Un año emblemático para problemas de seguridad


Todavía no ha finalizado, no obstante el 2006 es ya un año record en lo que respecta a vulnerabilidades en seguridad. Hay sin embargo una esperanza: solo una pequeña parte de estos errores son de alto riesgo.






El año pasado, investigadores del Internet Security System (ISS), identificaron 5,195 vulnerabilidades en programas informáticos. La pasada semana, la cuenta para este año se colocó en 5,450, de acuerdo al escrutinio de la compañía con sede en Atlanta. El total proyectado del año es de casi 7,500 "bugs" o defectos informáticos.

"Superados los tres primeros trimestres del año, el 2006 está siendo visto como un enorme salto en términos de vulnerabilidades en la seguridad," dijo Gunter Ollman, director de X-Force, el grupo de investigación y desarrollo del ISS.

El número de problemas encontrados ha crecido, así como los cazadores de defectos y los creadores de software se han vuelto más hábiles a la hora de localizarlos. Además, el acceso a herramientas de auditoria automatizada ha mejorado, dijo Ollman. Pero también existe más código para examinar exhaustivamente en busca de problemas de seguridad, debido principalmente a que el público usa software cada vez mas complejo.

ISS, la cual está siendo adquirida por la multinacional IBM, predice que habrá un incremento del 41 por ciento en fallos de software confirmables, en comparación con el 2005. Ese año, a su vez, se registró un incremento del 37 por ciento en relación al 2004.

Pero existe alguna buena noticia también. Mientras habrá un aumento generalizado en el número de vulnerabilidades, el mismo será acompañado por una caída en el porcentaje de los problemas calificados como "críticos" o de alto riesgo, dijo Ollman.

De acuerdo con Ollman, los defectos graves alcanzan el 28,4 por ciento de todos los agujeros de seguridad del pasado año. En comparación, esto representa solo el 17 por ciento de las errores identificados este año hasta la segunda semana de octubre, y se espera que este porcentaje se mantenga en lo que queda del año.

"Ésta es probablemente la parte más positiva de lo que se espera en materia de vulnerabilidades," dijo Ollman. "En años anteriores, hubo una tendencia alcista en el número de problemas críticos y de alto riesgo."

La información sobre el crecimiento de defectos hecha por ISS, es respaldada por otras compañías de seguridad. VeriSign, iDefense y eEye Digital Security confirman un incremento en las vulnerabilidades este año. Otra señal de este incremento proviene de los propios boletines de seguridad de Microsoft. La compañía ya lleva publicados sesenta y cinco (contando los de octubre), mientras el total del año pasado fue de cuarenta y cinco.

Sumado a esto, un informe reciente de Symantec sobre amenazas a la seguridad, dice que 2,249 nuevas vulnerabilidades fueron documentadas en los primeros seis meses de 2006, más del 18 por ciento en relación a la segunda mitad del año 2005. Este número nunca había sido registrado antes en un período de solo seis meses.

Mayor número de vulnerabilidades significa mas oportunidades para los piratas cibernéticos y más dolores de cabeza para la creación y aplicación de parches de seguridad, dicen los expertos.

"Usted tiene que protegerse contra cada una de esas vulnerabilidades, mientras que un atacante necesita encontrar solamente una para poner en escena un ataque," dice Ollman. "Cuantas más vulnerabilidades se descubren, mayor es el riesgo que usted tiene."

Las vulnerabilidades críticas y de alto riesgo son aquellas que permiten a un gusano de red propagarse, o que dejan a un atacante remoto tomar el control de una computadora sin que el usuario tenga que hacer nada para que ello ocurra. ISS pronostica una caída en el número absoluto de ese tipo de errores en 2006, el cual anticipa 1,265, comparados con los 1,475 del último año.

Esa caída de los defectos mas serios debe ser atribuida, en parte, a que el software está siendo mas seguro, dijo Ollman. También muchos cazadores de defectos han empezado a usar herramientas automatizadas llamadas "fuzzers" (programas para descubrir vulnerabilidades, "inyectando" los fallos), las cuales frecuentemente descubren defectos que terminan siendo evaluados como de riesgo medio" dijo Ollman.

Por ejemplo, un fuzzer puede ser usado para verificar como una aplicación específica maneja un cierto formato de archivo, como JPEG o GIF. Si ésta aplicación -digamos un navegador Web- acusa un error, el mismo puede apuntar a una vulnerabilidad que podría ser usada como base de un ataque. Para aprovecharse de este defecto, sin embargo, el atacante a menudo tendrá que engañar a la víctima por medio de la apertura de un archivo defectuoso.

Solo una parte menor de los defectos más serios, están siendo descubiertos en los sistemas operativos, dijo Steve Manzuik, un funcionario de eEye. Son más los que aparecen en otro tipo de software.

"Hemos visto un incremento en los defectos críticos correspondientes a software cliente, como aquellos en Internet Explorer, Quick Time, y aplicaciones de Office," dijo Manzuik.

El notorio descenso de los defectos severos puede durar poco, afirmó Ollman. "Cuando aumenta el número de nuevos productos de software, la cantidad de fallos críticos típicamente incrementa," apunta. Se anuncia para enero, que el nuevo Windows Vista de Microsoft, el sucesor de XP, esté disponible para todos los usuarios. Microsoft ha etiquetado a Vista como "la versión más segura de Windows".

"Pienso que ciertamente en la primera mitad de 2007, veremos un aumento en términos porcentuales de vulnerabilidades críticas y de alto riesgo," manifiesta Ollman. "Eso probablemente estará asociado con la puesta en circulación de Vista."

Pero las personas no deben preocuparse solo de las vulnerabilidades más graves, dijo Ken Dunham, director del equipo de respuesta rápida de iDefense. "Este año ha sido excepcional en términos de ataques Zero-day," afirmó. "Hoy existen un número mayor de vulnerabilidades de nivel medio, y muchas de ellas se utilizan en ataques."

Los ataques del tipo Zero-day (del día "cero"), utilizan los fallos hasta ese momento desconocido, para los que no se han publicado aún soluciones. Muchos de ellos se aprovechan del tipo de agujero de seguridad que se puede encontrar utilizando un fuzzer.

Tales vulnerabilidades, se emplean principalmente a través de sitios web maliciosos que tratan de instalar silenciosamente spyware u otro software maligno como keylogers y bots, o mediante el envío de spam infectado, afirma Dunham. "Algunos de esos ataques, en menor escala, utilizan documentos de Word, por ejemplo," dijo.

* Fuente original:

A banner year for security bugs
http://news.com.com/A+banner+year+for+security+bugs/2100-1002_3-6124541.html

 

Fuente:
Por Emilio Baby (*)
enciclopediavirus.com




Otras noticias de interés:

Múltiples vulnerabilidades en Clam AntiVirus
Se ha anunciado la aparición de una nueva versión de ClamAV que solventa varias vulnerabilidades, algunas que podrían ser explotadas por un atacante remoto para ejecutar código arbitrario o saltarse restricciones de seguridad y otras que podrían...
Holanda penalizará la pornografía infantil virtual
La pornografía infantil se ha convertido en una de los delitos más perseguidos por los países. Algunos no persiguen este delito, porque sus códigos penales no lo contemplan como tal, otros en cambio han debido reformar sus normas para incluir est...
El Vaticano teme espionaje electrónico durante el próximo Cónclave
En 1978, cuando Juan Pablo II fue elegido, el mundo era muy distinto al actual. La posibilidad de espiar las deliberaciones que condujeron a su elección estaba al alcance de muy pocos. Pero el próximo Cónclave del 18 de Abril tendrá lugar en plen...
Actualización de seguridad de PHP
Las versiones no actualizadas de PHP son susceptibles a un ataque remoto que permite la ejecución de código arbitrario en el servidor....
Los hacker´s son los que hacen que internet avance a pasos agigantados
Lejos de la realidad mostrada por Hollywood, los piratas son los responsables de la evolución del internet, pues gracias a su ímpetu por retar su funcionamiento es que han logrado evolucionarlo a pasos agigantados, como ningún otro invento a pod...
Utilizando el firewall para detectar una botnet
Las redes Botnet son en la actualidad una de las principales amenazas para los usuarios. Como ya hemos comentado en este mismo blog, el poder de las mismas las convierten en la principal herramienta del cibercrimen para obtener dinero… y en el prin...
Hotmail sigue reduciendo sus servicios gratuitos
El fabricante de software Microsoft anunció el jueves 6 que los usuarios de su correo electrónico Hotmail que quieran transferir correo desde otras cuentas deberán pagar por ese servicio de ahora en adelante. ...
Síndrome de visión informática, la nueva enfermedad 2.0
El uso constante de computadoras, celulares y otros dispositivos móviles representa un riesgo para la salud ocular....
Skolelinux 2.0 - GNU+Linux para escuelas
Nacido en Noruega en el año 2003, el flamante Skolelinux 2.0 fue liberado hace solamente algunos días. Se trata de un CD con sistema operativo GNU+Linux optimizado para escuelas y universidades....
Primer troyano para MAC que detecta la virtualización
Desde el blog de F-Secure alertan de la aparición del primer troyano para Mac (Mac Trojan Flashback.B Checks for VM) que detecta si está siendo ejecutado en una máquina virtual, para así alterar su comportamiento y evitar ser analizado. ...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • emblematico
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • problemas
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra