Cuando parchear todo deja de ser una estrategia viable
Durante años, la rutina de los departamentos de TI y de seguridad ha seguido una partitura muy repetida: (1) ejecutar un escáner de vulnerabilidades, (2) priorizar aquellas que tienen puntuaciones críticas dentro del Common Vulnerability Scoring System (CVSS) y (3) lanzar parches de software (si existen) de forma controlada o masiva.
Sin embargo, actualmente, y con el desarrollo de la Inteligencia Artificial, esta estrategia ha comenzado a colapsar.
Cada año se publican más de 50.000 nuevas vulnerabilidades (CVE) – y eso sin considerar las que ni siquiera se publican y se mantienen en la sombra.
Si un equipo de seguridad intentara a día de hoy mitigar todas y cada una de esas vulnerabilidades, tendría que afrontar cientos de ellas a diario, asumiendo infraestructuras tecnológicas complejas (y un conjunto limitado de productos y equipos). Una tarea titánica que no solo generaría problemas con la operativa de la compañía, con potenciales caídas inesperadas de los sistemas cuando las soluciones (parches, cambios en configuraciones, instalaciones…) no estuvieran bien desarrolladas, sino también frustración de los equipos de soporte ante la sensación de “ir siempre por detrás de los ciberdelincuentes” o, dicho de forma más coloquial, la sensación de “estar solucionando todo a base de parches”.
Un enfoque altenativo
La realidad del mercado nos muestra que estamos obligados a cambiar de enfoque para responder adecuadamente a unas amenazas cada vez más automatizadas, y sabiendo además que nuestros recursos son limitados. Básicamente, deberíamos actuar de una forma alternativa, es decir, sin utilizar únicamente la severidad inherente de la vulnerabilidad, sino incorporando también su explotabilidad, el contexto del activo, la exposición y las posibles vías de ataque.
Esto no significa que el parcheo deje de ser necesario. Significa que debe integrarse dentro de una estrategia de gestión de exposición más amplia, en la que la prioridad venga determinada no solo por la severidad de una vulnerabilidad, sino también por su explotabilidad, la exposición del activo y las posibles rutas de ataque.
Ahora bien, ¿cómo sabemos si el atacante podría explotar la vulnerabilidad?
Severidad teórica frente a explotación real
Desde hace años, consultoras como Gartner vienen señalando que las inversiones en ciberseguridad deberían virar hacia herramientas de protección proactiva y marcos de Gestión Continua de Exposición a Amenazas (CTEM). Y es aquí donde la tecnología de validación de seguridad automatizada se vuelve indispensable.
Fabricantes como Pentera están contribuyendo a este modelo a través de un mecanismo alternativo: emular de forma segura el comportamiento de un atacante real dentro de entornos de producción. De esta forma, si el sistema logra completar el ataque y demostrar el impacto de negocio (por ejemplo, llegando al controlador de dominio o instalando herramientas con privilegios de ejecución), esa brecha se prioriza de forma inmediata.
Algunas estadísticas muestran que solo entre el 5% y el 6% de todas las vulnerabilidades publicadas globalmente son verdaderamente explotables en entornos reales. Este enfoque permitiría reducir significativamente el volumen de vulnerabilidades que requieren atención inmediata y concentrar los recursos en aquellas que presentan evidencias de explotación o forman parte de rutas de ataque relevantes.
Encadenamiento de ataques
Ahora bien, los ciberdelincuentes nunca han visto la infraestructura de una empresa como una lista de activos inconexos; antes, al contrario, la perciben como un conjunto de elementos interconectados.
Un informe reciente de Check Point Research destaca cómo el ransomware y otras operaciones ofensivas están incorporando capacidades de IA y combinando diferentes técnicas de ataque y movimientos laterales..
La realidad pues es que técnicamente un ciberdelincuente rara vez necesitará un exploit de día cero (zero-day) con un CVSS perfecto de 10 para comprometer la infraestructura tecnológica de una empresa. Le bastaría con encadenar vulnerabilidades menores como, por ejemplo, un puerto mal configurado o expuesto a internet de forma descuidada, una credencial filtrada en la Dark Web o una vulnerabilidad de severidad “media” en un switch para escalar privilegios locales.
Si se analizaran cada una de estas vulnerabilidades de forma aislada, ningún escáner tradicional habría hecho saltar las alarmas de prioridad crítica. Sin embargo, la combinación de estos factores puede crear un camino de ataque hacia los objetivos perseguidos por el atacante.
Parcheo quirúrgico
Por eso, resulta indispensable reconocer esos caminos. Una vez que hemos identificado las rutas críticas que utilizan los ciberdelincuentes para acceder a la red de una compañía, la remediación no siempre implicará detener el servicio para aplicar un parche.
Fabricantes como Cisco disponen de tecnologías de segmentación, visibilidad de flujos y firewall que permiten aplicar controles compensatorios sobre determinados caminos de ataque. Al fin y al cabo, si sabemos qué activo es vulnerable y explotable, las arquitecturas modernas de red pueden aplicar políticas automáticas de microsegmentación o parches virtuales mediante configuraciones de sus firewalls.
El camino hacia la resiliencia proactiva
Las compañías ya no pueden permitirse gestionar la seguridad mediante listas estáticas de vulnerabilidades ni escaneos más o menos periódicos para su posterior análisis y verificación.
Las amenazas se automatizan mediante operaciones ofensivas que utilizan modelos de IA y que reducen las ventanas de explotación a cuestión de horas.
Los tiempos de reacción son cada vez más cortos y la presión sobre los equipos de operación crece de forma exponencial.
Por tanto, la respuesta debe venir de una estrategia diferente. El estado de seguridad de una empresa no debería evaluarse únicamente por el número de vulnerabilidades detectadas o corregidas, sino también por su exposición real, la existencia de rutas de ataque y la eficacia de los controles que deben impedir su explotación. Y es precisamente la combinación de la validación continua y las medidas de remediación quirúrgicas la que permite reducir de forma efectiva la exposición.
