Security Auditing

Análisis de Vulnerabilidades

En la actualidad vivimos en un mundo interconectado, todas las organizaciones
tienen comunicación con empleados móviles, sucursales, clientes, proveedores,
etc, lo cual genera serios riesgos de seguridad.

¿Cómo identifico en los activos de la red, la configuración que tienen respecto a software, servicios, puertos abiertos, etc.?
¿Cómo puedo conocer las vulnerabilidades que tienen mis activos de red?
¿De que manera puedo priorizar y remediar las vulnerabilidades de los activos de mi red?
¿Cómo puedo garantizar el cumplimiento de diversas regulaciones o auditorias respecto al estado de vulnerabilidades de mi red?
Hoy en dia Seguridad de la información se enfrenta a diversos retos, tales
como, Gusanos de internet, ataques de negación de servicios, virus, diversos tipos de
intrusiones y nuevos y más sofisticados ataques que se generan cada día. Además, el
drástico aumento de las vulnerabilidades descubiertas, junto con la velocidad a la que
se crean nuevas amenazas hacen de este reto aún mayor. La medición y gestión de
riesgos de la red o servicios IT es un desafío importante para las empresas de todos los tamaños.
El análisis de vulnerabilidades es un componente crítico de cualquier infraestructura
de seguridad, ya que permite la detección proactiva y remediación de vulnerabilidades de seguridad. Mediante el uso de herramientas, procesos y expertos se pueden
corregir las deficiencias antes de que sean explotados y no basarse únicamente en
las medidas de seguridad preventiva para protegerse a sí mismos. Según expertos, la
gestión de las vulnerabilidades frecuente y completa es una práctica cada empresa
debe seguir.

OWASP OSSTMM CMMI COBIT

De acuerdo a las mejores prácticas el proceso de Análisis de vulnerabilidades consiste
de los siguientes seis pasos:

1. Descubrimiento: Descubrimiento de todos los activos de la red e identificación los detalles de cada elemento, incluyendo el sistema operativo y los
servicios abiertos.

2. Priorización de los activos: Administre su red, clasificando los activos en
grupos o unidades de negocio.
Asigne un valor de negocio a los grupos de activos en función de su criticidad para la operación de su empresa.

3. Evaluación: Determine un perfil de riesgo de referencia que le permita
enfocarse en la eliminación de los riesgos con base en la criticidad de los
activos.
Identifique las vulnerabilidades de seguridad de forma periódica y programada.

4. Informe: Mida el nivel de riesgo en el negocio, asociado con sus activos de
acuerdo a sus políticas de seguridad y fije una postura de seguridad a través del tiempo.