3. Ejecutar el análisis de vulnerabilidades
Si bien el estado de los parches de software se puede recopilar utilizando paquetes de administración de activos, se debe usar un Sistema de Evaluación de Vulnerabilidades Automatizado (VAS por sus siglas en inglés) para identificar las vulnerabilidades de los sistemas y equipos de TI de la organización.
Las suites de administración de activos de software no siempre buscan bibliotecas vulnerables y no verifican configuraciones erróneas.
Los VAS realizan acciones contra un sistema de destino, luego evalúan los datos devueltos con firmas de vulnerabilidades conocidas (por ejemplo: el número de versión informado por el servicio de red, el cual se compara contra vulnerabilidades conocidas).
Cuando se utilice un VAS, es necesario:
- Evaluar los sistemas desde una perspectiva externa, por ejemplo, desde Internet, así como desde una perspectiva interna, asumiendo que el diseño del sistema diferencia entre estas dos ubicaciones.
- Supervisar las cuentas utilizadas para ejecutar análisis de evaluación de vulnerabilidades en busca de cualquier actividad inusual. Cuando no se esté realizando una evaluación, hay que considerar deshabilitar la cuenta o cambiar las credenciales asociadas a ella.
- Realizar escaneos de las redes, además de escaneos específicos de sistemas conocidos, con el objetivo de descubrir dispositivos potencialmente desconocidos o no autorizados.
- Tener en cuenta que un VAS puede provocar resultados inesperados, que pueden incluir la corrupción de datos. Estos resultados son muy poco probables en sistemas relativamente modernos (aquellos desarrollados posteriores al 2010), pero es recomendable probar el VAS con copias de sistemas críticos que no sean de producción antes de ponerlo en funcionamiento.
- Ejecutar el VAS con las credenciales (típicamente usuario y contraseña) necesarias para realizar una evaluación en el host (computadora, servidor o sistema) no simplemente un escaneo no autenticado (sin credenciales). Algunos VAS usan un agente en el host, mientras que otros usan credenciales privilegiadas para autenticar y consultar el estado de los dispositivos. La elección entre estas dos opciones es una cuestión de qué es más fácil de integrar para la empresa en sus sistemas.
Las credenciales privilegiadas que se utilizan para realizar la evaluación de vulnerabilidades se utilizan para conectarse a una gran cantidad de sistemas y existe el riesgo de que quien ataque acceda al sistema comprometido.