El an\u00e1lisis de vulnerabilidad da como resultado Navegador de seguridad de Orange Cyberdefenses<\/a> muestran que algunas vulnerabilidades descubiertas por primera vez en 1999 todav\u00eda se encuentran en las redes en la actualidad. Esto es preocupante.<\/p>\n Nuestros escaneos de vulnerabilidades se realizan de forma recurrente, lo que nos brinda la oportunidad de examinar la diferencia entre cu\u00e1ndo se realiz\u00f3 un escaneo en un activo y cu\u00e1ndo se inform\u00f3 un hallazgo determinado en ese activo. Podemos llamar a eso el hallazgo ‘Edad’. Si no se abordan los hallazgos notificados por primera vez, se producir\u00e1n en m\u00e1s escaneos a lo largo del tiempo a medida que aumenta la Edad, y as\u00ed podemos rastrear c\u00f3mo cambia la Edad de los hallazgos informados a lo largo del tiempo.<\/p>\n Como ilustra claramente el siguiente cuadro, la mayor\u00eda de los hallazgos reales en nuestro conjunto de datos, en todos los niveles de gravedad, tienen entre 75 y 225 d\u00edas de antig\u00fcedad. Hay un segundo “pico” alrededor de los 300 d\u00edas, que sospechamos tiene m\u00e1s que ver con la antig\u00fcedad de los datos en el conjunto de datos y, por lo tanto, puede ignorarse. Finalmente, hay un ‘golpe’ fascinante alrededor de los 1000 d\u00edas, que creemos que representa la ‘cola larga’ de hallazgos en el conjunto de datos que simplemente nunca se abordar\u00e1. <\/p>\n El 75 % de los hallazgos en el ‘golpe’ de 1000 d\u00edas son de gravedad media, pero el 16 % se clasifican como de gravedad alta o cr\u00edtica. <\/p>\n La edad promedio de los hallazgos en nuestro conjunto de datos se ve afectada tanto por los cambios en nuestro conjunto de clientes y activos como por cualquier factor externo, como se puede ver en el alto grado de variaci\u00f3n. Sin embargo, hay un claro aumento en la edad promedio de los hallazgos del 241 % de 63 a 215 d\u00edas durante los 24 meses desde que incorporamos clientes a esta plataforma.<\/p>\n La agrupaci\u00f3n aproximada de los hallazgos confirmados de nuestros datos de exploraci\u00f3n de vulnerabilidades por “grupo de edad” revela lo siguiente:<\/strong><\/p>\n El gr\u00e1fico a continuaci\u00f3n sugiere que incluso las vulnerabilidades cr\u00edticas tardan alrededor de 6 meses en promedio en resolverse, pero eso es alentador al menos un 36 % m\u00e1s r\u00e1pido que el tiempo para problemas de baja gravedad.<\/p>\n Echando un vistazo m\u00e1s de cerca a las lecturas de tiempo promedio versus tiempo m\u00e1ximo para diferentes clasificaciones de criticidad, terminamos con el gr\u00e1fico a continuaci\u00f3n. <\/p>\n Si bien nuestra conclusi\u00f3n de que los problemas cr\u00edticos se resuelven m\u00e1s r\u00e1pido representa el tiempo promedio de mitigaci\u00f3n, el tiempo m\u00e1ximo es consistentemente alto, independientemente de la criticidad.<\/p>\n Tendremos que observar m\u00e1s esta m\u00e9trica a medida que el conjunto de datos crezca en el futuro. <\/p>\n La edad m\u00e1xima de los hallazgos en la vista a continuaci\u00f3n sirve tanto como una indicaci\u00f3n de cu\u00e1nto tiempo los clientes de esa industria han estado presentes en nuestro conjunto de datos como cualquier otra cosa, mientras que la edad promedio es un mejor indicador de qu\u00e9 tan bien los clientes est\u00e1n resolviendo los problemas. informamos. Por lo tanto, las industrias con m\u00e1ximos altos y promedios bajos estar\u00edan haciendo lo mejor, m\u00e1ximo alto y promedio alto… lo ‘peor’. Las industrias con edades m\u00e1ximas muy bajas probablemente no hayan estado en el conjunto de datos por mucho tiempo y, por lo tanto, tal vez no deber\u00edan incluirse en las comparaciones de esta m\u00e9trica.<\/p>\n Independientemente de c\u00f3mo se comparen estas industrias, la edad del hallazgo es una m\u00e9trica preocupante.<\/strong><\/p>\n Hasta ahora solo hemos analizado el tiempo relativo, desde que encontramos por primera vez una vulnerabilidad en un activo hasta ahora (si a\u00fan est\u00e1 presente). Sin embargo, eso no nos da ninguna informaci\u00f3n sobre la antig\u00fcedad real de esas vulnerabilidades. Echando un vistazo m\u00e1s de cerca a los CVE encontrados, podemos analizar sus fechas de publicaci\u00f3n. Los resultados son algo desconcertantes, pero parecen ajustarse a la imagen que surge: por una u otra raz\u00f3n, algunas vulnerabilidades simplemente no se solucionan nunca. Pasan a formar parte de la deuda de seguridad que acumulan las empresas.<\/p>\n Cada d\u00eda se publican m\u00e1s de 22 vulnerabilidades con CVE asignados. Con un puntaje CVSS promedio superior a 7 (gravedad alta), cada una de estas vulnerabilidades reveladas es un punto de datos significativo que afecta nuestras ecuaciones de riesgo y nuestra exposici\u00f3n real a las amenazas. <\/p>\n El escaneo de vulnerabilidades y las pruebas de penetraci\u00f3n son mecanismos que utilizamos para dar sentido a las vulnerabilidades que pueden afectar nuestra postura de seguridad, comprender su impacto potencial, priorizar y tomar las medidas adecuadas. Estos dos ejercicios de evaluaci\u00f3n tienen un enfoque diferente, pero usan un lenguaje similar y tienen un prop\u00f3sito similar. <\/p>\n Este a\u00f1o estamos incluyendo un an\u00e1lisis de conjuntos de datos de ambos servicios en el Navegador. Esta es la primera vez que intentamos esto, y nuestros datos a\u00fan est\u00e1n lejos de ser perfectos. <\/p>\n Lo que podemos ver claramente es que estamos luchando para gestionar las vulnerabilidades que conocemos. En promedio, nuestros clientes tardan 215 d\u00edas en parchear una vulnerabilidad que les informamos. Esto es un poco m\u00e1s bajo para las vulnerabilidades cr\u00edticas: parece que se corrigen un 36 % m\u00e1s r\u00e1pido que los problemas de gravedad “baja”. Pero el panorama sigue siendo sombr\u00edo: el 80 % de todos los hallazgos tardan 30 d\u00edas o m\u00e1s en parchearse, el 57 % tarda 90 d\u00edas o m\u00e1s. <\/p>\n \u00a1Nuestros equipos de pentesting todav\u00eda est\u00e1n descubriendo vulnerabilidades que se identificaron por primera vez en 2010, y nuestros equipos de escaneo encuentran problemas que datan de 1999! De hecho, el 47% de los CVE tienen 5 a\u00f1os o m\u00e1s. El 13% tiene 10 a\u00f1os o m\u00e1s. Este es un resultado preocupante.<\/p>\n Esto es solo un extracto del an\u00e1lisis. Se pueden encontrar m\u00e1s detalles, como la criticidad de las vulnerabilidades y los cambios en los resultados de an\u00e1lisis de VOC y Pentesting a lo largo del tiempo (as\u00ed como una tonelada de otros temas de investigaci\u00f3n interesantes), en el Navegador de seguridad<\/a>. Es gratis, as\u00ed que \u00e9chale un vistazo. \u00a1Vale la pena!<\/p>\n Nota: <\/b>Esta pieza informativa ha sido elaborada por expertos y compartida generosamente por Charl van der Walt, Jefe de Investigaci\u00f3n de Seguridad en Orange Cyberdefense.<\/i><\/p>\n <\/p>\nEdad de los hallazgos de COV<\/strong><\/h2>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/01\/1674583417_985_Investigacion-de-Security-Navigator-algunas-vulnerabilidades-se-remontan-al-ultimo.jpg\")
<\/div>\n\n
Antig\u00fcedad media\/m\u00e1xima de los hallazgos por gravedad <\/strong><\/h2>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/01\/1674583418_656_Investigacion-de-Security-Navigator-algunas-vulnerabilidades-se-remontan-al-ultimo.jpg\")
<\/div>\nComparaci\u00f3n de la industria<\/strong><\/h2>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/01\/1674583418_394_Investigacion-de-Security-Navigator-algunas-vulnerabilidades-se-remontan-al-ultimo.jpg\")
<\/div>\n\u00bfQu\u00e9 edad tienen realmente esas vulnerabilidades?<\/strong><\/h2>\n
\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/01\/1674583418_105_Investigacion-de-Security-Navigator-algunas-vulnerabilidades-se-remontan-al-ultimo.jpg\")
<\/div>\nConclusi\u00f3n<\/strong><\/h2>\n