Microsoft ha revelado, dentro de su tanda de actualizaciones de seguridad de octubre, información sobre 1.118 vulnerabilidades corregidas, repartidas en 15 grupos de riesgo. La compañía también ha presentado un nuevo enfoque destinado a ayudar a los especialistas en seguridad a analizar paquetes de actualizaciones de gran tamaño.
Fuente de la imagen: Sunrise King / unsplash.com
Los «grupos de riesgo» (risk cohorts) reúnen vulnerabilidades que exigen analizar los mismos aspectos de los sistemas, del entorno del usuario y de la exposición a las amenazas. Microsoft ha asociado a ellos identificadores CVE concretos. El objetivo de la novedad es reducir el volumen de trabajo duplicado, pero sin renunciar al análisis de cada vulnerabilidad concreta. Los analistas pueden dejar de responder a las mismas preguntas durante el despliegue y evaluar una sola vez el ámbito común para usar esos datos en el análisis del grupo de vulnerabilidades.
En el planteamiento tradicional, el análisis de una vulnerabilidad empieza por cada CVE por separado. Los analistas examinan el grado de gravedad, los productos afectados, las condiciones para llevar a cabo un ataque y el estado de explotación de la vulnerabilidad, y después deciden con qué rapidez debe reaccionar la organización ante la amenaza. Es necesario, pero los paquetes de actualizaciones grandes pueden obligar a los especialistas a repetir las mismas comprobaciones una y otra vez.
En algunas vulnerabilidades, los analistas determinan si archivos no confiables pueden interactuar con un componente concreto de Windows; en otros casos, la vulnerabilidad depende de si un usuario con privilegios limitados puede ejecutar código localmente; si la vulnerabilidad está presente en el lado del servidor, hay que comprobar la existencia y la disponibilidad de un rol determinado del sistema. Los grupos de riesgo reúnen vulnerabilidades a partir de esas preguntas comunes: puede que no compartan una misma causa raíz ni una misma evaluación de la amenaza. Lo que importa es el tipo de análisis necesario para entender el nivel de riesgo en un entorno concreto.
Fuente de la imagen: BoliviaInteligente / unsplash.com
Los grupos de riesgo no son categorías oficiales de vulnerabilidades, las instrucciones para instalar los parches siguen siendo las mismas, no establecen prioridades de corrección ni sustituyen las comprobaciones sobre explotación activa, necesidad de interacción del usuario, esquemas de ejecución de ataques o cumplimiento de las recomendaciones para productos concretos.
El mayor de los grupos abarca los sistemas de archivos, el almacenamiento de datos y los mecanismos de copia de seguridad de Windows: incluye 136 vulnerabilidades. El análisis conjunto en este grupo se centra en los componentes del sistema y los mecanismos de copia de seguridad que procesan datos potencialmente inseguros, imágenes de disco, contenido multimedia y cargas de trabajo. Con los documentos de oficina y los clientes de correo se relacionan 135 vulnerabilidades; con los componentes de Windows responsables de los gráficos, el multimedia y el procesamiento de contenido, 131.
109 entradas se relacionan con componentes del kernel de Windows y 103 con los servicios de instalación, despliegue y actualización. En ambos casos importa si el código ejecutado con privilegios limitados puede interactuar con componentes privilegiados de Windows. Otras 76 entradas CVE corresponden a dispositivos, periféricos y el subsistema de impresión, así como a la infraestructura de DNS, DHCP y direccionamiento de red. 65 entradas son de sistemas de acceso remoto y despliegue RCP; criptografía y autenticación suman 61 entradas, y la pila de red de Windows, 53. A continuación figuran virtualización y aislamiento (45), intercambio de archivos en red (39), herramientas de seguridad (38), servicios web y de mensajería (27) e infraestructura de directorios y certificación (24).
El nuevo enfoque ayuda a vincular la información sobre las vulnerabilidades con las condiciones reales de despliegue. Las respuestas obtenidas en el análisis pueden servir de base para realizar distintas comprobaciones, pero la decisión se toma por separado para cada actualización concreta. Incluso dentro de un mismo grupo, dos vulnerabilidades pueden diferir en las condiciones de ataque, las versiones y el estado de explotación. La guía de actualizaciones de seguridad (Security Update Guide) de Microsoft sigue siendo la fuente de información de referencia: el análisis complementa estos datos, pero no los sustituye. El nuevo enfoque ayuda a ordenar un gran volumen de trabajo y a mantener la comprensión de las amenazas concretas en todas las etapas.