Módulo 25: Evaluación de Vulnerabilidad de Terminales

Se trata de un sistema con el cual se catalogan las vulnerabilidades de acuerdo con sus características y severidad.

Según los beneficios de CVSS:

• Proveer un sistema de calificación estandarizada compatible entre organizaciones,
• el cual funciona bajo un marco de trabajo abierto, cuyas métricas están disponibles para ser vistas por todos,
• y que ayuda a asignar prioridad a los riesgos de modo tal que puede resultar útil y significativa para cualquier organización.

• Métricas de "explotabilidad"
• Métricas de impacto

La posibilidad o facilidad de que se lleve a cabo un ataque basándose en aspectos del vector de ataque, complejidad, privilegios necesarios e interacción necesaria por parte del usuario.

Se trata de un proceso cíclico, dedicado a la "selección y especificación" de los controles de seguridad de una organización, en relación con la identificación y manejo de riesgos relevantes a la seguridad de la infraestructura de ésta.

No entiendo la pregunta. CVE significa "Common Vulnerabilities and Exposures". Al parecer, se trata de un sistema que, según Wikipedia, provee un método para referenciar... pues, vulnerabilidades y exposiciones comunes. Es como una... ¿base de datos? Y, al parecer, hubo un asunto el mes pasado con respecto a los fondos que recibe MITRE (la compañía encargada de CVE) por parte del gobierno de los Estados Unidos... Al final, lo que entendí es que trabaja en tándem con los CVSS.

"Prevenir la explotación de vulnerabilidades de TI que existen dentro de una organización." En esencia, se trata de todo esfuerzo dedicado a mantener bajo control las vulnerabilidades y la reacción ante estas en una organización.

¿3,9? Medio, supongo. Aunque eso es una calificación de vulnerabilidad, no de riesgos...

Son métricas que se determinan de acuerdo con el contexto específico y las necesidades de una organización y su propio ecosistema. Sirven para agregar un "ajuste" a las métricas base, con la finalidad de adaptar las CVSS a las prioridades de la empresa. Odio el énfasis en las empresas.

Tomarla en cuenta, actuar en pro de solucionar o tratar la vulnerabilidad.

Quedan puntos sin resguardo que podrían ser explotados; y sería mucho más costoso y lamentable tener que reaccionar ante una situación de desastre.

Es el asunto del que estábamos hablando antes. Es importante, principalmente porque es un estándar abierto, compatible entre entidades, y trabaja en conjunto con las CVSS.

Provee información adicional sobre las vulnerabilidades, haciendo uso de los identificadores CVE. Entre la información que ofrece se encuentran detalles técnicos, calificaciones de riesgos, entidades afectadas, y fuentes para realizar una investigación más a fondo.

Permite asignar una mayor prioridad al trato de las vulnerabilidades más severas por sobre las más bajas, haciendo uso de información compartida públicamente.

• Métricas básicas modificadas
• Requisitos de confidencialidad
• Requisitos de integridad
• Requisotos de disponibilidad

Ya estamos inventando nuevas para extender el cuestionario, ¿no? La relación es prácticamente directa. O debería de serlo. Una calificación de gravedad media a crítica, debería de ser tomada como la primera señal para comenzar un proceso para afrontar la vulnerabilidad.

Leerlos, tomarlos en cuenta si son sobre algún módulo que forma parte del sistema empleado.

Calificar las características que posee una vulnerabilidad a lo largo del tiempo. Son cualidades que cambian.

Ningún resultado en la búsqueda me muestra una "enumeración de las entidades afectadas". La calculadora menciona el impacto a cada concepto de la tríada CIA.

No estoy seguro de que esto esté en el módulo. Pero una práctica en conrceto siempre es reducir la cantidad de elementos innecesarios, como puertos abiertos o programas redundantes.

La matemática no me la sé, ni la voy a copiar-y-pegar acá. Sólo sé que existe una calculadora en este sitio. La calificación final depende del valor asignado a cada una de las respuestas.

Según lo que interpreto, es la probabilidad, o más bien, posibilidad de que una vulnerabilidad sea utilizada para llevar a cabo un ataque.

La experiencia de quien realice la evaluación de una vulnerabilidad afecta la certeza con que la califica, afectando así la credibilidad y por tanto la utilidad de su aporte.

La base de datos de la NVD está compuesta por CVSS, y también ofrece esa calculadora para generar reportes en formato CVSS.

Se trata de una calificación del impacto que podría ejercer una vulnerabilidad sobre cualquiera de los miembros de la tríada CIA: confidencialidad, integridad y disponibilidad.