El manejo de vulnerabilidades es el proceso de evaluar, categorizar y remediar amenazas. Es prácticamente imposible parchear todas las vulnerabilidades de una red o sistema y a veces es una pérdida de tiempo.
Después de todo, sólo aproximadamente el 2% de las vulnerabilidades acaban siendo explotadas. En su lugar se trata de abordar las vulnerabilidades más peligrosas y reducir la probabilidad de uso del vector de ataque.
Aquí es donde entran en juego los sistemas de calificación de vulnerabilidades.
Common Vulnerability Scoring System (CVSS)
Introducido por primera vez en 2005, es muy popular. Mide las siguientes preguntas para puntuar una vulnerabilidad:
- ¿Cómo de fácil es explotarla?
- ¿Existen exploits para esto?
- ¿Cómo interfiere esta vulnerabilidad con la tríada CIA?
De hecho hay tantas variables que debes usar una calculadora para calcular la nota usando este framework. La vulnerabilidad recibe una clasificación en función de la nota obtenida. Estas siguen la siguiente tabla:
| Rating | Score |
|---|---|
| None | 0 |
| Low | 0.1 - 3.9 |
| Medium | 4.0 - 6.9 |
| High | 7.0 - 8.9 |
| Critical | 9.0 - 10.0 |
Sin embargo, CVSS no es una bala mágica. Si analizamos algunas de las ventajas y desventajas del sistema CVSS:
| Ventajas de CVSS | Desventajas de CVSS |
|---|---|
| CVSS lleva muchos años. | CVSS no está diseñado para dar prioridad a las vulnerabilidades sino para establecer un nivel de severidad. |
| CVSS es popular en organizaciones. | CVSS evalúa las vulnerabilidades en función de la disponibilidad de un exploit. Sin embargo sólo el 20% lo tienen. |
| CVSS es un framework gratuito y recomendado por asociaciones como NIST. | Las vulnerabilidades no cambian de nota casi nunca después de su evaluación, incluso cuando nuevos desarrollos permiten encontrar exploits. |
Vulnerability Priority Rating (VPR)
El framework VPR es mucho más moderno en cuanto al manejo de vulnerabilidades. Desarrollado por Tenable. Está considerado por ser basado en riesgos asociados, lo que significa que a las vulnerabilidades se les da una nota con un enfoque en el riesgo que la vulnerabilidad supone para una organización.
Al contrario que CVSS, la puntuación de VPR toma en cuenta la relevancia. Es decir, no será considerado ningún riesgo una vulnerabilidad la cual no se aplique a la organización. Además es dinámico de manera que la nota puede variar con el tiempo.
| Rating | Score |
|---|---|
| Low | 0.0 - 3.9 |
| Medium | 4.0 - 6.9 |
| High | 7.0 - 8.9 |
| Critical | 9.0 - 10.0 |
Veamos algunas de las ventajas y desventajas de usar VPR.
| Advantages of VPR | Disadvantages of VPR |
|---|---|
| VPR es moderno y orientado al mundo real. | VPR no es de código abierto. |
| VPR considera más de 150 factores para calcular el riesgo. | VPR sólo puede adoptarse como parte de una plataforma comercial. |
| VPR está basado en riesgos y es usado por organizaciones para ayudar a priorizar el parcheo de vulnerabilidades. | VPR no considera la tríada CIA igual que CVSS. |
| Los resultados no son finales y pueden variar en el tiempo. | En blanco intencionalmente. |