FORMACIÓN INTEGRAL – VULNERABILIDADES COMUNES

1. VISIÓN GENERAL

Las vulnerabilidades comunes son fallos o debilidades técnicas que pueden ser explotadas por atacantes para comprometer la confidencialidad, integridad o disponibilidad (CIA) de los activos de una organización.

Estas vulnerabilidades están presentes en sistemas operativos, aplicaciones, dispositivos de red, servicios en la nube, software de terceros y más. Identificarlas y priorizarlas correctamente es una piedra angular del trabajo de cualquier Arquitecta de Seguridad Purple.

2. CLASIFICACIÓN GENERAL DE VULNERABILIDADES

A. Por origen:

• De software: errores en el código o configuración.

• De red: exposición de puertos, protocolos inseguros.

• De configuración: contraseñas por defecto, permisos mal asignados.

• Humanas: errores del usuario, ingeniería social.

• De arquitectura: diseño inseguro o mal segmentado.

B. Por vector de ataque:

• Exposición web (OWASP Top 10)

• Explotación de servicios

• Escalada de privilegios

• Movimiento lateral

• Exfiltración de datos

3. EJEMPLOS DE VULNERABILIDADES COMUNES

✅ Nivel 1 – Fáciles (Riesgo común pero controlable)

1. Servicios innecesarios expuestos

   • Ej.: puertos abiertos sin necesidad (FTP, Telnet, SMBv1).

   • Defensa: hardening, firewall, escaneo de puertos regulares.

2. Contraseñas por defecto o débiles

   • Ej.: admin:admin en routers o CMS.

   • Defensa: gestión de credenciales y políticas de contraseñas.

3. Falta de parches

   • Ej.: sistemas sin actualizaciones críticas.

   • Defensa: programa de gestión de parches automatizado.

⚠️ Nivel 2 – Medias (Requieren más habilidad)

1. Cross-Site Scripting (XSS)

   • Inyección de scripts en formularios web.

   • Defensa: validación de entrada, escape de caracteres.

2. Inyección SQL

   • Ejecución de comandos SQL no controlados.

   • Defensa: uso de ORM, consultas preparadas, validación.

3. Directory Traversal

   • Acceso a archivos fuera del directorio permitido (../../etc/passwd).

   • Defensa: sanitización de rutas y permisos de archivos.

🔥 Nivel 3 – Avanzadas (Altamente críticas)

1. Deserialización insegura

   • Manipulación de objetos serializados en apps web.

   • Defensa: evitar datos serializados no confiables, validación robusta.

2. RCE – Remote Code Execution

   • Ejecución de código arbitrario remotamente.

   • Defensa: segmentación, EDR, WAF, parches inmediatos.

3. LFI/RFI (Local/Remote File Inclusion)

   • Inclusión de archivos externos o locales no validados.

   • Defensa: sanitización estricta de parámetros.

☠️ Nivel 4 – Maestro (Explotación compleja y persistente)

1. Zero-Day

• Vulnerabilidad no conocida por el fabricante.

• Defensa: monitoreo comportamental, threat hunting proactivo.

1. Firmware/rootkit malicioso

• Malware persistente en capas profundas.

• Defensa: integridad del sistema (TPM, secure boot), EDR avanzado.

1. Fallos lógicos en aplicaciones críticas

• Ej.: bypass de autenticación o negocio por lógica mal implementada.

• Defensa: revisión de código, pruebas automatizadas y humanas (SAST+DAST).

4. METODOLOGÍA DE DETECCIÓN Y REMEDIACIÓN

1. Escaneo de vulnerabilidades:

   • Herramientas: Nessus, OpenVAS, Nexpose, Qualys

   • Proceso: detección → análisis → priorización → parcheo

2. Validación de falsos positivos:

   • Registro cruzado con logs, CVEs, MITRE ATT&CK

3. Parcheo y remediación:

   • Clasificar por CVSS y contexto (explotabilidad real)

4. Verificación post-remediación:

   • Reescaneo, pruebas manuales, auditoría.

5. BUENAS PRÁCTICAS PURPLE

• Documentar las vulnerabilidades más frecuentes en tu entorno.

• Coordinar ejercicios de validación entre Red y Blue Team.

• Usar modelos como DREAD o STRIDE para priorizar riesgos.

• Establecer un proceso de revisión continua de exposición.

• Aplicar "Kill Chain Thinking": pensar en cómo se encadena cada vulnerabilidad dentro de un ataque completo.

CONCEPTOS CLAVE

• Gestión de vulnerabilidades – Vulnerability Management (VM)

• Sistema de puntuación CVSS – Common Vulnerability Scoring System

• Zero-day – Vulnerabilidad desconocida por el fabricante

• RCE – Remote Code Execution

• LFI / RFI – Local/Remote File Inclusion

• XSS – Cross-Site Scripting

• SQLi – SQL Injection

• OWASP Top 10 – Lista de las 10 amenazas web más críticas

• Hardening – Endurecimiento del sistema para reducir superficie de ataque

• Threat Hunting – Búsqueda activa de amenazas dentro del entorno

• STRIDE / DREAD – Modelos de análisis de amenazas