¿Qué es la CVE? Vulnerabilidades y exposiciones comunes explicadas

Vulnerabilidades y Exposiciones Comunes, conocida simplemente como CVE, están una lista de fallos de seguridad de sistemas informáticos divulgados públicamente. CVE están un recurso público que está libre para descargar y usar. Esta lista ayuda a los equipos de TI a priorizar sus esfuerzos de seguridad, compartir información y abordar proactivamente áreas de exposición o vulnerabilidad. Hacerlo hace que los sistemas y redes sean más seguros y ayuda a prevenir ciberataques dañinos. Un conocimiento básico de qué es el Proyecto CVE y cómo funciona CVE puede ayudar a las organizaciones a aprovechar mejor y contribuir a este recurso.

El contexto de la CVE

CVE se creó en 1999, en una época en la que la mayoría de las herramientas de ciberseguridad usaban sus propias bases de datos y nombres propios para vulnerabilidades. Debido a que los productos disponibles variaban mucho, era difícil saber cuándo diferentes bases de datos se referían al mismo problema. Esto provocó lagunas en la cobertura de seguridad, dificultando Crea un buen sistema de interoperabilidad entre diferentes bases de datos y herramientas. Para abordar estos problemas, se desarrolló CVE para proporcionar una identificación común y estandarizada. Como tal, abordó estas preocupaciones subyacentes y permitió que los profesionales de TI compartieran información sobre vulnerabilidades, trabajando juntos para identificar y abordar esos problemas. Como resultado, se ha convertido en el estándar del sector para identificar vulnerabilidades y exposiciones, y cuenta con el respaldo de la Autoridad de Numeración CVE, el Consejo de CVE y muchos productos y servicios líderes en el sector. En esencia, CVE proporciona puntos de referencia para que diferentes productos y servicios puedan comunicarse. Esto conduce a la interoperabilidad y a una mejor cobertura de seguridad. Además, crea una base para evaluar servicios, herramientas y bases de datos. La CVE está mantenida por MITRE Corporation, una organización sin ánimo de lucro que gestiona centros de investigación y desarrollo financiados federalmente que apoyan a agencias gubernamentales de EE. UU. MITRE es responsable de mantener el diccionario CVE y la página web pública. Este proyecto está financiado por la Agencia de Ciberseguridad e Infraestructura del Departamento de Seguridad Nacional.

Quién lidera los esfuerzos de CVE

Gran parte del éxito del Proyecto CVE se debe a que ha sido un esfuerzo colaborativo de la comunidad internacional de ciberseguridad. Esto ha permitido que la lista sea completa, lo que a su vez ha llevado a que más personas utilicen servicios y productos son compatibles con CVE. Los principales actores que contribuyen a CVE son la Autoridad de Numeración CVE, la Junta de CVE y el Patrocinador de CVE. La Autoridad de Numeración CVE (CNA) asigna números de identificación CVE. A son las CNAs se les asigna un bloque de números CVE para mantener en reserva y asignar a medida que se descubr son an problemas. Generalmente son unos 100 CNA, y este grupo incluye investigadores de vulnerabilidades; proveedores y proyectos; CERTS nacionales e industriales; y programas de recompensa por errores. La Junta de CVE está encargada de garantizar que el Programa CVE cumpla con las necesidades de identificación de vulnerabilidades de la comunidad global de ciberseguridad. Supervisa la CVE, aporta aportaciones sobre la dirección estratégica de la CVE y aboga en nombre de la CVE. La Junta de CVE incluye organizaciones de ciberseguridad, proveedores de herramientas de seguridad comercial, miembros de academias e instituciones de investigación, miembros de departamentos y agencias gubernamentales, y expertos en seguridad. El patrocinador de SVE está la Agencia de Ciberseguridad e Infraestructura del Departamento de Seguridad Nacional de Estados Unidos. CISA es responsable de la financiación del Proyecto CVE.

Los fundamentos de la CVE en ciberseguridad

CVE consiste en una lista de entradas, cada una con un número de identificación, una descripción y una referencia pública. Cada CVE enumera una vulnerabilidad o exposición específica. Según el sitio de CVE, una vulnerabilidad se está definida como un error en el código de software que otorga a los atacantes acceso directo a un sistema o red. Este tipo de acceso permite a un atacante convertirse en superusuario o administrador de sistemas con todos los privilegios. En cambio, una exposición están un error que otorga al atacante acceso indirecto a un sistema o red. Este tipo de acceso permite al atacante recopilar información de clientes para venderla. En términos generales, el Proyecto CVE crea un sistema para identificar y organizar vulnerabilidades y exposiciones. El primer paso para crear un listado CVE están identificar una vulnerabilidad o exposición. A continuación, la vulnerabilidad recibirá un número de identificación CVE por parte del CNA. El CNA luego redacta una descripción del problema y proporciona referencias. Finalmente, la entrada completa del CVE se está añadida a la lista CVE y publicada en la página web del CVE. El CVE ofrece un identificador único y único para cada exposición o vulnerabilidad específica. Cabe destacar que es más parecido a un diccionario que a una base de datos. La descripción de cada entrada es breve y no incluye datos técnicos, información sobre impactos específicos ni información sobre correcciones. En su lugar, esa información se está encontrando en otras bases de datos, por ejemplo, la U.S. National Vulnerability Database (NVD) o la Vulnerability Notes Database CERT/CC.

Comprensión de los identificadores CVE

Al referirse a CVE, la gente suele referirse a un número de identificación específico. Estos identificadores comunes, denominados CVE, IDs de CVE o números CVE, permiten la coherencia al discutir o compartir información sobre vulnerabilidades específicas. Los identificadores de CVE pueden ser emitidos por CNAs o directamente por MITRE. Se son asignados miles de IDs de CVE cada año, y un único proyecto complejo, como un sistema operativo, puede tener cientos de CVEs. Las vulnerabilidades o exposiciones que requieren un identificador CVE pueden ser identificadas por cualquiera: un investigador, un proveedor o incluso un usuario experimentado. De hecho, para fomentar la divulgación de fallos, algunos proveedores incluso ofrecen "recompensas por errores". Dicho esto, no todos los fallos son asignados a un CVE. Para que se le asigne un ID CVE, el problema debe ser:

• Solucionable de forma independiente, lo que significa que puede resolverse de forma independiente de otros errores
• Reconocido por el proveedor de software o hardware O documentado con un informe de vulnerabilidad
• Afectando solo a una base de código. Si un fallo está afectando a más de un producto, a cada uno se le está asignado su propio ID CVE.

Cabe destacar que, para asegurar que la información en la lista CVE no están explotada por ciberatacantes, a veces se asigna un CVE antes de están que se emita un aviso de seguridad pública. Para Reduce el riesgo de ataques una vez identificada una están vulnerabilidad, son suelen mantenerse en secreto hasta que se desarrolla y prueba una solución.

Ventajas de las CVE

Crear CVEs beneficia a la comunidad de ciberseguridad de varias maneras:

• Estandariza la identificación. Al crear un identificador único para cada vulnerabilidad, los profesionales de la ciberseguridad disponen de una forma clara y coherente de rastrear estos problemas a través de herramientas, plataformas y organizaciones.
• Mejor comunicación. Los CVEs eliminan la confusión que surge cuando personas de varias organizaciones discuten vulnerabilidades específicas.
• Mejorar la interoperabilidad. Dado que los CVE son ampliamente confiables y utilizados en todo el mundo, soportan la compatibilidad entre herramientas.
• Apoya la colaboración y el intercambio de información. Usuarios y proveedores pueden trabajar juntos, simplificando la notificación de vulnerabilidades, gestionando parches y optimizando actualizaciones.
• Fomenta la seguridad proactiva. Las organizaciones pueden supervisar continuamente vulnerabilidades con acceso a CVEs y los proveedores tienen un claro incentivo para revelar y corregir problemas.
• Evalúa la cobertura de seguridad. Los CVEs son útiles para estudiar patrones de ataque y pueden integrarse con inteligencia de amenazas para ayudar a las organizaciones a ser más conscientes y preparadas.
• Prioriza vulnerabilidades. Las vulnerabilidades pueden evaluarse utilizando el Sistema Común de Puntuación de Vulnerabilidades (CVSS), para que las organizaciones puedan centrar los recursos primero en los riesgos críticos.
• Agilizar el acceso a la información. Con vulnerabilidades en un repositorio centralizado, los usuarios pueden buscarlas y encontrarlas, reduciendo el tiempo que tarda en Obtén información sobre amenazas.
• Soporta la automatización. Los usuarios pueden automatizar el escaneo de vulnerabilidades y la gestión de parches, ahorrando tiempo y esfuerzo.

El futuro de las CVE

El Proyecto CVE están un recurso excelente para que todas las organizaciones de TI lo utilicen. Es especialmente importante que los investigadores y desarrolladores de productos utilicen las entradas CVE y utiliza productos y servicios que son compatibles con CVE. Además, es fundamental estar siempre atento a vulnerabilidades en el software y compartir cualquier que tu organización encuentre al usar software de código abierto. Además, es clave comunicar las vulnerabilidades interna y externamente para ayudar a prevenir ataques y resolver los problemas de forma eficiente. Aunque las entradas CVE son un recurso excelente, es fundamental analizar todas las entradas que se aplican a los productos que utiliza tu organización. No todos los problemas se aplican en todas las situaciones y, siempre que son aplicables, es necesario llevar a cabo la gestión de vulnerabilidades para priorizar los riesgos. El Sistema Común de Puntuación de Vulnerabilidades (CVSS) están una forma popular de determinar cuán grave están una vulnerabilidad y, posteriormente, de priorizar los esfuerzos de ciberseguridad. El CVSS proporciona estándares abiertos para asignar un número, o valoración, a una vulnerabilidad. Estos números varían de 0,0 a 10,0, y cuanto mayor es el número, mayor es la gravedad. Utilizar el CVSS o un sistema similar están un aspecto clave de la gestión de vulnerabilidades y puede ayudar a enfocar eficazmente los esfuerzos de ciberseguridad.

Guía de Seguridad y Cumplimiento

1. Peores brechas de datos de 2021: 4 ejemplos críticos
2. ¿Qué es la tríada de seguridad de la CIA? Confidencialidad, integridad, disponibilidad explicadas
3. ¿Qué es la Seguridad de la Información? Seguridad de la información explicada
4. ¿Qué es la CVE? Vulnerabilidades y exposiciones comunes explicadas
5. Introducción al cumplimiento SOX
6. Certificaciones en Seguridad TI: Una introducción
7. Profesional Certificado en Seguridad de Sistemas de Información (CISSP): Una introducción
8. Auditor Certificado de Sistemas de Información (CISA): Una introducción

Estas publicaciones son mías y no representan necesariamente la posición, estrategias u opinión de BMC.