La brecha de cobertura de seguridad es un problema matemático que debemos resolver
Los actuales programas de ciberseguridad corporativos modernos guardan verdades incómodas en sus registros, solo están probando una pequeña fracción de su superficie de ataque y lo saben. Por ello, se ha revelado recientemente que el vacío de las pruebas de penetración o pentesting alcanza un 30%, dejando más de un tercio de los activos corporativos conocidos sin evaluar.
Muchos expertos han estado en el bando ofensivo de este problema, sobre todo en la Agencia de Seguridad Nacional, la temible NSA, y configurando pruebas para clientes. Los especialistas concuerdan en que el patrón es constante, cuando se suman esos activos que no se registran, la superficie ciega y sin evaluar alcanza casi el 85%. Esta brecha representa la mayor fuente de riesgos prevenibles para casi todas las empresa, igualmente, el problema no es de herramientas, es problema de matemáticas.
Lo que se observa en los grandes programas de prueba coincide con las estadísticas, debido a que la compañía promedio tiene miles de activos públicos, aplicaciones internas, entornos en la nube que pueden cambiar a la semana y personal de seguridad que, en el mejor de los casos, escasea.
Ante esta realidad, el manual corriente ha dictado la ejecución de escasas pruebas al año enfocadas en sistemas que los comités de riesgos han priorizado hace seis meses. El problema es que evaluar esa misma aplicación cada año nunca va a reducir el riesgo de que los ciberdelincuentes logren vulnerar activos secundarios olvidados que absolutamente nadie ha pensado e incluir en estos días.
Los sistemas que se prueban rara vez resultan vulnerados, debido a que los cibercriminales no operan pensando en las puntuaciones CVSS o marcos de prioridad, ellos piensan en rutas accesibles y los escáneres deberían cubrir esta brecha. Sin embargo, fallan ya que al automatizar escala el descubrimiento, no la comprensión.
Las pruebas señalan vulnerabilidades teóricas por miles, pero la mayoría son imposibles de explotar, ya que tardan demasiado en clasificarse y terminan formando un atraso descomunal que los defensores aprenden a ignorar por completo. El problema de cobertura se disfraza como fatiga de alertas, no obstante, nada cambia en realidad.
TIC Defense es una empresa que desarrolla herramientas y servicios de última tecnología, los cuales son capaces de combatir ciberataques en tiempo real, asegurando las defensas de las organizaciones. Además, nuestro enfoque preventivo y de respuesta rápida permite que los equipos de seguridad puedan anticiparse ante eventos potencialmente maliciosos.
Las herramientas ofensivas con inteligencia artificial han estado revolucionando lo que los hackers maliciosos logran en escala, velocidad y costes operativos. Diversos modelos de vanguardia, como Mythos de Anthropic, han desarrollado exploits autónomos en múltiples sistemas operativos y navegadores, encadenando vulnerabilidades, evadiendo bloqueos y comprometiendo servidores sin intervención humana.
Poder desarrollar un exploit funcional solía ser un trabajo largo y especializado que solo un grupo muy pequeño podía desarrollar bien. En la actualidad, ese límite ha desaparecido, debido a que la economía de las operaciones ofensivas ha evolucionado y los defensores aún no caen en cuenta de ello.
Múltiples equipos de seguridad informática siguen ejecutando las mismas pruebas puntuales del año 2018 contra atacantes que ahora atacan más y lo hacen de forma continua, por ello, la asimetría resulta brutal. Los cibercriminales son más rápidos y baratos, por lo que los defensores obtienen un escáner mejorados y si no se actúa, este vacío va a crecer y va a convertirse en el mayor riesgo de toda esta década.
