¿Qué es una Vulnerabilidad? y, ¿Cuáles son sus tipos?

por | Dic 17, 2020 | Ciberseguridad

¡Hola Comunidad!, este es mi primer post por aquí y les recuerdo que si quieren compartir sus artículos en este blog pueden hablar con nosotros enviándonos un mensaje a [email protected] entonces sin más, empecemos.

Una vulnerabilidad es un fallo de seguridad, algún punto débil dentro de un sistema por ejemplo que si es explotado pueden poner en riesgo la confidencialidad, integridad y disponibilidad de la información que esta dentro de por ejemplo el sistema que se ha vulnerado, al hablar de una vulnerabilidad es necesario también tocar algunos términos que son exploit, payload y 0day, un exploit en la informática se podría definir como un fragmento de código, secuencias de comandos o instrucciones usadas para explotar una vulnerabilidad. Normalmente los exploits se usa para inyectar en un payload, el payload en pocas palabras es como la acción que queremos que se haga después de explotar un sistema, de que el exploit haya tenido éxito, por ejemplo, imaginemos que hay un auto que tiene un sistema de conducción automática, y nosotros lo que queremos es de alguna forma acceder a ese sistema y hacer que el auto conduzca automáticamente hasta otra ciudad, bueno supongamos que nosotros investigando pudimos descubrir que ese sistema tiene una vulnerabilidad, un fallo en su código que permite que podamos acceder a él e investigando más conseguimos el exploit para aprovechar esa vulnerabilidad, entonces nosotros lanzaríamos el exploit y obtendríamos acceso al sistema, entonces es ahí cuando el payload le indicaría al sistema que haga lo que queremos, que es que el auto conduzca automáticamente desde donde esta hasta otra ciudad, básicamente el exploit nos da acceso y el payload ya es lo que queremos hacer una vez con el acceso, bien el otro termino, el 0day, un 0day hace referencia a todas las vulnerabilidades que no están parcheadas porque no son conocidas más que por la persona o personas que la han descubierto y no la han reportado, supongamos que alguien esta tocando algunas cosas de una aplicación y consigue una vulnerabilidad, pero se lo calla y no la reporta al equipo de desarrollo de esa aplicación, eso ya es un 0day, porque es una vulnerabilidad que solo conoce esa persona y por consiguiente puede aprovechar esa vulnerabilidad en todos los equipos del mundo que tengan esa versión de esa aplicación, y podría hacerlo sin que los desarrolladores de esa aplicación supieran que hay una vulnerabilidad en su producto y lo sabrán cuando hagan una revisión de la aplicación u otra persona consiga la vulnerabilidad y se las reporte, pero hasta entonces solo los que sepan esa vulnerabilidad podrán aprovecharla, los 0days tiene un mercado muy alto, donde se manejan cantidad muy grande de dinero, por ejemplo alguien quiere un 0day para poder acceder como administrador en dispositivos con Windows 10 y hay alguien que tiene un 0day para ello y que cuando la descubrió, no la reporto a Microsoft en este caso, por ende en teoría solo la sabe esa persona, pues que hace, lo vende, lo vende a un precio muy alto porque es básicamente comprar algo que sabes que funcionará porque hasta ese momento no esta parcheado y con precios altos me refiero a 600, 700 o incluso 800 mil dólares, obviamente hay muchos 0days más baratos porque no son tan críticos, pero los que son así de críticos como el ejemplo que pusimos si pueden llegar a costar eso.

Una vez con estos términos claros, vamos ahora a lo que son los tipos de vulnerabilidades.

Tenemos las naturales, físicas, en software, en hardware, en conexión y las humanas.

Vulnerabilidades naturales

 

Las vulnerabilidades naturales son aquella que van en consecuencia con las condiciones ambientales, condiciones que puedan poner en riesgo la información, por ejemplo, instalaciones cercanas a ríos, infraestructuras no resistentes a terremotos, huracanes, etc.

No es lo mismo tener por ejemplo, un centro de datos en un segundo piso de un edifico que sea resistente, que tenerlo en el sótano de un edifico al lado de un rio donde seria propenso a una inundación por ejemplo.

 

Vulnerabilidades físicas

 

Las vulnerabilidades físicas, que son básicamente debilidades que hay en lugares donde la información se almacena o se trata de forma física, por ejemplo, problemas para la identificación de personas, mala gestión de cableado, como cables de red o de energía, imagina por ejemplo que una persona en la empresa se tropieza por error con algún cable y corta la comunicación muy importante, eso no es ningún ataque dirigido ni con intención maliciosa sino un accidente por la mala organización del cableado.

Vulnerabilidades en software

 

Las vulnerabilidades naturales son aquella que van en consecuencia con las condiciones ambientales, condiciones que puedan poner en riesgo la información, por ejemplo, instalaciones cercanas a ríos, infraestructuras no resistentes a terremotos, huracanes, etc. No es lo mismo tener por ejemplo, un centro de datos en un segundo piso de un edifico que sea resistente, que tenerlo en el sótano de un edifico al lado de un río donde seria propenso a una inundación por ejemplo. instalación de aplicaciones que puedan ser aprovechadas por un atacante, para por ejemplo hacer un uso excesivo de los recursos del sistema es por esto que en varias empresas se les prohíbe a los empleados tener la libertad de instalar todas las aplicaciones que quieran, para evitar que pase algo así.

Bueno, todas estas vulnerabilidades, si son explotadas puedan provocar un sinfín de consecuencias, por ejemplo, alguna denegación de servicios, un acceso no autorizado al sistema, el robo de información, etc,

Este tipo de vulnerabilidades, en concreto, las que son reportadas y por ende conocidas públicamente, pues hay entidades que se encargan del registro de estas vulnerabilidades en una base de datos y se le asigna como un número de identificación que normalmente esta compuesto por el año de descubrimiento y una id única, por ejemplo tenemos la base de datos de CVE estas son las siglas de Common Vulnerabilities and Exposure, esta base de datos es básicamente la principal en el mundo, en la que se recogen la mayoría de vulnerabilidades y digo que es la principal, ya que por ejemplo Microsoft también tiene una base de datos propia de vulnerabilidades, pero esta base de datos es solo de vulnerabilidades que se han descubierto en sus productos, es decir que no van a tener una vulnerabilidad que afecte al kernel de ubuntu, por ejemplo, en cambio la base de datos de CVE abarca la mayoría de vulnerabilidades sin importar la tecnología usada y, claro, si Microsoft detecta una vulnerabilidad este le asignara como un número de identificación, que será distinto al que le asigne CVE, por ejemplo si entramos al catálogo de CVE y buscamos la vulnerabilidad de eternalblue una de las vulnerabilidades más conocidas de la historia, vemos que tiene asignada el CVE 2017-0144 y si vamos a la base de datos de Microsoft y buscamos exactamente esta vulnerabilidad vemos que en este caso es completamente distinta su forma de referirse a ella, aquí no le pone la palabra CVE sino que pone MS seguido del año de descubrimiento, y la id única, esto además de lograr una organización de todas las vulnerabilidades conocidas, es importante saberlo, ya que escáneres de vulnerabilidades como Nessus, OpenVas, incluso los scripts de nmap pueden darnos resultados de si un determinad equipo es vulnerable  y nos dirá el identificador de la vulnerabilidad, entonces con ese identificador sea con CVE con MS o cualquier otro, ya podemos buscar información de la vulnerabilidad en cuestión y tratar de conseguir un exploit para abusar de ella, aunque no voy a entrar mucho en esto ya es tema de hacking y no entra tanto en este curso.

 

Decirte también que, la mayoría de las vulnerabilidades se pueden corregir haciendo una buena configuración y manteniendo actualizado el sistema operativo, las aplicaciones o servicios instalados, ya que la mayoría de veces que se actualizan es para agregar parches de seguridad y corregir vulnerabilidades.

 

Vulnerabilidades en hardware

 

Bueno ahora vamos con las vulnerabilidades en el hardware, estos son defectos que puedan tener los componentes de hardware de un equipo, defectos de fábrica, configuración o deterioro que puedan poner en riesgo la información, por ejemplo el uso inadecuado de estos componentes, falta de mantenimiento, falta de una revisión de calidad de los componentes una vez adquiridos, etc.

 

Vulnerabilidades en conexión

 

Por otro lado están las vulnerabilidades en la conexión, estás son debilidades que puedan comprometer la información que viaja a través de los distintos medios de comunicación, los más comunes como cables o medios de comunicación inalámbricos como el wifi, por ejemplo, Que no exista un sistema de encriptación y por consiguiente la información se transmita en texto plano, esto puede provocar que un atacante con un sniffer pueda capturarla y leerla.

 

 

Vulnerabilidades humanas

 

Y, por último están las vulnerabilidades más críticas y difíciles de corregir, las humanas, porque al final cualquier vulnerabilidad que vimos anteriormente se puede solucionar de forma más sencilla que esta, este tipo de vulnerabilidad está relacionada con el eslabón más débil, que es el ser humano, ya que de nada sirve que tengas los mejores sistemas de seguridad en un servidor y que un empleado le diga a otra persona las credenciales de acceso, estos errores a veces pueden ser intencionados, pero en su mayoría no, muchas veces se provocan vulnerabilidades humanas por, la falta de capacitación en materia de seguridad en las personas, también la falta de concienciación que existe en las personas y por la tendencia que tenemos los humanos a confiar y algunas veces se confían de personas con intenciones maliciosas, además que un alto porcentaje de personas que piensa que la seguridad informática no es necesaria hoy en día cuando es una completa necesidad y por eso comenten fallos como usar contraseñas débiles, caer en ataques de ingeniería social como el phishing por lo que comentamos, la tendencia a confiar, entre otros.

 

Aprende ahora

Ciberseguridad y privacidad 101

Pin It on Pinterest

Share This