¿Qué es la gestión de vulnerabilidades basada en amenazas?

La gestión de vulnerabilidades basada en amenazas (TLVM, por sus siglas en inglés) es un enfoque de seguridad que prioriza y gestiona las vulnerabilidades teniendo en cuenta el panorama de amenazas actual y los riesgos específicos de una organización. En lugar de tratar todas las vulnerabilidades por igual, TLVM hace hincapié en comprender cuáles tienen más probabilidades de ser explotadas por actores maliciosos, correlacionándolas con el estado de configuración y la postura de seguridad de la infraestructura y los procesos comerciales únicos de la organización.

¿Por qué ahora?

La adopción de un enfoque TLVM ha ganado popularidad debido al aumento del volumen y la sofisticación de las amenazas cibernéticas, que son cada vez más frecuentes y ofrecen un costo de ataque más bajo cuando se apoyan en herramientas de IA. La naturaleza dinámica del panorama de amenazas exige que las organizaciones se mantengan ágiles en sus procesos de gestión de vulnerabilidades, priorizando los esfuerzos en función de los riesgos reales y la inteligencia de amenazas disponible. En un entorno de recursos limitados, TLVM permite maximizar las inversiones en seguridad al centrarse en las vulnerabilidades más críticas.

Además, la migración a la nube y el trabajo remoto han ampliado la superficie de ataque, lo que subraya la necesidad de comprender las vulnerabilidades específicas de estos entornos. Con nuevas herramientas que mejoran el descubrimiento de activos y la evaluación de riesgos, las organizaciones pueden implementar TLVM de manera más efectiva. La mayor conciencia sobre las filtraciones de alto perfil lleva a los CISOs a querer garantizar que están haciendo todo lo posible con un enfoque proactivo para proteger el negocio. Al priorizar las vulnerabilidades según las amenazas actuales, las organizaciones pueden minimizar las oportunidades de que los adversarios exploten sus vulnerabilidades y, en última instancia, fortalecer su postura de seguridad general.

Componentes clave de un enfoque basado en amenazas

  • Integración de inteligencia de amenazas: recopilar y analizar inteligencia para comprender las TTP de los atacantes e identificar vulnerabilidades activamente explotadas.
  • Evaluación de riesgos: evaluar el riesgo de cada vulnerabilidad considerando factores como la explotabilidad (p. ej., EPSS) y el contexto del entorno.
  • Priorización mejorada: mediante inteligencia de amenazas, modelado de rutas de ataque y evaluaciones de riesgo integrales, centrar los recursos en vulnerabilidades de alto riesgo.
  • Monitoreo continuo: ajustar las estrategias de gestión de vulnerabilidades en respuesta a nuevas vulnerabilidades y amenazas emergentes.
  • Colaboración: integrar equipos de seguridad, TI, gestión de riesgos y cumplimiento para un enfoque holístico.
  • Planificación de respuesta: desarrollar y actualizar planes de respuesta a incidentes basados en posibles explotaciones de vulnerabilidades conocidas.

Cómo hacer la transición a este nuevo enfoque

En esencia, un enfoque basado en amenazas imita las tácticas, técnicas y procedimientos de los actores de amenazas reales, lo que permite a las organizaciones comprender las vulnerabilidades que suponen un riesgo genuino para sus sistemas. Aprovecha la inteligencia de amenazas para simular comportamientos adversarios e identificar qué debilidades de la superficie de ataque podrían explotarse. Soluciones como la plataforma de gestión de exposición continua de XM Cyber utilizan técnicas avanzadas como XM Attack Graph Analysis™ para correlacionar exposiciones en todos los tipos de entidades y validar la explotabilidad mediante técnicas de ataque probadas. Esta evaluación dinámica y continua ayuda a las organizaciones a priorizar las vulnerabilidades según las amenazas del mundo real.

Etapa 1: Comprensión y conciencia de la explotabilidad

Primero, es necesario mirar más allá de los niveles de gravedad heredados y el sistema de puntuación CVSS, y evaluar la explotabilidad real de cada vulnerabilidad. Esto requiere conocer el estado de configuración exacto del dispositivo donde reside y si existen otros parámetros de configuración que harían explotable la CVE. Al correlacionar estos parámetros con un extenso arsenal de ataques, se puede validar la explotabilidad de las vulnerabilidades adaptadas al entorno y luego evaluar el riesgo de entrada hacia el dispositivo para comprender la probabilidad de que sea comprometido por un atacante o a través de una ruta de ataque desde un punto de brecha alternativo.

Etapa 2: Enfoque en el impacto empresarial

Después de obtener conciencia situacional sobre la explotabilidad y la probabilidad de compromiso, se puede dar el siguiente paso: cuantificar el riesgo de impacto empresarial desde el dispositivo a lo largo de las rutas de ataque hacia los activos críticos. Se puede optar por la clasificación automática de activos críticos basada en factores técnicos o implementar etiquetas personalizadas para definir el contexto de criticidad de los activos según los procesos comerciales. La integración con una CMDB como ServiceNow también puede aprovecharse para construir sobre el contexto de activos existente. Mediante el análisis de grafos de ataque, se puede calcular el número total de activos críticos en riesgo a partir de una CVE individual o un dispositivo explotable, y visualizar todas las rutas de ataque para entender exactamente cómo un atacante se movería lateralmente hacia los activos más valiosos durante una brecha.

Etapa 3: Enfoque de los esfuerzos de remediación

En lugar de tratar de cumplir SLA poco realistas para la remediación de CVE, dictados por requisitos de cumplimiento obsoletos, TLVM permite establecer un apetito de riesgo más realista, con una comprensión clara de los riesgos que plantea una vulnerabilidad, y luego basar la estrategia de remediación en esta lógica de priorización integral. Sí, aún es necesario abordar las CVE críticas, pero ahora se pueden tomar decisiones informadas por amenazas sobre cuándo se pueden hacer excepciones a los SLA estándar, con una visión clara de cuándo es posible simplemente aceptar el riesgo. Si se cuenta con la plataforma adecuada, también debe proporcionar guías de remediación detalladas para abordar el riesgo presentado por cada CVE y dispositivo vulnerable.

Utilizando los conocimientos obtenidos del análisis de grafos de ataque, se empezará a comprender que puede haber múltiples formas de reducir la postura de riesgo además de parchear una CVE. Por supuesto, si hay un parche disponible y viable, se proporciona una guía de parcheo, pero también habrá guías adicionales para endurecer la infraestructura y limitar la probabilidad de compromiso de entrada. También habrá guías sobre cómo implementar las mejores prácticas del proveedor y de la industria, como la microsegmentación, para restringir la posible propagación de amenazas durante una brecha. Integrar XM Cyber con las plataformas ITSM, SIEM y SOAR existentes también ayudará a garantizar que las guías correctas se envíen a los equipos adecuados, acelerando la remediación y fomentando una cultura de colaboración entre equipos.

Beneficios de este nuevo enfoque

  • Mitigación proactiva de riesgos: abordar las vulnerabilidades según su riesgo real, permitiendo defensas proactivas contra amenazas conocidas.
  • Toma de decisiones mejorada: tomar decisiones informadas sobre la priorización de acciones de remediación adaptadas al entorno específico.
  • Reducción del tiempo de remediación: centrar el tiempo y los recursos en vulnerabilidades que suponen amenazas inmediatas, acortando las ventanas de explotación.
  • Mejora de la postura de seguridad: obtener una visión holística de las vulnerabilidades en relación con los procesos críticos del negocio, reforzando las medidas de seguridad generales.
  • Eficiencia de costes: optimizar las inversiones en seguridad abordando primero las vulnerabilidades más apremiantes.
  • Monitoreo y adaptación continuos: mantenerse receptivo a las amenazas en evolución, asegurando que las medidas de seguridad sigan siendo sólidas y relevantes.
  • Alineación con el cumplimiento normativo: demostrar una gestión proactiva de riesgos que se alinea con los marcos de cumplimiento modernos, mejorando la reputación organizacional.

Conclusión: Adoptar la innovación para una ciberseguridad mejorada

Adoptar un enfoque basado en amenazas para la gestión de vulnerabilidades permite a las organizaciones mantenerse un paso adelante de los adversarios cibernéticos. Siguiendo las sugerencias descritas y aprovechando tecnologías avanzadas, las empresas pueden mejorar su capacidad para detectar, priorizar y remediar vulnerabilidades de manera efectiva. A medida que el panorama cibernético continúa evolucionando, esta metodología proactiva e impulsada por la inteligencia se vuelve esencial para mantener una postura de ciberseguridad resiliente.

Si está interesado en transformar su enfoque de gestión de vulnerabilidades y reforzar sus defensas de ciberseguridad, consulte el seminario web bajo demanda "Cómo adoptar un enfoque basado en amenazas para la gestión de vulnerabilidades" o visite nuestra página de producto de Gestión de Riesgos de Vulnerabilidades para obtener más información sobre cómo XM Cyber puede ayudar a proteger sus activos críticos.

Nota: Este artículo está escrito por Dale Fairbrother, Director de Marketing de Producto en XM Cyber.