Cómo el «Patch Tuesday» sigue marcando el ritmo tras 20 años

El 9 de octubre de 2003El director ejecutivo de Microsoft, Steve Ballmer, anunció que la empresa publicaría parches de seguridad solo una vez al mes para «reducir la carga de trabajo de los administradores de TI, aportando así un mayor nivel de previsibilidad y facilidad de gestión».

Dos décadas después, Microsoft sigue publicando sus actualizaciones de seguridad cada segundo martes del mes, con excepciones ocasionales en casos de emergencia, y muchas otras empresas, como Oracle y Adobe, siguen normas similares.

Martes de parches La gestión de riesgos se había convertido en una cita mensual, pero, como tantas otras innovaciones, surgió de la crisis. A principios de 2002, poco después de que el mundo viviera dos de sus primeros «días del fin del mundo cibernético», Code Red y NimdaMicrosoft ha decidido cambiar su filosofía de seguridad. Los dos gusanos, que infectaron cientos de miles de ordenadores en cuestión de horas, aprovecharon vulnerabilidades para las que ya existían parches.

«El problema no era que no creáramos parches; el problema era que la gente no los distribuía con la suficiente rapidez», afirma Christopher Budd, que trabajó en Microsoft entre 2000 y 2010 y ahora es director sénior de investigación de amenazas en Sophos.

En aquella época, el trauma del 11 de septiembre se hacía palpable en Norteamérica y existía una creciente preocupación dentro de Microsoft en relación con la seguridad. El 15 de enero de 2002, Bill Gates envió su famoso Nota sobre la informática de confianzaque destaca la importancia de proteger a los clientes y sus sistemas.

Una forma de mejorar la seguridad consistió en modificar el proceso de distribución de parches. Así pues, en lugar de anunciarlos de forma impredecible varias veces a lo largo de la semana siguiendo el principio de «se envían cuando están listos», Microsoft empezó a agruparlos para facilitar a los clientes la tarea de mantenerse al día con todos ellos.

En un primer momento, la idea se puso en práctica como un «proyecto piloto discreto», explica Budd. Sin embargo, dado que arrojó resultados prometedores, pronto se hizo oficial. El primer «Patch Tuesday» oficial El informe se publicó el 14 de octubre de 2003 y recogía siete vulnerabilidades, cinco de las cuales se clasificaron como críticas.

«El martes era el primer día de la semana en el que teníamos la sensación de poder ofrecerlo de forma sostenible», afirma Budd, que participó en la puesta en marcha del Patch Tuesday.

Este enfoque, basado en plazos fijos, se ha convertido en una práctica habitual en el sector. Sin embargo, el camino hasta llegar a ello no siempre ha sido fácil.

Los primeros días del «Patch Tuesday»

A lo largo de los años, Microsoft ha ido desarrollando y perfeccionando su enfoque respecto a los parches de seguridad, adaptándose a las amenazas cambiantes. Entre los gusanos más destacados que siguieron a Code Red se encuentran, por ejemplo, Sasser y Blastercontribuyó a que el «Patch Tuesday» creciera y, finalmente, madurara.

Budd y sus compañeros del Centro de Respuesta de Seguridad de Microsoft, que «de repente cobraron una importancia increíble» tras la publicación del memorándum sobre «Trustworthy Computing», intentaron introducir mejoras en la distribución y la detección de parches. Un logro importante fue el desarrollo de herramientas que permitían a los administradores realizar un análisis e identificar los sistemas que necesitaban actualizaciones de seguridad, una idea que, aunque sencilla, resultó ser revolucionaria.

Todo el proceso de publicación de parches requería mucho trabajo, sobre todo el lunes anterior al «Patch Day», cuando había que revisarlo todo. Los expertos en seguridad trabajaban hasta altas horas de la noche, se perdían las fiestas de cumpleaños e incluso se duchaban en la sede central de Microsoft porque no tenían tiempo de ir a casa.

Por este motivo, la publicación de los boletines se celebraba con música a todo volumen que retumbaba en los altavoces.

«Cuando los boletines se publicaron en línea, fue algo muy importante para nosotros», afirma Dustin Childs, que trabajó en Microsoft entre 2008 y 2014 y ahora es responsable de concienciación sobre amenazas en la Zero Day Initiative de Trend Micro.

Normalmente, el responsable de publicaciones era quien seleccionaba la música para este boletín.

«Recuerdo que hubo un mes en el que sonó música klingon, pero normalmente era rock and roll», afirma Childs.

De vez en cuando, poco después de que terminara la música, se producía el caos porque algunos parches tenían consecuencias no deseadas. Un incidente notable tuvo lugar en febrero de 2010, cuando miles de clientes informaron casi de inmediato de pantallas azules.

Cuando los expertos en seguridad de Redmond se enteraron del problema de las pantallas azules, intentaron reproducirlo, pero no lo consiguieron. A falta de una solución mejor, Microsoft compró el ordenador de un cliente que había llamado a un centro de asistencia cerca de Dallas para informar del problema.

«Y en cuanto recibimos ese ordenador, descubrimos que tenía instalado un rootkit», afirma Childs.

El rootkit Alureon había realizado modificaciones en los archivos binarios del núcleo de Windows, lo que provocaba que los sistemas se volvieran inestables. La empresa volvió a publicar el parche y solucionó el problema.

«Sin embargo, lo realmente curioso fue que los creadores del rootkit se dieron cuenta antes que nosotros y actualizaron su rootkit en menos de 48 horas para eludir el parche [del lanzamiento]», explica Childs. «¡Nos llevó una semana arreglarlo!»

Y no fue el único episodio extraño en la historia del «Patch Tuesday». Childs recuerda, por ejemplo, que un parche de Internet Explorer colapsó la banca online en Corea del Sur, mientras que un parche de Windows Media Player dejó fuera de combate a todo un país… dos veces.

«Por alguna razón, se produjo una pantalla azul en los sistemas de Dinamarca», explica. «Así que tuvimos que retirar ese parche, arreglarlo y volver a publicarlo. Y luego, al mes siguiente, volvió a ocurrir lo mismo. No sé qué tenían de especial los sistemas de Dinamarca».

Incluso hoy en día, algunos parches publicados por las empresas de software en general —no solo por Microsoft— pueden causar problemas que resultan frustrantes para quienes los instalan. Childs sostiene que, si los proveedores mejoraran la fiabilidad de estas correcciones, los clientes estarían más dispuestos a aplicarlas de inmediato, en lugar de esperar semanas o meses para ver si otros han tenido problemas.

La actitud de esperar a ver qué pasa puede ser arriesgada, ya que deja sus sistemas expuestos a vulnerabilidades conocidas. Por este motivo, Childs recomienda a los usuarios que apliquen los parches lo antes posible. También les insta a señalar los parches de mala calidad.

«Hagamos que los proveedores rindan cuentas», afirma Childs. «Asegurémonos de que produzcan parches de calidad».

Aanchal Gupta, subdirector de seguridad de la información (CISO) de Microsoft, afirma que la empresa lleva a cabo «pruebas exhaustivas» de los parches.

«Antes de lanzar un parche a nuestros clientes, este se somete a rigurosas pruebas, no solo dentro de Microsoft. … [T]ambién contamos con un grupo de probadores beta, empresas externas, que reciben los parches con antelación, antes de que se publiquen», explica. «Pueden probarlos en su entorno y comunicarnos si hay algún aspecto específico en su entorno que pudiera hacer que el parche no funcione».

El «Martes de parches» de hoy

El día de los parches ha evolucionado mucho desde aquellos primeros tiempos en los que la música klingon resonaba por los altavoces. Con el paso del tiempo, los lanzamientos se han vuelto más discretos e incluso se han automatizado, pasando a ser invisibles para algunos usuarios.

En los últimos diez años, Microsoft ha introducido varios cambios para agilizar el proceso. Así, a mediados de la década de 2010 anunció las actualizaciones acumulativas, de modo que un cliente que, por ejemplo, se hubiera saltado cinco parches, solo tuviera que instalar el último, ya que los demás estaban incluidos en él. La empresa también introdujo guías de actualizaciones de seguridad legibles por máquina, lo que permitió a las empresas con grandes flotas de dispositivos recurrir a la automatización.

Pero no todos los cambios fueron bien recibidos por la comunidad. Cuando Microsoft decidió eliminar los boletines de seguridad y sustituirlos por las «Security Update Guides», los clientes se quejaron de que la información que recibían resultaba menos intuitiva. Algo similar ocurrió en otoño de 2020, cuando el gigante tecnológico eliminó los resúmenes que contenían información detallada sobre las vulnerabilidades. Una vez más, muchos en el sector argumentaron que no habían recibido suficiente información, lo que dificultaba su toma de decisiones.

Esa fue «probablemente la decisión más disruptiva» que ha tomado Microsoft, afirma la investigadora de seguridad Claire Tills. «Sé que a algunos responsables de seguridad también les supuso un verdadero problema».

Más recientemente, en 2022, Microsoft dio un paso más para convertir el «Patch Tuesday» en un martes cualquiera al anunciar Autopatch, que prometía a los clientes con licencias de Windows Enterprise E3 y E5 simplificar el proceso de corrección de vulnerabilidades. Esta medida llevó a las organizaciones a preguntarse si el «Patch Tuesday», tal y como lo conocemos, podría desaparecer, un rumor que Microsoft desmintió.

La repercusión mediática en torno al «Patch Tuesday» es cada vez menor, y el número de vulnerabilidades del día de los parches quizá haya alcanzado su punto álgido. En 2020, un año especialmente «agresivo», Tills contabilizó unas 1.200, mientras que en 2022 registró 663.

«En cuanto a los tipos de vulnerabilidades, las más habituales son la elevación de privilegios y la ejecución remota de código», afirma. «De vez en cuando se producen picos en la divulgación de información y la elusión de funciones de seguridad; estas dos también aparecen».

Pero, a pesar de las funciones diseñadas para agilizar el proceso de aplicación de parches, esta tarea puede seguir resultando desalentadora para las pequeñas empresas que no pueden permitirse un equipo de soporte técnico dedicado. Por este motivo, Gupta recomienda a estos clientes que se pasen a la nube.

«Así podrán centrarse por completo en su negocio y no tendrán que preocuparse por aplicar parches ni por gestionar los sistemas», afirma. «También animo a la gente a que no desactive las actualizaciones automáticas».

Pero, ante la transición hacia la automatización de los procesos, ¿resulta obsoleto dedicar un día a las actualizaciones?

¿Se está quedando obsoleto el «Patch Tuesday»?

Es difícil imaginar un mundo de ciberseguridad sin el «Patch Tuesday», que lleva dos décadas siendo un elemento imprescindible del sector. Sin embargo, dado que las amenazas son cada vez más sofisticadas y la geopolítica más volátil, es posible que el modelo tradicional del «Patch Tuesday» ya no sea suficiente para mantener los sistemas seguros.

Las empresas que operan en entornos complejos, por ejemplo, en estos sectores tan competitivos o en zonas conflictivas como Ucrania, no pueden permitirse cometer errores en la gestión de parches. Los actores maliciosos «a menudo se centran en vulnerabilidades técnicas y no en personas u organizaciones concretas», afirma Nazar Tymoshyk, fundador y director ejecutivo de la startup de ciberseguridad UnderDefense, que ha protegido a varias organizaciones durante la guerra en curso con Rusia.

«La explotación de vulnerabilidades sin parchear en las pilas tecnológicas o en recursos web obsoletos sigue representando el 50 % del éxito [de Rusia] en las operaciones de ciberinteligencia», afirma.

Tymoshyk cree que el «Patch Tuesday» sigue siendo necesario y que no debería suprimirse. Sin embargo, las organizaciones deberían aprovecharlo y adoptarlo. rutinas de parche adicionales en función del tamaño y la complejidad de su infraestructura o de los tipos de software y sistemas que utilicen.

Satnam Narang, ingeniero jefe de investigación de Tenable, también se muestra a favor de mantener el «Patchday», ya que las rutinas pueden ayudar a las empresas a… cultura orientada a la seguridad.

«Cada semana viene alguien a recoger la basura de nuestra calle, y sabemos que eso ocurre cada semana un día concreto», afirma. «El Patch Tuesday es un recurso valioso porque tiene lugar un día concreto de cada mes, lo que permite a las empresas dedicar el tiempo necesario para corregir esas vulnerabilidades».

Un sistema de parches caótico podría no funcionar, afirma Narang, porque los equipos de seguridad ya están desbordados. Aviv Grafi, director técnico y fundador de Votiro, está de acuerdo. «El tiempo es un factor decisivo, y debemos centrarnos en utilizar tecnologías y software que proporcionen a los equipos de seguridad más tiempo desde el principio», afirma Grafi.

Los expertos en seguridad añaden, además, que los ciclos continuos de parches y actualizaciones automáticas en algunos casos, esto no siempre es factible a nivel empresarial. «En caso de que surja un problema, las grandes organizaciones deben ser capaces de restablecer los sistemas a un estado conocido, y eso requiere planificación», afirma David Farquhar, arquitecto de soluciones de Nucleus.

El «Patch Tuesday» es un elemento fundamental en las rutinas de muchas organizaciones, pero, aun así, puede resultar impredecible. Los últimos años han demostrado que su estructura puede cambiar sin previo aviso. «Aunque el «Patch Tuesday» parezca algo tan básico y sólido, puede cambiar en un abrir y cerrar de ojos», afirma Tills. «El fin del «Patch Tuesday» podría resultar catastrófico para muchas organizaciones».

Sin embargo, por el momento parece que Microsoft mantendrá el programa en marcha. «Yo no me preocuparía por que el Patch Tuesday desapareciera tan pronto», afirma Gupta.