Informe X-Force Seguridad Semestral 2010

Hace unos años, cuando IBM se hizo con ISS, se llevó entre otras buenas cosas, el equipo X-Force que tantos papers e información de seguridad habían publicado a lo largo de años. Continuamente hacen trabajar a los equipos de seguridad de Microsoft, Google u Oracle con el descubrimiento de nuevas vulnerabilidades en el sistema, y es fácil encontrarlos en BlackHat presentando cosas nuevas.

Como la mayoría de los laboratorios, periódicamente sacan un informe de seguimiento y estado de la seguridad. El informe que ellos han hecho público, y puedes descargarte si tienes o te sacas una cuenta en IBM, es relativo al estado de las vulnerabilidades descubiertas en estos primeros 6 meses de 2010. Y los datos son curiosos.

Según el informe, aunque a día de hoy se desarrolla código mucho más seguro, cosa que tendríamos que revisar cuando seguimos encontrándonos con demasiada frecuencia advisories de seguridad de este tipo [Cisco SQL Injection], el número de vulnerabilidades descubiertas en 2010 durante estos primeros seis meses ha alcanzado el escalofriante número de 4.396. Es decir, que salen algo así como más de 730 vulnerabilidades al mes.

Este número supone un incremento de más de un 35% con respecto al peor de los años en los primeros seis meses. Y eso debe ser porque hay mucha más gente interesada en encontrarlas, por lo tanto más dinero en el negocio, y más gente con ganas de coger la caravana e irse a agitar el agua de los ríos en busca de pepitas.

Respecto a los mecanismos de parcheo de las vulnerabilidades, la cosa está fatal. Más de la mitad de ellas están aún sin parchear, y si se mira a las críticas o más peligrosas, el número alcanza el 71 % aun sin parchear. En este caso, el que peor lo hace es Google, que tiene el 33% de las críticas sin parchear. Si se mira quién tiene más vulnerabilidades, de todos los niveles, sin parchear, el ganador es SUN.


Gráfico porcentual de vulnerabilidates totales y críticas sin parchear
Por sistemas operativos, Microsoft se lleva la palma en vulnerabilidades críticas, pero si se miran todas las vulnerabilidades, este está siendo el peor año en seguridad para Apple y va muy cerquita de él Linux.

Como se puede ver, el tema de las protecciones de software necesita mejorarse, y a marchas agigantadas, o dentro de poco vamos a pasar 23 horas al día parcheando los sistemas, y 1 hora conectados a Internet acojonados perdidos.

Saludos Malignos!