Bases de Datos de Vulnerabilidades. El Camino desde la Recolección hasta el Trabajo

Siempre que hablamos de vulnerabilidades, podemos escuchar sobre diferentes bases de datos donde podemos encontrarlas. Hay muchas bases de datos de vulnerabilidades diferentes, pero ¿cuál fue la primera? ¿Y cómo aparecen las vulnerabilidades en estas bases de datos? En este artículo, intentaremos conocer más sobre ello.

¿Qué es una Base de Datos de Vulnerabilidades?

Una base de datos de vulnerabilidades es una herramienta que permite acceder a información sobre vulnerabilidades conocidas. Los expertos recopilan, verifican y comparten información con una gran comunidad para mejorar el conocimiento en ciberseguridad. Las bases de datos de vulnerabilidades ayudan a las organizaciones a rastrear y corregir vulnerabilidades en sus sistemas. Los escáneres de vulnerabilidades se hacen en base a las bases de datos de vulnerabilidades. Un escáner de vulnerabilidades es una herramienta de prueba automatizada que busca vulnerabilidades y fallos en el sistema. Los escáneres son completamente automatizados y solo buscan vulnerabilidades e informan posibles exposiciones. Después de eso, se realiza una prueba de penetración. Debe distinguir estas dos herramientas, ya que están conectadas, pero no son lo mismo.

Las bases de datos cubren una variedad de vulnerabilidades. Se diferencian entre sí según el propósito. Las vulnerabilidades incluyen:

• Hardware – cifrado deficiente, degradación de componentes y vulnerabilidades de firmware.
• Software – problemas de interfaz de usuario, fallos de sincronización, errores de confusión de privilegios, errores de asignación de memoria y errores de diseño.
• Red – arquitecturas inseguras, autenticación insuficiente y acceso no controlado.

¿Cómo Funciona una Base de Datos de Vulnerabilidades?

El primer paso en la recopilación de vulnerabilidades es informarlas. Los informes pueden provenir de diferentes fuentes, desde desarrolladores hasta usuarios. Hay un período de espera para cada vulnerabilidad que se informa. Dura de 30 a 90 días antes de que la información se haga pública. Este período de espera es necesario para que los desarrolladores creen y lancen parches. Además, durante este tiempo los clientes pueden configurar estos parches para protegerse, incluso antes de la notificación pública. Depende de las políticas de notificación y los productos. Después de que se emite el parche, la vulnerabilidad se hace pública para toda la comunidad con sus especificaciones.

¿Cómo se Puntúan las Vulnerabilidades?

Una de las listas de vulnerabilidades más populares es CVE por MITRE, una organización sin fines de lucro patrocinada por el gobierno. El sistema fue establecido en septiembre de 1999. Esta organización ha creado una clasificación para las vulnerabilidades. Este sistema es el CVSS – el Sistema de Puntuación de Vulnerabilidad Común. Una vez que se descubre una vulnerabilidad, se lista en el CVE, pero sin ningún detalle específico. Después del período de espera, las especificaciones se actualizarán en el CVE.

Identificadores de CVE

Los identificadores fueron creados para simplificar el uso y comprensión de las vulnerabilidades para personas de todo el mundo. Como cada sistema tenía sus propias bases de datos e identificadores, era demasiado difícil identificar una misma vulnerabilidad. Desde entonces, cada vulnerabilidad tiene su ID, Referencia y Descripción:

• ID de CVE tiene el año en que se investigó una vulnerabilidad y el número.
• Referencia contiene enlaces a parches, documentos con recomendaciones y comentarios de los desarrolladores.
• Descripción contiene la definición de la vulnerabilidad.

Bases de Datos de Vulnerabilidades Populares

• NVD (Base de Datos Nacional de Vulnerabilidades)
  

  La NVD fue establecida en 2005 por el gobierno de los Estados Unidos. Es la base de datos principal cuando hablamos de bases de datos de vulnerabilidades de código abierto. La NVD no publica vulnerabilidades, sino que analiza los CVE de la lista de MITRE. Este análisis consiste en la puntuación CVSS, enlaces a parches disponibles, información sobre cómo funciona la vulnerabilidad y su calificación de impacto. Todos estos elementos te ayudarán a entender y priorizar la reparación de las vulnerabilidades que tienes.

• OSVDB (Base de Datos de Vulnerabilidades de Código Abierto)
  

  La OSVDB fue creada en 2004 por Jake Kouns, el fundador de Risk Based Security – la empresa que opera una versión comercial del OSVDB – el VulnDB. El objetivo del OSVDB era proporcionar información detallada sobre las vulnerabilidades de seguridad para uso no comercial. Sin embargo, algunas empresas utilizaron esta base de datos con fines comerciales sin pagar. Después de eso, el OSVDB fue cerrado en abril de 2016. En 2011, Risk Based Security inició una versión comercial, llamada VulnDB. Esta base de datos contiene más de 140k entradas. Estas entradas incluyen información sobre vendedores afectados, tipo de vulnerabilidad, clasificación e información de ID. Además, muchas entradas tienen información de inteligencia de amenazas y medidas de protección.

Fuentes Adicionales

Junto con las bases de datos de vulnerabilidades, también puedes usar boletines de seguridad. Esta es una fuente que te ayuda a conocer vulnerabilidades de seguridad, estrategias de mitigación y actualizaciones de software. Algunas empresas de TI tienen sus propios boletines de seguridad, por ejemplo, IBM, Microsoft, etc. Según la información sensible contenida en los boletines, no contienen información detallada sobre la explotación de vulnerabilidades. Los boletines de seguridad informan a los clientes sobre vulnerabilidades. Los clientes son responsables de verificar el daño actual o potencial de las vulnerabilidades.

Además, hay agencias y servicios que brindan información sobre vulnerabilidades. Por ejemplo, los CIS Benchmarks desarrollados a través de esfuerzos voluntarios de expertos en TI, vendedores y desarrolladores de CIS Benchmarks. En nuestra Evaluación de Vulnerabilidades de Base de Datos, utilizamos la guía de CIS Benchmarks y DISA STIGS para identificar y mitigar vulnerabilidades de seguridad y establecer una configuración segura.

Existen muchas bases de datos de vulnerabilidades que puedes utilizar para proteger tu sistema. Las bases de datos de vulnerabilidades se convierten en la base de los escáneres de vulnerabilidades, gracias a los cuales puedes automatizar el proceso de búsqueda de vulnerabilidades. Recuerda estar al tanto de las vulnerabilidades en tus sistemas para proteger datos sensibles y tu reputación.