hemos visto, las vulnerabilidades pueden aparecer en cualquier fase del desarrollo, implementación o incluso en el mantenimiento de los sistemas informáticos, por lo que existen innumerables cantidades de vulnerabilidades. A pesar de ello, podemos hablar de algunas de las más comunes, como son:

• Fallos de diseño. Estas son debidas tanto a fallos dentro del diseño de protocolos de redes o a deficientes políticas de seguridad.
• Errores de configuración. En este caso, las vulnerabilidades se deben a errores de programación o a descuidos de los fabricantes.
• Carencias de mantenimiento. se dan cuando un software ya no recibe actualizaciones por su fabricante 
• Errores de factor humano. Sí, además es una de las más frecuentes, más peligrosas y que se deben de comprobar en cualquier auditoría.

¿Cómo se descubren las vulnerabilidades?

Dentro de los equipos de ciberseguridad, es importante que los equipos que implementan los protocolos dentro de las empresas revisen, actualicen y tengan todo al día para evitar el mayor número posible de vulnerabilidades, pero, si queremos poner a prueba el sistema y comprobar que todo va bien, entran en juego las auditorías en ciberseguridad.

Dentro de las auditorías, podemos encontrar el famoso pentesting o test de penetración, en este caso concreto, lo que se hace es simular ataques controlados a los sistemas informáticos de la organización para descubrir las posibles vulnerabilidades.

Para garantizar una buena seguridad informática, estos procesos de auditoría deberían establecerse de manera periódica. Dentro de las auditorías, podemos encontrar:

• • Auditoría forense. En estos casos, ya ha sucedido un problema y, lo que se debe descubrir es qué ha pasado, cómo ha sucedido y cómo se puede resolver.

• Auditorías web. Ponen a prueba la seguridad de las aplicaciones web para ver las posibles fisuras de su implementación.

• Auditorías de código. Se encargan de revisar el software desde el lado del código para detectar bugs que comprometan la seguridad.

• Auditorías de hacking ético. El pentesting entraría en esta categoría, se trata de usar las mismas técnicas de los hackers, es decir, de los atacantes, para poner a prueba los sistemas pero en un ambiente controlado.

• Análisis de vulnerabilidades. Intenta detectar no solo los agujeros o fisuras en los sistemas, si no de evaluar los riesgos y la robustez de los mismos.

• Auditoría de redes. Se centrará en primer lugar en mapear la red para descubrir todos los dispositivos conectados. Posteriormente será el momento en el que se verificarán actualizaciones de firmware, firmas de antivirus, se comprobarán reglas firewalls y se podrá implementar un filtrado por dirección MAC, VLANS para segregar el tráfico (DMZ), implementación del protocolo 802.1X (servidor RADIUS) para redes WiFi y utilización de VPNs para determinados servidores y equipos.

• Auditorías de ingeniería social. Pueden parecer las auditorías más curiosas, pero, en estos casos, los expertos en ciberseguridad pueden incluso entrar en las oficinas “engañando” a los empleados para verificar las reacciones y los protocolos.

¿Cómo protegerse de estas vulnerabilidades?

Ya hemos hablado de qué son las vulnerabilidades, los tipos, cómo detectarlas, pero, ¿cómo podemos hacer para evitarlas en la mayor medida posible? Como suele pasar en la vida en general, la mejor forma de protegerse es la prevención, para ello, podemos seguir una serie de pasos:

• Mantener todas las aplicaciones y sistemas actualizados. Parece algo básico, pero debemos entender que, por lo general, las actualizaciones mejoran y corrigen los problemas que puedan tener las aplicaciones.
• Escanear vulnerabilidades y aplicar correcciones. No solo es importante descubrir las vulnerabilidades sino, también es importante aplicar sus soluciones para que no se conviertan en algo gordo. 
• Realizar pruebas de penetración en los sistemas. De manera paralela también podemos decir que hacer un inventario tecnológico que incluya los equipos y las redes nos ayudará a mantenerlo todo a salvo.

Además de estos pasos, también se deberían seguir los pasos más básicos y obvios de seguridad, como hacer copias de seguridad, gestionar de manera correcta las contraseñas y, en general, ser responsable como usuario tecnológico.

Si te interesa la ciberseguridad, no dudes en echar un vistazo a nuestra entrevista en Twitch con Josué López donde hablamos de estos y muchos más temas relacionados con la seguridad informática: