Los proveedores de software lanzan actualizaciones de parches de seguridad demasiado tiempo después de que aparecen los problemas. He aquí por qué ya no es aceptable para las grandes corporaciones.
Los administradores de TI están cada vez más preocupados por la naturaleza interconectada de las empresas y los desafíos de seguridad que esto presenta. Sin embargo, todas las preocupaciones son infundadas y un falso pánico podría, por el contrario, evitar que se contrarreste la posibilidad de un ciberataque.
Algunas personas piensan que no hay otra alternativa que pagar la “tarifa de mantenimiento” anual y aplicar parches de software interminables. Eso ignoraría la naturaleza misma de las amenazas de seguridad actuales, admitiendo de una vez por todas que la mayoría de los proveedores de software no son especialistas en seguridad y probablemente nunca lo serán. En la mayoría de los casos, los parches proporcionados por los proveedores de ERP solo sirven para corregir errores, lo que en la mayoría de los casos es una forma glorificada y lucrativa de juego de topos. donde los códigos erróneos se sucederían indefinidamente.
Avanzar en el lanzamiento de parches de seguridad
Por lo general, los proveedores de software investigan los errores para determinar su validez y significado, un proceso complicado y que requiere mucho tiempo. Deben identificar todos los lugares donde se ha utilizado la biblioteca o la base de código afectada, en qué plataformas y durante cuánto tiempo. En muchos casos, este método permite a los editores darse cuenta de que, a veces, un error ha existido durante mucho tiempo, hasta 20 o 30 años. Incluso sucede que un problema dado es «parchado» nuevamente muchos años después; de hecho, es relativamente fácil pasar por alto un error.
Anticiparse al riesgo de fallo antes de que aparezca el problema
Llega el día en que se lanza una corrección, y aquí es donde comienza el problema para la mayoría de las empresas. La aplicación de un parche suele ser un proceso largo y tedioso, especialmente para las plataformas que incorporan una gran cantidad de personalizaciones potencialmente amenazadas por ciertos efectos secundarios del parche. Incluso en el caso de empresas que han optado por aplicar los parches «rápidamente» (lo cual es raro, el ritmo es más bien anual, en el mejor de los casos mensual), puede pasar un año entero hasta que el parche descargado sea instalado, probado en el entorno operativo y , bien, puesto en producción. Los clientes deben esperar a que se publiquen los parches, luego realizar rigurosas pruebas de regresión, verificaciones de control de calidad, ejecutar pruebas de usuario final y reparar los elementos dañados por los parches, todo multiplicado por cada base de datos o instancia de aplicación en uso en la empresa. Estas múltiples tareas requieren mucho tiempo, no están exentas de ciertos riesgos y fenómenos de ruptura, e inducen un costo relativamente alto. Y cuando vuelve a ocurrir una situación similar, la mecánica debe reiniciarse, en la medida en que los editores de software suelen contentarse con los comandos de la lista negra que generalmente son ignorados por el siguiente, lo que obliga a los clientes a repetir este ciclo varios cientos de veces.
Por ejemplo, la vulnerabilidad que afectó a Apache Struts y provocó la falla de seguridad de Equifax se debió a una deserialización insegura (CWE-502, uno de varios CWE-20: Validación de entrada incorrecta), un error generalizado en la mayoría de las aplicaciones en la actualidad. Sin embargo, el parche lanzado para eliminar el problema aún no resuelve las vulnerabilidades CWE-502 o CWE-20: solo resuelve la exposición (CVE-2017-5638). Casi al mismo tiempo, se lanzó otro parche para corregir una debilidad similar (CVE-2017-9805). Es por eso que se han publicado varios cientos de parches para remediar esta deserialización insegura, la mayoría de los cuales se han eludido muchas veces. Más allá de los artículos parcheados, considere las fallas de seguridad que han aparecido en los titulares a lo largo de los años: Marriott, Target, AdultFriendFinder o eBay. Ninguno ha sido resuelto por el parche proporcionado por el editor original. Es probable que estas empresas hayan sido víctimas de errores de configuración, amenazas internas, acciones de administradores laxos, incumplimiento de las políticas de seguridad, etc. Son precisamente estas amenazas las que hacen que los usuarios de ERP se pregunten si realmente están protegidos al confiar sus reglas de seguridad al editor original.
El hecho es que los parches que ofrecen los proveedores son complejos e incluso cuando se aplican, su alcance sigue siendo limitado porque abordan el problema una vez que se ha descubierto, y no la falla en su conjunto.
Por supuesto, hay una solución mejor.
Desarrollar una estrategia de seguridad moderna
Las soluciones de seguridad de próxima generación abordan casi todas las enumeraciones de debilidades comunes (CWE, por sus siglas en inglés). Enumeración de debilidades comunes) aplicable, y no los puntos de exposición tomados por separado. Por ejemplo, en lugar de «desmantelar» un problema de inyección de SQL y centrarse en cada vulnerabilidad de sintaxis (lo que corresponde a la estrategia de reparación de los proveedores originales), las soluciones de próxima generación minimizan las debilidades de la inyección de SQL en su conjunto.
Hoy en día, los gerentes de seguridad de los sistemas de información (CISO) necesitan estrategias de seguridad modernas y menos costosas, como la protección de bases de datos en memoria o la autoprotección en tiempo real de programas intermedios y aplicaciones, sin mencionar otras técnicas proactivas mucho más efectivas para administrar la seguridad de las pilas de software empresarial mientras se reduce enormemente el tiempo de inactividad y el tiempo de inactividad. Los CISO más expertos utilizan estas tecnologías como una herramienta de control de rutina o compensatoria, dependiendo de la situación, para cumplir con o exceder el expectativas de los auditores de seguridad cuando la aplicación de parches no es práctica o factible para el negocio.
___________________
Par eric helmerdirector técnico (CTO), Calle Rímini
Lea también:
Siete formas de enfrentar los desafíos de la multinube
Transformación digital: nuevas métricas adaptadas a la nube.
Microsoft anuncia Windows Autopatch, un servicio SaaS que está revolucionando el mantenimiento de estaciones de trabajo
Ataques a la cadena de suministro: las pymes son una puerta de entrada indirecta
[
