La evaluación de vulnerabilidades es un proceso de definición, identificación y clasificación de los agujeros de seguridad en los sistemas de tecnología de la información . Un atacante puede explotar una vulnerabilidad para violar la seguridad de un sistema. Algunas vulnerabilidades conocidas son la vulnerabilidad de autenticación, la vulnerabilidad de autorización y la vulnerabilidad de validación de entrada. [1]
Antes de implementar un sistema, este debe pasar por una serie de evaluaciones de vulnerabilidad que garantizarán que el sistema de compilación esté protegido contra todos los riesgos de seguridad conocidos. Cuando se descubre una nueva vulnerabilidad, el administrador del sistema puede volver a realizar una evaluación, descubrir qué módulos son vulnerables e iniciar el proceso de parcheo. Una vez que se hayan implementado las correcciones, se puede ejecutar otra evaluación para verificar que las vulnerabilidades se hayan resuelto realmente. Este ciclo de evaluación, parcheo y reevaluación se ha convertido en el método estándar para que muchas organizaciones gestionen sus problemas de seguridad.
El objetivo principal de la evaluación es encontrar las vulnerabilidades del sistema, pero el informe de evaluación transmite a las partes interesadas que el sistema está protegido contra estas vulnerabilidades. Si un intruso obtuvo acceso a una red compuesta por servidores web vulnerables, es seguro asumir que también obtuvo acceso a esos sistemas. [2] Gracias al informe de evaluación, el administrador de seguridad podrá determinar cómo se produjo la intrusión, identificar los activos comprometidos y tomar las medidas de seguridad adecuadas para evitar daños críticos al sistema.
Dependiendo del sistema, una evaluación de vulnerabilidad puede tener muchos tipos y niveles.
La evaluación del host busca vulnerabilidades a nivel de sistema, como permisos de archivos inseguros, errores a nivel de aplicación, instalaciones de puertas traseras y caballos de Troya. Requiere herramientas especializadas para el sistema operativo y los paquetes de software que se utilizan, además de acceso administrativo a cada sistema que se debe probar. La evaluación del host suele ser muy costosa en términos de tiempo y, por lo tanto, solo se utiliza en la evaluación de sistemas críticos. Herramientas como COPS y Tiger son populares en la evaluación del host.
En una evaluación de red, se evalúa la red para detectar vulnerabilidades conocidas. Se localizan todos los sistemas de una red, se determinan los servicios de red que se están utilizando y, a continuación, se analizan dichos servicios para detectar posibles vulnerabilidades. Este proceso no requiere ningún cambio de configuración en los sistemas que se evalúan. A diferencia de la evaluación del host, la evaluación de la red requiere poco esfuerzo y costo computacional.
La evaluación de vulnerabilidades y las pruebas de penetración son dos métodos de prueba diferentes que se diferencian en función de ciertos parámetros específicos.