Analizamos 2,5 millones de vulnerabilidades que descubrimos en los activos de nuestros clientes. Esto es lo que encontramos.<\/i><\/span><\/h4>\nProfundizando en los datos<\/h2>\n
El conjunto de datos que analizamos aqu\u00ed es representativo de un subconjunto de clientes que se suscriben a nuestros servicios de escaneo de vulnerabilidades. Los activos escaneados incluyen aquellos a los que se puede acceder a trav\u00e9s de Internet, as\u00ed como aquellos presentes en redes internas. Los datos incluyen hallazgos sobre equipos de red, computadoras de escritorio, servidores web, servidores de bases de datos e incluso alguna que otra impresora de documentos o dispositivo de escaneo.<\/p>\n
La cantidad de organizaciones en este conjunto de datos es menor (3 menos) que el conjunto de datos anterior utilizado en Security Navigator 2023 del a\u00f1o pasado y algunas organizaciones fueron reemplazadas por nuevas incorporaciones. Con el cambio de organizaciones viene una combinaci\u00f3n diferente de activos, lo que hace que comparar los resultados anteriores sea similar a comparar manzanas con naranjas (podr\u00edamos estar sesgados), pero a\u00fan as\u00ed vale la pena se\u00f1alar patrones similares siempre que sea posible.<\/p>\n
Este a\u00f1o, volvemos a abordar el amenazador tema de la vulnerabilidad con la mirada puesta en la siempre presente y persistente cola de debilidades del sistema no resueltas. Las oleadas de problemas graves reci\u00e9n descubiertos son solo para nuestra atenci\u00f3n con problemas existentes sin resolver, que parecen una hidra a la que le siguen creciendo nuevas cabezas serpenteantes tan pronto como despachas a otras.<\/p>\n
Evaluar si un sistema est\u00e1 adecuadamente protegido es un desaf\u00edo que requiere habilidad y experiencia y puede llevar mucho tiempo. Pero queremos conocer cualquier debilidad de antemano en lugar de tener que lidiar con las consecuencias de un “pentest gratuito” no planificado por parte de un grupo aleatorio de Cy-X.<\/p>\n
\nSecurity Navigator 2024 ya est\u00e1 aqu\u00ed: descargar ahora#<\/a><\/h2>\nel reci\u00e9n liberado Navegador de seguridad 2024<\/a> ofrece informaci\u00f3n cr\u00edtica sobre las amenazas digitales actuales, documentando 129,395 incidentes y 25,076 infracciones confirmadas. M\u00e1s que un simple informe, sirve como una gu\u00eda para navegar por un panorama digital m\u00e1s seguro.<\/p>\n\u00bfQu\u00e9 hay adentro?<\/strong>#<\/a><\/h4>\n\n- \ud83d\udcc8 An\u00e1lisis en profundidad:<\/strong> Explore tendencias, patrones de ataque y predicciones. Aprenda de los estudios de casos en CyberSOC y Pentesting.<\/li>\n
- \ud83d\udd2e Listo para el futuro:<\/strong> Equ\u00edpese con nuestras predicciones de seguridad y resumen de investigaci\u00f3n.<\/li>\n
- \ud83d\udc41\ufe0f Datos en tiempo real:<\/strong> Desde la vigilancia de la Dark Net hasta estad\u00edsticas espec\u00edficas de la industria.<\/li>\n<\/ul>\n
Mant\u00e9ngase un paso por delante en ciberseguridad. \u00a1Tu gu\u00eda esencial te espera!<\/p>\n
\ud83d\udd17 Obtenga su copia ahora<\/a><\/p>\n<\/div>\nHallazgos del an\u00e1lisis de vulnerabilidades por gravedad<\/h2>\n
Al examinar la proporci\u00f3n de calificaci\u00f3n de gravedad por hallazgo \u00fanico, vemos que la mayor parte de los hallazgos \u00fanicos, el 79 %, se clasifican como “Alta” o “Media”. Sin embargo, tambi\u00e9n vale la pena se\u00f1alar que la mitad (50,4%) de los hallazgos \u00fanicos se consideran ‘cr\u00edticos’ o ‘altos’.<\/p>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/1705938699_958_El-52-de-las-vulnerabilidades-graves-que-encontramos-estan-relacionadas.jpg\")
<\/a><\/div>\nEl n\u00famero promedio de hallazgos “cr\u00edticos” o “altos” ha disminuido en un 52,17 % y un 43,83 %, respectivamente, en comparaci\u00f3n con nuestros resultados publicados anteriormente. Tambi\u00e9n se puede observar una mejora en los resultados con calificaciones de gravedad “media” y “baja”, que disminuyeron un 29,92 % y un 28,76 %. Como este informe utiliza una muestra de clientes ligeramente diferente a la del a\u00f1o pasado, una comparaci\u00f3n interanual tiene un valor limitado, pero vemos evidencia de que los clientes est\u00e1n respondiendo bien a los hallazgos que informamos, lo que resulta en una mejora general.<\/p>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/1705938700_724_El-52-de-las-vulnerabilidades-graves-que-encontramos-estan-relacionadas.jpg\")
<\/a><\/div>\nLa mayor\u00eda de los hallazgos (78%) calificados como “cr\u00edticos” o “altos” tienen 30 d\u00edas o menos (cuando se analiza una ventana de 120 d\u00edas). Por el contrario, el 18% de todos los hallazgos calificados como “cr\u00edticos” o “altos” tienen 150 d\u00edas o m\u00e1s. Desde una perspectiva de priorizaci\u00f3n, los hallazgos reales ‘cr\u00edticos’ o ‘altos’ parecen abordarse r\u00e1pidamente, pero a\u00fan se acumula algo residual con el tiempo. Vemos, por lo tanto, que los Hallazgos no resueltos contin\u00faan envejeciendo. De hecho, aproximadamente el 35% de todos los CVE \u00fanicos provienen de hallazgos de 120 d\u00edas o m\u00e1s.<\/p>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/1705938701_817_El-52-de-las-vulnerabilidades-graves-que-encontramos-estan-relacionadas.jpg\")
<\/a><\/div>\nEl gr\u00e1fico anterior muestra la larga cola de hallazgos reales no resueltos. Obs\u00e9rvese el primer pico de cola larga notable alrededor de los 660 d\u00edas y el segundo a los 1380 d\u00edas (3 a\u00f1os y 10 meses).<\/p>\n
Una ventana de oportunidad<\/h2>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/1705938702_719_El-52-de-las-vulnerabilidades-graves-que-encontramos-estan-relacionadas.jpg\")
<\/a><\/div>\nLos elevados n\u00fameros promedio de resultados “cr\u00edticos” y “altos” est\u00e1n influenciados en gran medida por los activos que ejecutan los sistemas operativos Microsoft Windows o Microsoft Windows Server. Los activos que ejecutan sistemas operativos distintos de Microsoft, como los sistemas operativos basados \u200b\u200ben Linux, est\u00e1n presentes, pero proporcionalmente se reportan mucho menos. <\/p>\n
Sin embargo, debemos tener en cuenta que los hallazgos “cr\u00edticos” o “altos” asociados con los activos que ejecutan Windows no son necesariamente vulnerabilidades en el sistema operativo, sino que tambi\u00e9n pueden estar relacionados con las aplicaciones que se ejecutan en el activo. <\/p>\n
Quiz\u00e1s sea comprensible que aqu\u00ed predominen las versiones no compatibles de Microsoft Windows y Windows Server, pero resulta sorprendente encontrar versiones m\u00e1s recientes de estos sistemas operativos con gravedades clasificadas como “cr\u00edticas” o “altas”.<\/p>\n
Perspectiva de la industria<\/h2>\n
Estamos usando NAICS<\/a> para nuestra clasificaci\u00f3n industrial. Los resultados aqu\u00ed solo consideran hallazgos basados \u200b\u200ben escaneos de hosts en lugar de servicios como aplicaciones web. El hallazgo real \u00fanico promedio por activo \u00fanico es 31,74 en todas las organizaciones, indicado por la l\u00ednea horizontal discontinua en el cuadro siguiente. <\/p>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/1705938702_8_El-52-de-las-vulnerabilidades-graves-que-encontramos-estan-relacionadas.jpg\")
<\/a><\/div>\nNuestros clientes en la industria de la construcci\u00f3n parecen tener un desempe\u00f1o excepcionalmente bueno en comparaci\u00f3n con clientes de otras industrias, con un promedio de 12,12 hallazgos por activo. En el extremo opuesto del espectro, tenemos las industrias de miner\u00eda, canteras y petr\u00f3leo y gas, donde reportamos un promedio de 76,25 hallazgos \u00fanicos por activo. Los clientes de Administraci\u00f3n P\u00fablica nos sorprendieron superando a Finanzas y Seguros con una media de 35,3 Hallazgos por Activo, frente a 43,27, a pesar del mayor n\u00famero de Activos. Por supuesto, estos valores se derivan del conjunto de clientes presentes en nuestra muestra y pueden no representar la realidad universal.<\/p>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/1705938703_333_El-52-de-las-vulnerabilidades-graves-que-encontramos-estan-relacionadas.jpg\")
<\/a><\/div>\nAl comparar la gravedad promedio por activo \u00fanico por industria, vemos un panorama mixto. Podemos ignorar la Atenci\u00f3n Sanitaria y la Asistencia e Informaci\u00f3n Social, con un recuento de activos \u00fanicos relativamente peque\u00f1o, lo que da como resultado promedios desproporcionados en relaci\u00f3n con otras Industrias. <\/p>\n
Nuestro promedio general de la industria para la calificaci\u00f3n de gravedad Alta es 21,93 y la miner\u00eda, las canteras y la extracci\u00f3n de petr\u00f3leo y gas tienen m\u00e1s del doble de ese promedio. <\/p>\n
De manera similar, Finanzas y Seguros con Servicios de Alojamiento y Alimentaci\u00f3n tambi\u00e9n superaron el promedio general en 10,2 y 3,4 resultados por activo \u00fanico, respectivamente. Las mismas tres industrias excedieron el promedio general de hallazgos calificados como cr\u00edticos, y los servidores de alojamiento y alimentos lo hicieron por casi un factor de 3.<\/p>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/1705938704_919_El-52-de-las-vulnerabilidades-graves-que-encontramos-estan-relacionadas.jpg\")
<\/a><\/div>\nLa vulnerabilidad est\u00e1 envejeciendo<\/h2>\n
Al revisar el amenazante tema de la vulnerabilidad este a\u00f1o, una vez m\u00e1s miramos con recelo la historia siempre presente y persistente de debilidades del sistema no resueltas que simplemente est\u00e1n envejeciendo. Evaluamos m\u00e1s de 2,5 millones de hallazgos de vulnerabilidades que informamos a nuestros clientes y m\u00e1s de 1500 informes de nuestros piratas inform\u00e1ticos \u00e9ticos profesionales para comprender el estado actual de las vulnerabilidades de seguridad y considerar su funci\u00f3n y eficacia como herramienta para la priorizaci\u00f3n.<\/p>\n
La mayor parte de los hallazgos \u00fanicos reportados por nuestros equipos de escaneo (79%) se clasifican como “Altos” o “Medios”, y el 18% de todos los hallazgos graves tienen 150 d\u00edas o m\u00e1s. Aunque por lo general estos problemas se solucionan m\u00e1s r\u00e1pidamente que otros, algunos residuos a\u00fan se acumulan con el tiempo. Si bien la mayor\u00eda de los hallazgos que identificamos se resuelven despu\u00e9s de 90 d\u00edas, el 35 % de todos los hallazgos que informamos persisten durante 120 d\u00edas o m\u00e1s. Y muchos de ellos nunca son abordados en absoluto. <\/p>\n
Los resultados de nuestro escaneo iluminan el problema persistente de las vulnerabilidades sin parches. Mientras tanto, nuestros equipos de Ethical Hacking encuentran con mayor frecuencia aplicaciones y sistemas m\u00e1s nuevos creados en plataformas, marcos y lenguajes contempor\u00e1neos. <\/p>\n
El papel del Ethical Hacker es realizar pruebas de penetraci\u00f3n: emular a un atacante malicioso y evaluar un sistema, una aplicaci\u00f3n, un dispositivo o incluso personas en busca de vulnerabilidades que podr\u00edan usarse para obtener o denegar el acceso a los recursos de TI. <\/p>\n
Las pruebas de penetraci\u00f3n generalmente se consideran un componente de la gesti\u00f3n de vulnerabilidades, pero tambi\u00e9n podr\u00edan verse como una forma de inteligencia sobre amenazas que las empresas deber\u00edan aprovechar como parte de su estrategia de defensa proactiva. <\/p>\n
El 17,67 % de los hallazgos que informaron nuestros Ethical Hackers fueron calificados como “graves”, pero, en una nota m\u00e1s positiva, los hackers deben trabajar m\u00e1s duro hoy en d\u00eda para descubrirlos que en el pasado.<\/p>\n
Este es s\u00f3lo un extracto del an\u00e1lisis. Se pueden encontrar m\u00e1s detalles sobre nuestro an\u00e1lisis de vulnerabilidades y Pentesting (as\u00ed como un mont\u00f3n de otros temas de investigaci\u00f3n interesantes como la categorizaci\u00f3n VERIS de los incidentes manejados en nuestros CyberSOC, estad\u00edsticas de ciberextorsi\u00f3n y un an\u00e1lisis de hacktivismo) en el Navegador de seguridad<\/b><\/a>. Simplemente complete el formulario y obtenga su descarga. \u00a1Vale la pena!<\/p>\nNota:<\/b> Este art\u00edculo informativo ha sido elaborado de manera experta y compartido generosamente por Charl van der Walt, director del Centro de Investigaci\u00f3n de Seguridad de Orange Cyberdefense.<\/i><\/p>\n
<\/p>\n
Security Navigator 2024 ya est\u00e1 aqu\u00ed: descargar ahora#<\/a><\/h2>\nel reci\u00e9n liberado Navegador de seguridad 2024<\/a> ofrece informaci\u00f3n cr\u00edtica sobre las amenazas digitales actuales, documentando 129,395 incidentes y 25,076 infracciones confirmadas. M\u00e1s que un simple informe, sirve como una gu\u00eda para navegar por un panorama digital m\u00e1s seguro.<\/p>\n\u00bfQu\u00e9 hay adentro?<\/strong>#<\/a><\/h4>\n\n- \ud83d\udcc8 An\u00e1lisis en profundidad:<\/strong> Explore tendencias, patrones de ataque y predicciones. Aprenda de los estudios de casos en CyberSOC y Pentesting.<\/li>\n
- \ud83d\udd2e Listo para el futuro:<\/strong> Equ\u00edpese con nuestras predicciones de seguridad y resumen de investigaci\u00f3n.<\/li>\n
- \ud83d\udc41\ufe0f Datos en tiempo real:<\/strong> Desde la vigilancia de la Dark Net hasta estad\u00edsticas espec\u00edficas de la industria.<\/li>\n<\/ul>\n
Mant\u00e9ngase un paso por delante en ciberseguridad. \u00a1Tu gu\u00eda esencial te espera!<\/p>\n
\ud83d\udd17 Obtenga su copia ahora<\/a><\/p>\n<\/div>\nHallazgos del an\u00e1lisis de vulnerabilidades por gravedad<\/h2>\n
Al examinar la proporci\u00f3n de calificaci\u00f3n de gravedad por hallazgo \u00fanico, vemos que la mayor parte de los hallazgos \u00fanicos, el 79 %, se clasifican como “Alta” o “Media”. Sin embargo, tambi\u00e9n vale la pena se\u00f1alar que la mitad (50,4%) de los hallazgos \u00fanicos se consideran ‘cr\u00edticos’ o ‘altos’.<\/p>\n
<\/a><\/div>\nEl n\u00famero promedio de hallazgos “cr\u00edticos” o “altos” ha disminuido en un 52,17 % y un 43,83 %, respectivamente, en comparaci\u00f3n con nuestros resultados publicados anteriormente. Tambi\u00e9n se puede observar una mejora en los resultados con calificaciones de gravedad “media” y “baja”, que disminuyeron un 29,92 % y un 28,76 %. Como este informe utiliza una muestra de clientes ligeramente diferente a la del a\u00f1o pasado, una comparaci\u00f3n interanual tiene un valor limitado, pero vemos evidencia de que los clientes est\u00e1n respondiendo bien a los hallazgos que informamos, lo que resulta en una mejora general.<\/p>\n
<\/a><\/div>\nLa mayor\u00eda de los hallazgos (78%) calificados como “cr\u00edticos” o “altos” tienen 30 d\u00edas o menos (cuando se analiza una ventana de 120 d\u00edas). Por el contrario, el 18% de todos los hallazgos calificados como “cr\u00edticos” o “altos” tienen 150 d\u00edas o m\u00e1s. Desde una perspectiva de priorizaci\u00f3n, los hallazgos reales ‘cr\u00edticos’ o ‘altos’ parecen abordarse r\u00e1pidamente, pero a\u00fan se acumula algo residual con el tiempo. Vemos, por lo tanto, que los Hallazgos no resueltos contin\u00faan envejeciendo. De hecho, aproximadamente el 35% de todos los CVE \u00fanicos provienen de hallazgos de 120 d\u00edas o m\u00e1s.<\/p>\n
<\/a><\/div>\nEl gr\u00e1fico anterior muestra la larga cola de hallazgos reales no resueltos. Obs\u00e9rvese el primer pico de cola larga notable alrededor de los 660 d\u00edas y el segundo a los 1380 d\u00edas (3 a\u00f1os y 10 meses).<\/p>\n
Una ventana de oportunidad<\/h2>\n<\/a><\/div>\nLos elevados n\u00fameros promedio de resultados “cr\u00edticos” y “altos” est\u00e1n influenciados en gran medida por los activos que ejecutan los sistemas operativos Microsoft Windows o Microsoft Windows Server. Los activos que ejecutan sistemas operativos distintos de Microsoft, como los sistemas operativos basados \u200b\u200ben Linux, est\u00e1n presentes, pero proporcionalmente se reportan mucho menos. <\/p>\n
Sin embargo, debemos tener en cuenta que los hallazgos “cr\u00edticos” o “altos” asociados con los activos que ejecutan Windows no son necesariamente vulnerabilidades en el sistema operativo, sino que tambi\u00e9n pueden estar relacionados con las aplicaciones que se ejecutan en el activo. <\/p>\n
Quiz\u00e1s sea comprensible que aqu\u00ed predominen las versiones no compatibles de Microsoft Windows y Windows Server, pero resulta sorprendente encontrar versiones m\u00e1s recientes de estos sistemas operativos con gravedades clasificadas como “cr\u00edticas” o “altas”.<\/p>\n
Perspectiva de la industria<\/h2>\n
Estamos usando NAICS<\/a> para nuestra clasificaci\u00f3n industrial. Los resultados aqu\u00ed solo consideran hallazgos basados \u200b\u200ben escaneos de hosts en lugar de servicios como aplicaciones web. El hallazgo real \u00fanico promedio por activo \u00fanico es 31,74 en todas las organizaciones, indicado por la l\u00ednea horizontal discontinua en el cuadro siguiente. <\/p>\n<\/a><\/div>\nNuestros clientes en la industria de la construcci\u00f3n parecen tener un desempe\u00f1o excepcionalmente bueno en comparaci\u00f3n con clientes de otras industrias, con un promedio de 12,12 hallazgos por activo. En el extremo opuesto del espectro, tenemos las industrias de miner\u00eda, canteras y petr\u00f3leo y gas, donde reportamos un promedio de 76,25 hallazgos \u00fanicos por activo. Los clientes de Administraci\u00f3n P\u00fablica nos sorprendieron superando a Finanzas y Seguros con una media de 35,3 Hallazgos por Activo, frente a 43,27, a pesar del mayor n\u00famero de Activos. Por supuesto, estos valores se derivan del conjunto de clientes presentes en nuestra muestra y pueden no representar la realidad universal.<\/p>\n
<\/a><\/div>\nAl comparar la gravedad promedio por activo \u00fanico por industria, vemos un panorama mixto. Podemos ignorar la Atenci\u00f3n Sanitaria y la Asistencia e Informaci\u00f3n Social, con un recuento de activos \u00fanicos relativamente peque\u00f1o, lo que da como resultado promedios desproporcionados en relaci\u00f3n con otras Industrias. <\/p>\n
Nuestro promedio general de la industria para la calificaci\u00f3n de gravedad Alta es 21,93 y la miner\u00eda, las canteras y la extracci\u00f3n de petr\u00f3leo y gas tienen m\u00e1s del doble de ese promedio. <\/p>\n
De manera similar, Finanzas y Seguros con Servicios de Alojamiento y Alimentaci\u00f3n tambi\u00e9n superaron el promedio general en 10,2 y 3,4 resultados por activo \u00fanico, respectivamente. Las mismas tres industrias excedieron el promedio general de hallazgos calificados como cr\u00edticos, y los servidores de alojamiento y alimentos lo hicieron por casi un factor de 3.<\/p>\n
<\/a><\/div>\nLa vulnerabilidad est\u00e1 envejeciendo<\/h2>\n
Al revisar el amenazante tema de la vulnerabilidad este a\u00f1o, una vez m\u00e1s miramos con recelo la historia siempre presente y persistente de debilidades del sistema no resueltas que simplemente est\u00e1n envejeciendo. Evaluamos m\u00e1s de 2,5 millones de hallazgos de vulnerabilidades que informamos a nuestros clientes y m\u00e1s de 1500 informes de nuestros piratas inform\u00e1ticos \u00e9ticos profesionales para comprender el estado actual de las vulnerabilidades de seguridad y considerar su funci\u00f3n y eficacia como herramienta para la priorizaci\u00f3n.<\/p>\n
La mayor parte de los hallazgos \u00fanicos reportados por nuestros equipos de escaneo (79%) se clasifican como “Altos” o “Medios”, y el 18% de todos los hallazgos graves tienen 150 d\u00edas o m\u00e1s. Aunque por lo general estos problemas se solucionan m\u00e1s r\u00e1pidamente que otros, algunos residuos a\u00fan se acumulan con el tiempo. Si bien la mayor\u00eda de los hallazgos que identificamos se resuelven despu\u00e9s de 90 d\u00edas, el 35 % de todos los hallazgos que informamos persisten durante 120 d\u00edas o m\u00e1s. Y muchos de ellos nunca son abordados en absoluto. <\/p>\n
Los resultados de nuestro escaneo iluminan el problema persistente de las vulnerabilidades sin parches. Mientras tanto, nuestros equipos de Ethical Hacking encuentran con mayor frecuencia aplicaciones y sistemas m\u00e1s nuevos creados en plataformas, marcos y lenguajes contempor\u00e1neos. <\/p>\n
El papel del Ethical Hacker es realizar pruebas de penetraci\u00f3n: emular a un atacante malicioso y evaluar un sistema, una aplicaci\u00f3n, un dispositivo o incluso personas en busca de vulnerabilidades que podr\u00edan usarse para obtener o denegar el acceso a los recursos de TI. <\/p>\n
Las pruebas de penetraci\u00f3n generalmente se consideran un componente de la gesti\u00f3n de vulnerabilidades, pero tambi\u00e9n podr\u00edan verse como una forma de inteligencia sobre amenazas que las empresas deber\u00edan aprovechar como parte de su estrategia de defensa proactiva. <\/p>\n
El 17,67 % de los hallazgos que informaron nuestros Ethical Hackers fueron calificados como “graves”, pero, en una nota m\u00e1s positiva, los hackers deben trabajar m\u00e1s duro hoy en d\u00eda para descubrirlos que en el pasado.<\/p>\n
Este es s\u00f3lo un extracto del an\u00e1lisis. Se pueden encontrar m\u00e1s detalles sobre nuestro an\u00e1lisis de vulnerabilidades y Pentesting (as\u00ed como un mont\u00f3n de otros temas de investigaci\u00f3n interesantes como la categorizaci\u00f3n VERIS de los incidentes manejados en nuestros CyberSOC, estad\u00edsticas de ciberextorsi\u00f3n y un an\u00e1lisis de hacktivismo) en el Navegador de seguridad<\/b><\/a>. Simplemente complete el formulario y obtenga su descarga. \u00a1Vale la pena!<\/p>\nNota:<\/b> Este art\u00edculo informativo ha sido elaborado de manera experta y compartido generosamente por Charl van der Walt, director del Centro de Investigaci\u00f3n de Seguridad de Orange Cyberdefense.<\/i><\/p>\n
<\/p>\n
\u00bfQu\u00e9 hay adentro?<\/strong>#<\/a><\/h4>\n\n- \ud83d\udcc8 An\u00e1lisis en profundidad:<\/strong> Explore tendencias, patrones de ataque y predicciones. Aprenda de los estudios de casos en CyberSOC y Pentesting.<\/li>\n
- \ud83d\udd2e Listo para el futuro:<\/strong> Equ\u00edpese con nuestras predicciones de seguridad y resumen de investigaci\u00f3n.<\/li>\n
- \ud83d\udc41\ufe0f Datos en tiempo real:<\/strong> Desde la vigilancia de la Dark Net hasta estad\u00edsticas espec\u00edficas de la industria.<\/li>\n<\/ul>\n
Mant\u00e9ngase un paso por delante en ciberseguridad. \u00a1Tu gu\u00eda esencial te espera!<\/p>\n
\ud83d\udd17 Obtenga su copia ahora<\/a><\/p>\n<\/div>\nHallazgos del an\u00e1lisis de vulnerabilidades por gravedad<\/h2>\n
Al examinar la proporci\u00f3n de calificaci\u00f3n de gravedad por hallazgo \u00fanico, vemos que la mayor parte de los hallazgos \u00fanicos, el 79 %, se clasifican como “Alta” o “Media”. Sin embargo, tambi\u00e9n vale la pena se\u00f1alar que la mitad (50,4%) de los hallazgos \u00fanicos se consideran ‘cr\u00edticos’ o ‘altos’.<\/p>\n
<\/a><\/div>\nEl n\u00famero promedio de hallazgos “cr\u00edticos” o “altos” ha disminuido en un 52,17 % y un 43,83 %, respectivamente, en comparaci\u00f3n con nuestros resultados publicados anteriormente. Tambi\u00e9n se puede observar una mejora en los resultados con calificaciones de gravedad “media” y “baja”, que disminuyeron un 29,92 % y un 28,76 %. Como este informe utiliza una muestra de clientes ligeramente diferente a la del a\u00f1o pasado, una comparaci\u00f3n interanual tiene un valor limitado, pero vemos evidencia de que los clientes est\u00e1n respondiendo bien a los hallazgos que informamos, lo que resulta en una mejora general.<\/p>\n
<\/a><\/div>\nLa mayor\u00eda de los hallazgos (78%) calificados como “cr\u00edticos” o “altos” tienen 30 d\u00edas o menos (cuando se analiza una ventana de 120 d\u00edas). Por el contrario, el 18% de todos los hallazgos calificados como “cr\u00edticos” o “altos” tienen 150 d\u00edas o m\u00e1s. Desde una perspectiva de priorizaci\u00f3n, los hallazgos reales ‘cr\u00edticos’ o ‘altos’ parecen abordarse r\u00e1pidamente, pero a\u00fan se acumula algo residual con el tiempo. Vemos, por lo tanto, que los Hallazgos no resueltos contin\u00faan envejeciendo. De hecho, aproximadamente el 35% de todos los CVE \u00fanicos provienen de hallazgos de 120 d\u00edas o m\u00e1s.<\/p>\n
<\/a><\/div>\nEl gr\u00e1fico anterior muestra la larga cola de hallazgos reales no resueltos. Obs\u00e9rvese el primer pico de cola larga notable alrededor de los 660 d\u00edas y el segundo a los 1380 d\u00edas (3 a\u00f1os y 10 meses).<\/p>\n
Una ventana de oportunidad<\/h2>\n<\/a><\/div>\nLos elevados n\u00fameros promedio de resultados “cr\u00edticos” y “altos” est\u00e1n influenciados en gran medida por los activos que ejecutan los sistemas operativos Microsoft Windows o Microsoft Windows Server. Los activos que ejecutan sistemas operativos distintos de Microsoft, como los sistemas operativos basados \u200b\u200ben Linux, est\u00e1n presentes, pero proporcionalmente se reportan mucho menos. <\/p>\n
Sin embargo, debemos tener en cuenta que los hallazgos “cr\u00edticos” o “altos” asociados con los activos que ejecutan Windows no son necesariamente vulnerabilidades en el sistema operativo, sino que tambi\u00e9n pueden estar relacionados con las aplicaciones que se ejecutan en el activo. <\/p>\n
Quiz\u00e1s sea comprensible que aqu\u00ed predominen las versiones no compatibles de Microsoft Windows y Windows Server, pero resulta sorprendente encontrar versiones m\u00e1s recientes de estos sistemas operativos con gravedades clasificadas como “cr\u00edticas” o “altas”.<\/p>\n
Perspectiva de la industria<\/h2>\n
Estamos usando NAICS<\/a> para nuestra clasificaci\u00f3n industrial. Los resultados aqu\u00ed solo consideran hallazgos basados \u200b\u200ben escaneos de hosts en lugar de servicios como aplicaciones web. El hallazgo real \u00fanico promedio por activo \u00fanico es 31,74 en todas las organizaciones, indicado por la l\u00ednea horizontal discontinua en el cuadro siguiente. <\/p>\n<\/a><\/div>\nNuestros clientes en la industria de la construcci\u00f3n parecen tener un desempe\u00f1o excepcionalmente bueno en comparaci\u00f3n con clientes de otras industrias, con un promedio de 12,12 hallazgos por activo. En el extremo opuesto del espectro, tenemos las industrias de miner\u00eda, canteras y petr\u00f3leo y gas, donde reportamos un promedio de 76,25 hallazgos \u00fanicos por activo. Los clientes de Administraci\u00f3n P\u00fablica nos sorprendieron superando a Finanzas y Seguros con una media de 35,3 Hallazgos por Activo, frente a 43,27, a pesar del mayor n\u00famero de Activos. Por supuesto, estos valores se derivan del conjunto de clientes presentes en nuestra muestra y pueden no representar la realidad universal.<\/p>\n
<\/a><\/div>\nAl comparar la gravedad promedio por activo \u00fanico por industria, vemos un panorama mixto. Podemos ignorar la Atenci\u00f3n Sanitaria y la Asistencia e Informaci\u00f3n Social, con un recuento de activos \u00fanicos relativamente peque\u00f1o, lo que da como resultado promedios desproporcionados en relaci\u00f3n con otras Industrias. <\/p>\n
Nuestro promedio general de la industria para la calificaci\u00f3n de gravedad Alta es 21,93 y la miner\u00eda, las canteras y la extracci\u00f3n de petr\u00f3leo y gas tienen m\u00e1s del doble de ese promedio. <\/p>\n
De manera similar, Finanzas y Seguros con Servicios de Alojamiento y Alimentaci\u00f3n tambi\u00e9n superaron el promedio general en 10,2 y 3,4 resultados por activo \u00fanico, respectivamente. Las mismas tres industrias excedieron el promedio general de hallazgos calificados como cr\u00edticos, y los servidores de alojamiento y alimentos lo hicieron por casi un factor de 3.<\/p>\n
<\/a><\/div>\nLa vulnerabilidad est\u00e1 envejeciendo<\/h2>\n
Al revisar el amenazante tema de la vulnerabilidad este a\u00f1o, una vez m\u00e1s miramos con recelo la historia siempre presente y persistente de debilidades del sistema no resueltas que simplemente est\u00e1n envejeciendo. Evaluamos m\u00e1s de 2,5 millones de hallazgos de vulnerabilidades que informamos a nuestros clientes y m\u00e1s de 1500 informes de nuestros piratas inform\u00e1ticos \u00e9ticos profesionales para comprender el estado actual de las vulnerabilidades de seguridad y considerar su funci\u00f3n y eficacia como herramienta para la priorizaci\u00f3n.<\/p>\n
La mayor parte de los hallazgos \u00fanicos reportados por nuestros equipos de escaneo (79%) se clasifican como “Altos” o “Medios”, y el 18% de todos los hallazgos graves tienen 150 d\u00edas o m\u00e1s. Aunque por lo general estos problemas se solucionan m\u00e1s r\u00e1pidamente que otros, algunos residuos a\u00fan se acumulan con el tiempo. Si bien la mayor\u00eda de los hallazgos que identificamos se resuelven despu\u00e9s de 90 d\u00edas, el 35 % de todos los hallazgos que informamos persisten durante 120 d\u00edas o m\u00e1s. Y muchos de ellos nunca son abordados en absoluto. <\/p>\n
Los resultados de nuestro escaneo iluminan el problema persistente de las vulnerabilidades sin parches. Mientras tanto, nuestros equipos de Ethical Hacking encuentran con mayor frecuencia aplicaciones y sistemas m\u00e1s nuevos creados en plataformas, marcos y lenguajes contempor\u00e1neos. <\/p>\n
El papel del Ethical Hacker es realizar pruebas de penetraci\u00f3n: emular a un atacante malicioso y evaluar un sistema, una aplicaci\u00f3n, un dispositivo o incluso personas en busca de vulnerabilidades que podr\u00edan usarse para obtener o denegar el acceso a los recursos de TI. <\/p>\n
Las pruebas de penetraci\u00f3n generalmente se consideran un componente de la gesti\u00f3n de vulnerabilidades, pero tambi\u00e9n podr\u00edan verse como una forma de inteligencia sobre amenazas que las empresas deber\u00edan aprovechar como parte de su estrategia de defensa proactiva. <\/p>\n
El 17,67 % de los hallazgos que informaron nuestros Ethical Hackers fueron calificados como “graves”, pero, en una nota m\u00e1s positiva, los hackers deben trabajar m\u00e1s duro hoy en d\u00eda para descubrirlos que en el pasado.<\/p>\n
Este es s\u00f3lo un extracto del an\u00e1lisis. Se pueden encontrar m\u00e1s detalles sobre nuestro an\u00e1lisis de vulnerabilidades y Pentesting (as\u00ed como un mont\u00f3n de otros temas de investigaci\u00f3n interesantes como la categorizaci\u00f3n VERIS de los incidentes manejados en nuestros CyberSOC, estad\u00edsticas de ciberextorsi\u00f3n y un an\u00e1lisis de hacktivismo) en el Navegador de seguridad<\/b><\/a>. Simplemente complete el formulario y obtenga su descarga. \u00a1Vale la pena!<\/p>\nNota:<\/b> Este art\u00edculo informativo ha sido elaborado de manera experta y compartido generosamente por Charl van der Walt, director del Centro de Investigaci\u00f3n de Seguridad de Orange Cyberdefense.<\/i><\/p>\n
<\/p>\n
Mant\u00e9ngase un paso por delante en ciberseguridad. \u00a1Tu gu\u00eda esencial te espera!<\/p>\n
\ud83d\udd17 Obtenga su copia ahora<\/a><\/p>\n<\/div>\n Al examinar la proporci\u00f3n de calificaci\u00f3n de gravedad por hallazgo \u00fanico, vemos que la mayor parte de los hallazgos \u00fanicos, el 79 %, se clasifican como “Alta” o “Media”. Sin embargo, tambi\u00e9n vale la pena se\u00f1alar que la mitad (50,4%) de los hallazgos \u00fanicos se consideran ‘cr\u00edticos’ o ‘altos’.<\/p>\n El n\u00famero promedio de hallazgos “cr\u00edticos” o “altos” ha disminuido en un 52,17 % y un 43,83 %, respectivamente, en comparaci\u00f3n con nuestros resultados publicados anteriormente. Tambi\u00e9n se puede observar una mejora en los resultados con calificaciones de gravedad “media” y “baja”, que disminuyeron un 29,92 % y un 28,76 %. Como este informe utiliza una muestra de clientes ligeramente diferente a la del a\u00f1o pasado, una comparaci\u00f3n interanual tiene un valor limitado, pero vemos evidencia de que los clientes est\u00e1n respondiendo bien a los hallazgos que informamos, lo que resulta en una mejora general.<\/p>\n La mayor\u00eda de los hallazgos (78%) calificados como “cr\u00edticos” o “altos” tienen 30 d\u00edas o menos (cuando se analiza una ventana de 120 d\u00edas). Por el contrario, el 18% de todos los hallazgos calificados como “cr\u00edticos” o “altos” tienen 150 d\u00edas o m\u00e1s. Desde una perspectiva de priorizaci\u00f3n, los hallazgos reales ‘cr\u00edticos’ o ‘altos’ parecen abordarse r\u00e1pidamente, pero a\u00fan se acumula algo residual con el tiempo. Vemos, por lo tanto, que los Hallazgos no resueltos contin\u00faan envejeciendo. De hecho, aproximadamente el 35% de todos los CVE \u00fanicos provienen de hallazgos de 120 d\u00edas o m\u00e1s.<\/p>\n El gr\u00e1fico anterior muestra la larga cola de hallazgos reales no resueltos. Obs\u00e9rvese el primer pico de cola larga notable alrededor de los 660 d\u00edas y el segundo a los 1380 d\u00edas (3 a\u00f1os y 10 meses).<\/p>\n Los elevados n\u00fameros promedio de resultados “cr\u00edticos” y “altos” est\u00e1n influenciados en gran medida por los activos que ejecutan los sistemas operativos Microsoft Windows o Microsoft Windows Server. Los activos que ejecutan sistemas operativos distintos de Microsoft, como los sistemas operativos basados \u200b\u200ben Linux, est\u00e1n presentes, pero proporcionalmente se reportan mucho menos. <\/p>\n Sin embargo, debemos tener en cuenta que los hallazgos “cr\u00edticos” o “altos” asociados con los activos que ejecutan Windows no son necesariamente vulnerabilidades en el sistema operativo, sino que tambi\u00e9n pueden estar relacionados con las aplicaciones que se ejecutan en el activo. <\/p>\n Quiz\u00e1s sea comprensible que aqu\u00ed predominen las versiones no compatibles de Microsoft Windows y Windows Server, pero resulta sorprendente encontrar versiones m\u00e1s recientes de estos sistemas operativos con gravedades clasificadas como “cr\u00edticas” o “altas”.<\/p>\n Estamos usando NAICS<\/a> para nuestra clasificaci\u00f3n industrial. Los resultados aqu\u00ed solo consideran hallazgos basados \u200b\u200ben escaneos de hosts en lugar de servicios como aplicaciones web. El hallazgo real \u00fanico promedio por activo \u00fanico es 31,74 en todas las organizaciones, indicado por la l\u00ednea horizontal discontinua en el cuadro siguiente. <\/p>\n Nuestros clientes en la industria de la construcci\u00f3n parecen tener un desempe\u00f1o excepcionalmente bueno en comparaci\u00f3n con clientes de otras industrias, con un promedio de 12,12 hallazgos por activo. En el extremo opuesto del espectro, tenemos las industrias de miner\u00eda, canteras y petr\u00f3leo y gas, donde reportamos un promedio de 76,25 hallazgos \u00fanicos por activo. Los clientes de Administraci\u00f3n P\u00fablica nos sorprendieron superando a Finanzas y Seguros con una media de 35,3 Hallazgos por Activo, frente a 43,27, a pesar del mayor n\u00famero de Activos. Por supuesto, estos valores se derivan del conjunto de clientes presentes en nuestra muestra y pueden no representar la realidad universal.<\/p>\n Al comparar la gravedad promedio por activo \u00fanico por industria, vemos un panorama mixto. Podemos ignorar la Atenci\u00f3n Sanitaria y la Asistencia e Informaci\u00f3n Social, con un recuento de activos \u00fanicos relativamente peque\u00f1o, lo que da como resultado promedios desproporcionados en relaci\u00f3n con otras Industrias. <\/p>\n Nuestro promedio general de la industria para la calificaci\u00f3n de gravedad Alta es 21,93 y la miner\u00eda, las canteras y la extracci\u00f3n de petr\u00f3leo y gas tienen m\u00e1s del doble de ese promedio. <\/p>\n De manera similar, Finanzas y Seguros con Servicios de Alojamiento y Alimentaci\u00f3n tambi\u00e9n superaron el promedio general en 10,2 y 3,4 resultados por activo \u00fanico, respectivamente. Las mismas tres industrias excedieron el promedio general de hallazgos calificados como cr\u00edticos, y los servidores de alojamiento y alimentos lo hicieron por casi un factor de 3.<\/p>\n Al revisar el amenazante tema de la vulnerabilidad este a\u00f1o, una vez m\u00e1s miramos con recelo la historia siempre presente y persistente de debilidades del sistema no resueltas que simplemente est\u00e1n envejeciendo. Evaluamos m\u00e1s de 2,5 millones de hallazgos de vulnerabilidades que informamos a nuestros clientes y m\u00e1s de 1500 informes de nuestros piratas inform\u00e1ticos \u00e9ticos profesionales para comprender el estado actual de las vulnerabilidades de seguridad y considerar su funci\u00f3n y eficacia como herramienta para la priorizaci\u00f3n.<\/p>\n La mayor parte de los hallazgos \u00fanicos reportados por nuestros equipos de escaneo (79%) se clasifican como “Altos” o “Medios”, y el 18% de todos los hallazgos graves tienen 150 d\u00edas o m\u00e1s. Aunque por lo general estos problemas se solucionan m\u00e1s r\u00e1pidamente que otros, algunos residuos a\u00fan se acumulan con el tiempo. Si bien la mayor\u00eda de los hallazgos que identificamos se resuelven despu\u00e9s de 90 d\u00edas, el 35 % de todos los hallazgos que informamos persisten durante 120 d\u00edas o m\u00e1s. Y muchos de ellos nunca son abordados en absoluto. <\/p>\n Los resultados de nuestro escaneo iluminan el problema persistente de las vulnerabilidades sin parches. Mientras tanto, nuestros equipos de Ethical Hacking encuentran con mayor frecuencia aplicaciones y sistemas m\u00e1s nuevos creados en plataformas, marcos y lenguajes contempor\u00e1neos. <\/p>\n El papel del Ethical Hacker es realizar pruebas de penetraci\u00f3n: emular a un atacante malicioso y evaluar un sistema, una aplicaci\u00f3n, un dispositivo o incluso personas en busca de vulnerabilidades que podr\u00edan usarse para obtener o denegar el acceso a los recursos de TI. <\/p>\n Las pruebas de penetraci\u00f3n generalmente se consideran un componente de la gesti\u00f3n de vulnerabilidades, pero tambi\u00e9n podr\u00edan verse como una forma de inteligencia sobre amenazas que las empresas deber\u00edan aprovechar como parte de su estrategia de defensa proactiva. <\/p>\n El 17,67 % de los hallazgos que informaron nuestros Ethical Hackers fueron calificados como “graves”, pero, en una nota m\u00e1s positiva, los hackers deben trabajar m\u00e1s duro hoy en d\u00eda para descubrirlos que en el pasado.<\/p>\n Este es s\u00f3lo un extracto del an\u00e1lisis. Se pueden encontrar m\u00e1s detalles sobre nuestro an\u00e1lisis de vulnerabilidades y Pentesting (as\u00ed como un mont\u00f3n de otros temas de investigaci\u00f3n interesantes como la categorizaci\u00f3n VERIS de los incidentes manejados en nuestros CyberSOC, estad\u00edsticas de ciberextorsi\u00f3n y un an\u00e1lisis de hacktivismo) en el Navegador de seguridad<\/b><\/a>. Simplemente complete el formulario y obtenga su descarga. \u00a1Vale la pena!<\/p>\n Nota:<\/b> Este art\u00edculo informativo ha sido elaborado de manera experta y compartido generosamente por Charl van der Walt, director del Centro de Investigaci\u00f3n de Seguridad de Orange Cyberdefense.<\/i><\/p>\n <\/p>\nHallazgos del an\u00e1lisis de vulnerabilidades por gravedad<\/h2>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/El-52-de-las-vulnerabilidades-graves-que-encontramos-estan-relacionadas.jpg\")
<\/a><\/div>\n<\/a><\/div>\n<\/a><\/div>\nUna ventana de oportunidad<\/h2>\n
<\/a><\/div>\nPerspectiva de la industria<\/h2>\n
<\/a><\/div>\n<\/a><\/div>\n<\/a><\/div>\nLa vulnerabilidad est\u00e1 envejeciendo<\/h2>\n