Evaluaciones de Seguridad – Notas HTB
🔍 ¿Qué es una Evaluación de Vulnerabilidades?
Una evaluación de vulnerabilidades (Vulnerability Assessment) tiene como objetivo identificar, categorizar y priorizar las debilidades de seguridad en los activos de una organización. Se enfoca en detectar fallos sin explotarlos de forma activa, aunque algunos clientes pueden solicitar validaciones mínimamente invasivas para reducir falsos positivos.
⚠️ Por lo general, no se realiza explotación manual de vulnerabilidades durante estas evaluaciones.
Objetivos principales:
-
Comprender e identificar debilidades en el entorno.
-
Determinar el nivel de riesgo sin comprometer los sistemas.
-
Proporcionar recomendaciones de remediación.
-
Priorizar vulnerabilidades según su severidad (CVSS).
-
Acordar con el cliente el alcance del análisis (automatizado vs. validación manual).
🧭 Metodología: 8 Pasos para Evaluar Vulnerabilidades
-
Identificar y analizar riesgos.
-
Desarrollar políticas de análisis.
-
Definir tipos de análisis (interno, externo, autenticado, etc.).
-
Configurar el análisis (herramientas, escáneres, parámetros).
-
Ejecutar el análisis.
-
Evaluar riesgos basados en los resultados.
-
Interpretar y priorizar los hallazgos.
-
Crear un plan de remediación.
📚 Términos Clave
🔐 Vulnerabilidad
Una debilidad en sistemas, aplicaciones o redes que puede ser explotada. Las vulnerabilidades se registran en la base de datos CVE de MITRE y se califican con el sistema CVSS (0 a 10), basado en:
-
Tipo de vector de ataque
-
Complejidad del ataque
-
Privilegios requeridos
-
Necesidad de interacción del usuario
-
Impacto en confidencialidad, integridad y disponibilidad (CIA)
Ejemplo: Una inyección SQL sin autenticación externa tiene mayor puntuación que una que requiere autenticación interna.
⚠️ Amenaza (Threat)
Un evento o proceso que puede explotar una vulnerabilidad y causar daño. Su riesgo aumenta si la recompensa es alta y la explotación es sencilla.
💣 Exploit
Código o herramienta utilizada para explotar una vulnerabilidad. Puede encontrarse en:
-
Bases de datos de Rapid7
-
Repositorios como GitHub y GitLab
☠️ Riesgo (Risk)
La posibilidad de que una amenaza explote una vulnerabilidad y cause daño.
Fórmula clásica:
Amenaza + Vulnerabilidad = Riesgo
Comparación conceptual:
-
Risk: Algo malo que podría pasar.
-
Threat: Algo malo que está pasando.
-
Vulnerability: Debilidad que podría permitir una amenaza.
🟨 Matriz de Riesgo (Probabilidad vs. Impacto)
| Probabilidad \ Impacto | Bajo | Medio | Alto |
|---|---|---|---|
| Alta | 3 (Medio) | 4 (Alto) | 5 (Máximo) |
| Media | 2 (Bajo) | 3 (Medio) | 4 (Alto) |
| Baja | 1 (Mínimo) | 2 (Bajo) | 3 (Medio) |
🧾 Gestión de Activos
Para planificar adecuadamente una estrategia de seguridad, primero hay que saber qué activos proteger. La gestión de activos incluye:
📦 Inventario de Activos (Asset Inventory)
Debe cubrir:
-
Tecnología de la información (TI)
-
Tecnología operativa (OT)
-
Activos físicos
-
Dispositivos móviles
-
Software y aplicaciones
-
Infraestructura en la nube
🗂️ Activos de Datos:
-
Almacenamiento local: HDD, SSD, USB, CD/DVD, etc.
-
Nube: AWS, Azure, GCP, etc.
-
SaaS: Google Drive, Dropbox, Office 365, etc.
-
Aplicaciones empresariales locales o en la nube.
-
Dispositivos de red: routers, switches, firewalls, IDS/IPS, DLP.
⚠️ Es clave actualizar el inventario ante cualquier incorporación o retiro de activos.
🛡️ Conclusión
Una evaluación de vulnerabilidades es esencial para comprender y reducir el riesgo en una organización. Solo con un buen conocimiento de los activos y las amenazas, se pueden tomar decisiones informadas y priorizar acciones de remediación efectivas.