CISA emitió una nueva directiva el miércoles que obliga a las agencias civiles federales a remediar al menos 306 vulnerabilidades comúnmente explotadas durante los ataques. Los funcionarios de CISA enfatizaron que el catálogo se centró en las vulnerabilidades que, según dijeron, estaban «causando daño ahora», pero también se usaría como una lista actualizada de vulnerabilidades priorizadas en función de su comprensión evolutiva de la actividad del adversario.
Cada una de las vulnerabilidades tiene una fecha de vencimiento diferente adjunta, algunas se mitigarán antes del 17 de noviembre y otras se fijarán para el 3 de mayo de 2022.
La Directiva Operativa Vinculante (BOD) 22-01, titulada «Reducción del riesgo significativo de vulnerabilidades explotadas conocidas», se aplica a todo el software y hardware que se encuentran en los sistemas de información federales, según el comunicado. Eso incluye vulnerabilidades que afectan tanto a los activos con y sin acceso a Internet, como a los administrados en las instalaciones de una agencia o alojados por terceros en nombre de una agencia.
Instaron a las empresas privadas y a los gobiernos estatales, locales, tribales y territoriales específicamente a abordar las vulnerabilidades en la lista y registrarse para recibir notificaciones cuando se agreguen nuevas vulnerabilidades.
Directora de CISA, Jen Easterly dijo que si bien la directiva solo se aplica a las agencias civiles federales, todas las organizaciones deben «priorizar la mitigación de las vulnerabilidades enumeradas en nuestro catálogo público, que se utilizan activamente para explotar organizaciones públicas y privadas».
«Todos los días, nuestros adversarios utilizan vulnerabilidades conocidas para atacar a las agencias federales. Como líderes operativos de la seguridad cibernética federal, estamos utilizando nuestra autoridad directiva para impulsar los esfuerzos de seguridad cibernética hacia la mitigación de esas vulnerabilidades específicas que sabemos que los actores cibernéticos malintencionados utilizan activamente. «, dijo Easterly.
«La Directiva establece requisitos claros para que las agencias civiles federales tomen medidas inmediatas para mejorar sus prácticas de gestión de vulnerabilidades y reducir drásticamente su exposición a los ataques cibernéticos. Si bien esta Directiva se aplica a las agencias civiles federales, sabemos que las organizaciones de todo el país, incluida la infraestructura crítica entidades, son atacadas utilizando estas mismas vulnerabilidades».
CISA señaló que la avalancha de vulnerabilidades disponibles descubiertas solo en 2020 superó las 18 000, lo que hace que sea casi imposible para las organizaciones mantenerse al día. El problema se ve agravado por el hecho de que la mayoría de las organizaciones tienen pequeños equipos de TI mal equipados para manejar ataques perpetrados por ciberdelincuentes veteranos o estados-nación.
La lista presenta vulnerabilidades de docenas de las empresas de tecnología más grandes, desde IBM, Oracle y Cisco hasta Apple, Microsoft, Adobe y Google.
El representante Jim Langevin, copresidente del Caucus de Ciberseguridad de la Cámara de Representantes, dijo la directiva «recorrería un largo camino hacia el fortalecimiento de la seguridad de la red y la mejora de nuestra higiene cibernética federal».
Señaló que la Orden Ejecutiva de Seguridad Cibernética del presidente Biden «incluye elementos importantes sobre Zero Trust, y el BOD de CISA está en línea con esa filosofía de no solo mirar la defensa del perímetro».
Ray Kelly, ingeniero de seguridad principal de NTT Application Security, dijo que el catálogo era ideal porque podía convertirse en una lista procesable de tareas que pueden ser rastreadas y verificadas por diferentes departamentos.
«Al observar el catálogo de vulnerabilidades provisto, parece una buena combinación de vulnerabilidades críticas que cubre software, firmware y dispositivos móviles», dijo Kelly. «Sin embargo, si bien existe una buena cobertura de las vulnerabilidades de alto impacto que se están abordando, es importante tener en cuenta que esto no significa que las evaluaciones continuas y el análisis de vulnerabilidades deban detenerse. Los actores malintencionados siempre buscarán aprovechar la próxima brecha de seguridad en cualquier organización.»
Si bien los expertos elogiaron el esfuerzo detrás de la directiva, algunos dijeron que había razones complejas por las que algunas cosas no siempre se reparan.
Chris Grove, estratega jefe de seguridad de Nozomi Networks, trabaja en el ámbito de la infraestructura crítica y dijo que si bien la directiva mostraba un «enfoque progresivo para asegurar las agencias federales en los próximos meses», no podía aplicarse a los sistemas de infraestructura crítica.
«A menudo hay razones legítimas por las que las cosas no se parchean en muchos entornos de infraestructura crítica. En particular, muchos proveedores de equipos ICS llave en mano incorporan tecnologías dentro de su producto, que si se ven obligados a implementar un parche podrían dañar el equipo», dijo Grove.
«En algunos de estos casos, una actualización o parche puede anular la garantía y violar los términos y condiciones del fabricante. Además, algunas actualizaciones requieren ventanas de mantenimiento e interrupciones planificadas. Muchas entidades de ICS solo programan el tiempo de inactividad cada 3 o 4 años. Es imposible para ellos para mantenerse al día con los parches».
El CISO de Critical Insight, Mike Hamilton, le dijo a MarketingyPublicidad.es que lo que más le llamó la atención fueron las vulnerabilidades que no parecían ser de gran gravedad.
La directiva deja en claro que las vulnerabilidades con calificación media y baja se pueden «encadenar» y que los problemas de gravedad baja no se pueden ignorar, explicó Hamilton.
«Al establecer este ejemplo para las agencias federales y hacer que el catálogo esté ampliamente disponible, debería haber un efecto dominó en el sector privado, tanto al recibir el mensaje de que las vulnerabilidades de baja gravedad deben gestionarse como al proporcionar una lista explícita de las vulnerabilidades conocidas». ser útil en el encadenamiento de exploits», dijo Hamilton.
«Un próximo paso lógico puede ser el escaneo activo de sistemas vulnerables en el sector privado, comenzando con proveedores de infraestructura crítica, y proporcionando notificaciones para exposiciones vulnerables».
