Bases de Datos de Vulnerabilidades. El Camino de la Recolección al Trabajo

Siempre que hablamos de vulnerabilidades, podemos oír hablar de diferentes bases de datos donde podemos encontrarlas. Hay muchas bases de datos de vulnerabilidades diferentes, pero ¿cuál fue la primera? ¿Y cómo aparecen las vulnerabilidades en estas bases de datos? En este artículo, intentaremos saber al respecto.

¿Qué Es una Base de Datos de Vulnerabilidades?

Una base de datos de vulnerabilidades es una herramienta que permite acceder a información sobre vulnerabilidades conocidas. Los expertos recopilan, verifican y comparten información con una gran comunidad para mejorar el conocimiento en ciberseguridad. Las bases de datos de vulnerabilidades ayudan a las organizaciones a rastrear y corregir vulnerabilidades en sus sistemas. Los escáneres de vulnerabilidades se elaboran sobre la base de las bases de datos de vulnerabilidades. Un escáner de vulnerabilidades es una herramienta de prueba automatizada que busca vulnerabilidades y fallas en el sistema. Los escáneres son completamente automatizados y solo buscan vulnerabilidades e informan posibles exposiciones. Después de eso, se lleva a cabo una prueba de penetración. Debe distinguir estas dos herramientas, ya que están conectadas pero no son lo mismo.

Las bases de datos cubren una variedad de vulnerabilidades. Se diferencian entre sí según el propósito. Las vulnerabilidades incluyen:

• Hardware – criptografía deficiente, degradación de componentes y vulnerabilidades de firmware.
• Software – problemas de interfaz de usuario, fallos de sincronización, errores de confusión de privilegios, errores de asignación de memoria y errores de diseño.
• Red – arquitecturas inseguras, autenticación insuficiente y acceso no controlado.

Cómo Funciona una Base de Datos de Vulnerabilidades

El primer paso en la recolección de vulnerabilidades es reportarlas. Los informes pueden provenir de diferentes fuentes, desde desarrolladores hasta usuarios. Hay un período de espera para cada vulnerabilidad que se ha reportado. Dura de 30 a 90 días antes de que la información se haga pública. Este período de espera es necesario para que los desarrolladores creen y lancen parches. Además, durante este tiempo los clientes pueden configurar estos parches para protegerse, incluso antes de la notificación pública. Depende de las políticas de notificación y productos. Después de que se emita el parche, la vulnerabilidad se hace pública para toda la comunidad con sus especificaciones.

Cómo se Puntuán las Vulnerabilidades

Una de las listas de vulnerabilidades más populares es la CVE de MITRE, una organización sin fines de lucro patrocinada por el gobierno. El sistema se estableció en septiembre de 1999. Esta organización ha creado una clasificación para las vulnerabilidades. Este sistema es el CVSS – el Sistema Común de Puntuación de Vulnerabilidades. Una vez que se descubre una vulnerabilidad, se lista en el CVE, pero sin detalles específicos. Después del período de espera, se actualizarán los detalles en el CVE.

Identificadores CVE

Los identificadores fueron creados para simplificar el uso y entendimiento de las vulnerabilidades para personas de todo el mundo. Como cada sistema tenía sus propias bases de datos e identificadores, era demasiado difícil identificar una misma vulnerabilidad. Desde entonces, cada vulnerabilidad tiene su ID, Referencia y Descripción:

• ID CVE tiene el año en que se investigó una vulnerabilidad y el número.
• Referencia contiene enlaces a parches, documentos con recomendaciones y comentarios de los desarrolladores.
• Descripción contiene la definición de la vulnerabilidad.

Bases de Datos de Vulnerabilidades Populares

• NVD (Base de Datos Nacional de Vulnerabilidades)
  

  La NVD fue establecida en 2005 por el gobierno de EE.UU. Es la principal base de datos cuando hablamos de bases de datos de vulnerabilidades de código abierto. La NVD no publica vulnerabilidades pero analiza CVEs de la lista de MITRE. Este análisis consiste en la puntuación CVSS, enlaces a parches disponibles, información sobre cómo funciona la vulnerabilidad y su calificación de impacto. Todos estos elementos te ayudarán a entender y priorizar la remediación de las vulnerabilidades que tienes.

• OSVDB (Base de Datos de Vulnerabilidades de Código Abierto)
  

  La OSVDB fue creada en 2004 por Jake Kouns, el fundador de Risk Based Security – la empresa que opera una versión comercial de la OSVDB – el VulnDB. El objetivo de OSVDB era proporcionar información detallada sobre vulnerabilidades de seguridad para uso no comercial. Sin embargo, algunas empresas utilizaron esta base de datos con fines comerciales sin pagar. Después de eso, la OSVDB se cerró en abril de 2016. En 2011, Risk Based Security inició una versión comercial, llamada VulnDB. Esta base de datos contiene más de 140k entradas. Estas entradas incluyen información sobre vendedores afectados, tipo de vulnerabilidad, clasificación e información de ID. Además, muchas entradas tienen información sobre inteligencia de amenazas y contramedidas.

Fuentes Adicionales

Junto con las bases de datos de vulnerabilidades, también puedes usar boletines de seguridad. Esta es una fuente que te ayuda a conocer vulnerabilidades de seguridad, estrategias de remediación y actualizaciones de software. Algunas empresas de TI tienen sus propios boletines de seguridad, por ejemplo, IBM, Microsoft, etc. Debido a la información sensible que contienen los boletines, no incluyen información detallada sobre la explotación de vulnerabilidades. Los boletines de seguridad informan a los clientes sobre las vulnerabilidades. Los clientes son responsables de verificar los daños actuales o potenciales de las vulnerabilidades.

Además, hay agencias y servicios que brindan información sobre vulnerabilidades. Por ejemplo, los Benchmarks de CIS, desarrollados a través de esfuerzos voluntarios de expertos en TI, vendedores y desarrolladores de Benchmarks de CIS. En nuestra Evaluación de Vulnerabilidad de Bases de Datos, estamos utilizando la guía de Benchmarks de CIS y STIGS de DISA para identificar y mitigar vulnerabilidades de seguridad y establecer una configuración segura.

Hay muchas bases de datos de vulnerabilidades que puedes usar para proteger tu sistema. Las bases de datos de vulnerabilidades se convierten en la base de los escáneres de vulnerabilidades, gracias a los cuales puedes automatizar el proceso de búsqueda de vulnerabilidades. Recuerda estar al tanto de las vulnerabilidades en tus sistemas para proteger los datos sensibles y tu reputación.