Gestión de vulnerabilidades

Las vulnerabilidades pueden detectarse con un escáner de vulnerabilidades , que analiza un sistema informático en busca de vulnerabilidades conocidas, ^{[ 2 ]} como puertos abiertos , configuraciones de software inseguras y susceptibilidad a infecciones de malware . También pueden identificarse consultando fuentes públicas, como NVD, actualizaciones de seguridad específicas del proveedor o suscribiéndose a un servicio comercial de alertas de vulnerabilidades.

Las vulnerabilidades desconocidas, como las de día cero , ^{[ 2 ]} pueden encontrarse con pruebas de fuzzing . El fuzzing es una técnica fundamental en la que se introducen datos aleatorios o semialeatorios en los programas para detectar comportamientos inesperados. Herramientas como AFL ( American Fuzzy Lop ) y libFuzzer automatizan este proceso, haciéndolo más rápido y eficiente. Las pruebas de fuzzing pueden identificar ciertos tipos de vulnerabilidades, como un desbordamiento de búfer con casos de prueba relevantes .

De manera similar, las herramientas de análisis estático analizan el código fuente o los binarios para identificar posibles vulnerabilidades sin ejecutar el programa. La ejecución simbólica , una técnica avanzada que combina el análisis estático y dinámico , ayuda aún más a identificar vulnerabilidades. ^{[ 3 ]} Este análisis puede facilitarse mediante la automatización de pruebas . Además, el software antivirus con capacidad de análisis heurístico puede descubrir malware no documentado si encuentra software con un comportamiento sospechoso (como intentar sobrescribir un archivo del sistema ).

Además, para la gestión de vulnerabilidades, las organizaciones utilizan herramientas SCA/ SBOM para la verificación de componentes de terceros, sistemas de inventario de activos, SIEM /SOAR y plataformas de priorización de riesgos. Las fuentes de datos incluyen CVE para identificar vulnerabilidades divulgadas públicamente, NVD y CVSS para la puntuación de gravedad técnica, ^{[ 4 ]} CWE para clasificar tipos de debilidades, OWASP Top 10 para riesgos web, CISA KEV para vulnerabilidades explotadas activamente y EPSS para predecir la probabilidad de que un CVE sea explotado en los próximos 30 días. ^{[ 5 ] [ 6 ] [ 7 ]}

La corrección de vulnerabilidades puede implicar la instalación de un parche , un cambio en la política de seguridad de la red, la reconfiguración del software o la formación de los usuarios sobre ingeniería social .