Sei sulla pagina 1di 5

Análisis de Vulnerabilidades.

Franco Quintana Morgado

SEGURIDAD COMPUTACIONAL

Instituto IACC

Ponga la fecha aquí


Desarrollo

Describa tres situaciones puntuales al interior de una organización o de los dispositivos con que

esta cuenta, que obliguen a realizar un análisis de vulnerabilidades sobre su red. Indique además

qué métodos de análisis utilizaría en cada caso y por qué.

Resp.

Primero debemos definir que es un análisis de vulnerabilidades. Toda empresa u organización

hoy en día debe mantener su información a buen recaudo de tal manera que ésta este siempre

disponible, mantenga la privacidad y confiabilidad. Sin embargo, el uso de nuesvas tecnologías y

la conexión de éstas a la red, la información se ha visto continuamente en riesgo ante personas

con intenciones maliciosas, estamos hablando de lo que comúnmente se denomina “ataque

informático”.

Ahora bien para definir el concepto, que es una vulnerabilidad, básicamente consiste en una

“predisposición o susceptibilidad de un sistema x para ser afectado de alguna manera”, ahora

bien debemos considerar que un sistema informático es algo complejo, compuesto por el

hardware, el software y el factor humano, por esto, una vulnerabilidad puede abarcar tanto la

“debilidad” de un Sistema Operativo, por ejemplo, como el desconocimiento por parte del

usuario.

Ya podemos dar una definición un poco más acertada, el análisis de vulnerabillidades consiste en

la utilización de herramientas que permitan determinar las amenazas a los que se encuentran

expuestos los activos informáticos de una empresa u organización.

Entre otras cosas al realizar un análisis de vulnerabilidades podremos, por ejemplo, determinar si

un software o Sistema Operativo (SO) no cuenta con los parches o actualizaciones

correspondientes.
Todo análisis de vulnerabilidades debe ser gestionado, es decir, se debe utililizar una

metodología, de tal manera de gastar tiempo ni recursos.

Ahora bien, con respecto a la pregunta, creo que la primera situación a tener en cuenta para

realizar un análisis de vulnerabilidades es el personal con que cuenta la empresa, es decir,

deberá realizarse de manera periódica o con regularidad, debido a que es probable que no todos

los usuarios sean responsables en su actuar, tal vez muchos de ellos visitan, en sus ratos de ocio,

sitios web de diversión en los cuales es muy probable que exista código malicioso disponible

para ser descargado en las computadoras. Del mismo modo el uso del correo electrónico puede

ser riesgoso si no se utiliza con cautela. Por lo anteriormente dicho y dado que son conductas

habituales es que el análisis de vulnerabilidades debe ser riguroso y no realizarse solamente

cuando se observe una falla en algún sistema. De hecho, incluso el uso de celulares puede ser

arriesgado.

Otro punto que al menos a mi parecer es necesario tener en cuenta, es la visita de personas

externas a las instalaciones de la empresa, recordemos que la Ingeniería Social también es un

peligro constante para los activos informáticos. Es perfectamente factible que un pirata

informático se acerque a la organización haciéndose pasar por alguien que no es, e instalar, por

ejemplo, un Rubber Ducky, que es un dispositivo que simula ser un pendrive pero que tiene un

procesador interno y que simula ser un teclado, de tal forma que cuando se conecta a un

ordenador/dispositivo éste lo reconoce como un periférico y ejecuta las instrucciones que tenga

cargadas en una memoria SD, este dispositivo utilliza códigos muy sencillos de tal manera que a

través de un editor de texto es posible inyectar payloads. Con éste método es posible, en pocos

segundos, robar toda la información que contenga el computador de un usuario ingenuo,

solamente conectando el Rubber en el puerto USB, sin que éste se percate.


También es conveniente realizar el análisis de vulnerabilidades cuando se ha realizado algún

cambio en la arquitectura de la red o en los propios sistemas. Cualquier cambio que se realice

implica un nuevo entorno en el ámbito de la seguridad que deberá ser considerado, estudiado y

puesto a prueba para poder determinar cuáles son los riesgos y debilidades que pueda presentar y

ante los cuales se deberá actuar para poder salvaguardar la información y los activos.

Finalmente la actualización o cambio de software dentro de la empresa u organización también

es un evento que debe ser tomado a la hora de realizar un análisis de vulnerabilidades, debemos

plantearnos las siguientes preguntas: ¿El software que he instalado a modificado algo en nuestro

equipo o sistema informático?¿Se ha generado algún permiso nuevo en el firewall?¿El software

instalado, es de confianza?¿Viene infectado?

Dado lo anterior es que, vuelvo a insistir, un análisis de vulnerabilidades debe realizarse de

manera períodica, no solamente bajo determinadas condiciones, sino de manera preventiva y no

correctiva.
Bibliografía

Material de estudio semana 3, IACC.

Estudios personales.