Una vulnerabilidad es una debilidad explotable; se identifica con un CVE, se puntúa con CVSS de 0 a 10 y se gestiona en un ciclo continuo de descubrir, valorar, priorizar, corregir y verificar. Un escáner solo detecta su posible existencia; un test de intrusión intenta explotarla en cuatro fases: planificación, descubrimiento, ataque e informe.
El tema 25 del programa de técnico especialista de sistemas y TI cierra el bloque de seguridad con el análisis y la gestión de vulnerabilidades y las pruebas de penetración. Es un tema práctico que encaja con las 50 preguntas de supuestos del primer ejercicio. Aquí tienes lo que debes dominar, apoyado en la especificación CVSS v3.1 de FIRST y en la guía técnica NIST SP 800-115.
Vulnerabilidad, amenaza y riesgo: no los mezcles
Vulnerabilidad: debilidad en un sistema, proceso o control que puede ser explotada.
Amenaza: causa potencial de un incidente que aprovecha esa debilidad.
Riesgo: combinación de la probabilidad de explotación y el impacto sobre el activo. Lo vimos en el artículo de análisis de riesgos con MAGERIT.
Las vulnerabilidades conocidas se catalogan con identificadores CVE (Common Vulnerabilities and Exposures), una lista de nombres estandarizados. La NVD (National Vulnerability Database) del NIST las enriquece con puntuaciones. Son siglas que aparecen mucho en los tests.
El Common Vulnerability Scoring System de FIRST asigna a cada vulnerabilidad una puntuación de 0 a 10. En la versión 3.1, la escala cualitativa es esta:
Gravedad
Puntuación CVSS v3.1
Ninguna (None)
0,0
Baja (Low)
0,1 a 3,9
Media (Medium)
4,0 a 6,9
Alta (High)
7,0 a 8,9
Crítica (Critical)
9,0 a 10,0
CVSS organiza las métricas en tres grupos:
Grupo
Qué mide
Ejemplos
Base
Características intrínsecas que no cambian con el tiempo ni con el entorno
Vector de ataque, complejidad, privilegios requeridos, interacción del usuario, alcance, impacto en C/I/D
Temporal
Rasgos que cambian con el tiempo
Disponibilidad de exploit, estado de la corrección
Entorno
Rasgos propios de tu organización
Requisitos de seguridad (C/I/D) del activo y métricas base modificadas para tu entorno
Detalle de examen. El vector de ataque de la métrica base puede ser de red, adyacente, local o físico. Una vulnerabilidad explotable de forma remota por red y sin privilegios ni interacción del usuario suele puntuar muy alto.
El ciclo de gestión de vulnerabilidades
Descubrir activos y vulnerabilidades con escáneres y revisión de configuraciones.
Valorar cada hallazgo con CVSS y con el contexto de tu entorno.
Priorizar según gravedad, exposición y criticidad del activo (un 7 en un servidor expuesto a internet pesa más que un 9 en un equipo aislado).
Corregir: parchear, reconfigurar o aplicar medidas compensatorias.
Verificar que la corrección funciona y repetir el ciclo.
Escáner de vulnerabilidades frente a test de intrusión
Escáner de vulnerabilidades
Test de intrusión (pentest)
Objetivo
Detectar la posible existencia de vulnerabilidades
Verificar si se pueden explotar y qué daño causarían
Automatización
Alta, con herramientas como Nessus
Mixta: herramientas y trabajo manual
Falsos positivos
Más frecuentes
Menos, porque se valida el ataque
Frecuencia típica
Periódica y continua
Puntual, planificada con autorización
La guía NIST SP 800-115 señala que los escáneres solo comprueban la posible existencia de una vulnerabilidad, mientras que la fase de ataque de un test de intrusión intenta verificarla explotándola.
Las cuatro fases del test de intrusión
Fase
Qué se hace
Planificación
Se fijan reglas, se obtiene y documenta la aprobación de la dirección y se definen objetivos
Descubrimiento
Se recoge información y se descubren servicios; después se analizan las vulnerabilidades posibles
Ataque
Se intenta explotar las vulnerabilidades; si se obtiene acceso, se vuelve al descubrimiento desde la nueva posición
Informe
Se describen las vulnerabilidades halladas, se valora su riesgo y se dan recomendaciones de mitigación
Autorización siempre. La NIST SP 800-115 pide que la aprobación de la dirección quede documentada en la planificación; sin autorización de la organización, un test de intrusión puede ser constitutivo de delito. Si una pregunta te ofrece empezar sin aprobación documentada, es la opción falsa.
Existen pruebas desde el exterior, que simulan a un atacante sin acceso, y desde el interior, que simulan a un empleado malintencionado o a un atacante que ya ha superado el perímetro. Cada enfoque revela cosas distintas.
Aplicación en un entorno sanitario
En un hospital, una prueba agresiva sobre un equipo médico en producción puede causar una caída con riesgo asistencial. Por eso la planificación incluye ventanas de trabajo, exclusiones y entornos de prueba. Los resultados deben retroalimentar el análisis de riesgos y las medidas del Esquema Nacional de Seguridad. Para el resto del bloque, consulta malware, firewall e IDS/IPS y las copias de seguridad.
Pon a prueba tus conocimientos de seguridad
Preguntas tipo examen del bloque de seguridad con corrección y penalización real.
Es el Common Vulnerability Scoring System, un estándar de FIRST que puntúa la gravedad de una vulnerabilidad de 0 a 10. En CVSS v3.1, de 9,0 a 10,0 es crítica y de 7,0 a 8,9 es alta.
¿Qué diferencia hay entre un escáner de vulnerabilidades y un pentest?
El escáner detecta la posible existencia de vulnerabilidades; el pentest intenta explotarlas para verificarlas y medir su impacto real.
¿Cuáles son las fases de un test de intrusión?
Según NIST SP 800-115: planificación, descubrimiento, ataque e informe. Si el ataque da acceso, se vuelve al descubrimiento.
¿Qué es un CVE?
Es un identificador estandarizado para una vulnerabilidad conocida. La base NVD del NIST recopila los CVE y los puntúa.
💻
Practica ahora con preguntas reales de TI SERGAS
2.400+ preguntas tipo test · Tests por tema · Simulacros cronometrados · 100% gratis
🍪 Usamos cookies propias y de terceros para analizar el tráfico (Google Analytics), y recoger opiniones (Trustpilot). Puedes aceptar todas, rechazar o consultar el detalle en nuestra
Política de cookies.