Salir de la deuda de seguridad
OPINIÓN
Los equipos de seguridad ya saben que tienen demasiadas vulnerabilidades. Lo que a menudo subestiman es cuánto de ese riesgo aún existe.
En este momento, El 82% de las empresas tienen deuda de valores. Se trata de vulnerabilidades que llevan más de un año abiertas. Al mismo tiempo, están aumentando los defectos graves y explotables.
Esta combinación hace que quedarse atrás sea un riesgo real. Las vulnerabilidades no se descubren simplemente. Permanecen en los sistemas de producción el tiempo suficiente para ser encontrados y utilizados.
La mayoría de los equipos ya saben que no pueden arreglarlo todo. Lo saben desde hace años. Lo que ha cambiado es la rapidez con la que la exposición se convierte en un efecto. Los atacantes actúan más rápido, las técnicas de explotación son más accesibles y el tiempo entre el descubrimiento y la explotación es cada vez más corto.
Si aún puedes hacerlo Deuda de seguridad Como problema de acumulación, se mide la actividad, no el riesgo.
La pregunta que importa ahora es simple. ¿Qué vulnerabilidades se han revelado y cuánto tiempo persisten?
Empieza con lo importante
El primer paso es limitar el alcance.
Cada organización tiene uno pequeño número de aplicaciones que conllevan mayor riesgo. Se trata de sistemas vinculados a ingresos, datos confidenciales o acceso externo: las “joyas de la corona” de una organización. Estos son también los sistemas con mayor probabilidad de ser atacados por atacantes.
En lugar de distribuir el esfuerzo entre todo el trabajo pendiente, comience con estas aplicaciones críticas. Luego ve un nivel más profundo. Identificar las vulnerabilidades extremadamente o muy críticas que es probable o muy probable que sean explotadas. En nuestra investigación, encontramos que el 11,3% de las deficiencias existen en esta región de alto riesgo.
Este enfoque no reduce el trabajo atrasado de la noche a la mañana. Reduce el riesgo real.
Cambia tu priorización
Los niveles de gravedad siguen siendo importantes, pero por sí solos no son suficientes.
Los atacantes no priorizan sus ataques según la gravedad. Están buscando algo que sea accesible, fácil de explotar y que tenga algo valioso adjunto. Una vulnerabilidad de gravedad media en una aplicación pública puede representar un riesgo más inmediato que un problema de gravedad alta en un sistema interno.
También estamos viendo que se acumulan cada vez más vulnerabilidades en la categoría de alto riesgo. Se trata de errores que combinan una alta gravedad con una alta explotabilidad. Es más probable que se utilicen en ataques del mundo real y su participación en los resultados generales está aumentando.
La priorización efectiva debe reflejar esta realidad. Los equipos deben hacer algunas preguntas clave. ¿La vulnerabilidad es accesible en producción? ¿La aplicación está expuesta o es crítica para el negocio? ¿Existen exploits conocidos o patrones de ataque activos? Hemos descubierto que cuando los desarrolladores se quedan solos, no priorizan de esta manera.
No es necesario reconstruir todo el modelo de priorización, pero sí es necesario asegurarse de que se aborden primero las vulnerabilidades con mayor probabilidad de ser explotadas en su contra.
Tratar la reurbanización como una cuestión de capacidad
La capacidad fija es una de las mayores limitaciones en la gestión de riesgos de aplicaciones en la actualidad.
La mayoría de las empresas encuentran vulnerabilidades más rápido de lo que pueden solucionarlas. Esta brecha es la razón del crecimiento constante de la deuda de valores.
Si la solución se considera algo que sucede cuando los desarrolladores tienen tiempo extra, siempre se quedará atrás.
Los equipos que logran avances tratan la remediación como una función con recursos. Dedican tiempo de ingeniería dedicado al trabajo de seguridad, establecen expectativas sobre la rapidez con la que se deben remediar las vulnerabilidades de alto riesgo y rastrean si la inteligencia entrante excede su capacidad de remediación. Integra correcciones en el SDLC como parte de un proceso de corrección continuo.
En algunos casos esto requiere compromisos. Ralentizar la entrega de funciones para reducir la exposición no es una decisión fácil, pero a menudo es necesario volver a controlar el riesgo.
Mantenga el control del riesgo de terceros
El 66 por ciento de la deuda de seguridad en código de terceros es crítica, lo que la convierte en una de las fuentes más persistentes de compromiso de larga duración.
Una parte importante de la deuda de valores crítica se debe a dependencias, que tienden a tardar más en resolverse. Nuestra investigación muestra que la vida media de reparación de errores de terceros es de 358 días.
Las razones son bien conocidas: las dependencias transitivas son complejas; Las actualizaciones pueden afectar la funcionalidad; La estructura de propiedad a menudo no está clara. El resultado es consistente: estos problemas permanecen abiertos por más tiempo, lo que amplía su ventana de exposición.
Reducir este riesgo requiere disciplina. Mantenga las dependencias actualizadas, especialmente para aplicaciones de alto riesgo. Proporcione transparencia sobre dónde se utilizan los componentes vulnerables. Priorice las correcciones según la accesibilidad y el impacto, no solo los números de versión o las puntuaciones de gravedad.
Si no gestiona activamente esta capa, dominará silenciosamente su riesgo.
Mida la carga, no solo el trabajo pendiente
La mayoría de los programas de seguridad todavía se basan en métricas que no reflejan el riesgo real.
Contar las vulnerabilidades no te dice si estás más seguro. Hacer un seguimiento de cuántos problemas se han cerrado en un período de tiempo determinado tampoco responde a esta pregunta. Estas son métricas de actividad.
Una medida más útil es Tiempo de exposición. Esto indica cuánto tiempo existe una vulnerabilidad crítica explotable antes de que se solucione o mitigue.
Esta es la ventana en la que operan los atacantes. Cuanto más tiempo permanezca abierto, mayores serán las posibilidades de que sea explotado.
Medir y gestionar esta ventana de oportunidad le dará una visión mucho más clara de si su programa está reduciendo el riesgo.
Concéntrate en reducir la ventana
La deuda de seguridad no desaparecerá. Siempre ha habido más vulnerabilidades de las que los equipos pueden solucionar, y ese seguirá siendo el caso. Lo que puede cambiar es cuánto tiempo permanecen expuestos los más peligrosos. Este es el cambio que deben realizar los responsables de seguridad. No se concentre en eliminar el trabajo atrasado. Concéntrese en reducir el período de tiempo durante el cual las vulnerabilidades críticas están disponibles para los atacantes. Las infracciones ocurren porque la vulnerabilidad incorrecta ha estado expuesta durante demasiado tiempo.
Nos llegó este contenido de ciberseguridad de: DarkReading
Podrás encontrar la noticia original en el enlace que sigue: https://www.darkreading.com/cyber-risk/security-debt-tackle-exposure-problem
