Más del 60% de las brechas de seguridad son relativamente fáciles de explotar

Los expertos en ciberseguridad advierten del aumento de las vulnerabilidades que son relativamente fáciles de explotar y no requieren la interacción del usuario.

El último informe del proveedor de servicios de seguridad administrada Redscan, titulado “Tendencias de vulnerabilidad de seguridad del NIST en 2020: un análisis”, analiza las más de 18.000 vulnerabilidades y exposiciones comunes (CVE) registradas en la Base de datos nacional de vulnerabilidades (NVD) del NIST (Instituto Nacional of Standards and Technology), una agencia de administración de tecnología del Departamento de Comercio de los Estados Unidos.

Además del hecho de que se informaron más CVE en 2020 que en cualquier año anterior, más de la mitad (57%) de las vulnerabilidades se clasificaron como “críticas” o “alta” en gravedad, totalizando más de 10,300 CVE.

Según el informe, el 63% del número total de fallos lanzados en 2020 se clasificaron como de “baja complejidad”, lo que significa que un atacante con poca habilidad técnica podría explotarlos. Este número ha aumentado desde 2017, después de una caída significativa entre 2001 y 2014, según el estudio.

La cifra del 63% representa un pico de 13 años, dijo Redscan. “La prevalencia de vulnerabilidades de baja complejidad en los últimos años significa que los ataques sofisticados no tienen que ‘quemar’ sus cero días de alta complejidad para alcanzar sus objetivos y tener el lujo de guardarlos para futuros ataques”, advierte el informe.

“Las vulnerabilidades de baja complejidad pueden explotarse en masa, ya que el atacante no necesita considerar ningún factor atenuante o problema con una ruta de ataque. Esta situación empeora cuando el código de explotación llega al público y los atacantes menos calificados pueden simplemente ejecutar scripts para comprometer los dispositivos “.

Hubo otras malas noticias ya que las vulnerabilidades que no requieren la interacción del usuario para explotar también están aumentando: representaron el 68% de todos los CVE registrados en 2020. Los ataques que explotan estos CVE son difíciles de detectar y pueden causar daños importantes, dice Redscan.

“Los atacantes que explotan estas vulnerabilidades ni siquiera necesitan que sus objetivos tomen medidas inadvertidamente, como hacer clic en un enlace malicioso en un correo electrónico. Esto significa que los ataques pueden escapar fácilmente del radar ”, señala el informe.

“Las vulnerabilidades que no requieren interacción para ser explotadas presentan un desafío complejo para los equipos de seguridad, lo que destaca la necesidad de una defensa en profundidad. Esto incluye aumentar la visibilidad de los comportamientos de ataque tan pronto como se produzca un compromiso ”, completa el estudio.