[et_pb_section fb_built=\u00bb1″ _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_margin=\u00bb0px||||false|false\u00bb custom_padding=\u00bb0px||||false|false\u00bb locked=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_row column_structure=\u00bb1_4,3_4″ _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_padding=\u00bb50px||||false|false\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_column type=\u00bb1_4″ disabled_on=\u00bbon|on|off\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_padding=\u00bb||||false|false\u00bb sticky_position=\u00bbtop\u00bb sticky_offset_top=\u00bb100px\u00bb sticky_limit_bottom=\u00bbbody\u00bb motion_trigger_start=\u00bbtop\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_text admin_label=\u00bbindice\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_margin=\u00bb||500px||false|false\u00bb custom_padding=\u00bb||||false|false\u00bb link_option_url=\u00bb#1″ sticky_position=\u00bbtop\u00bb sticky_limit_bottom=\u00bbsection\u00bb sticky_offset_surrounding=\u00bboff\u00bb sticky_transition=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb]<\/p>\n
Secciones<\/strong><\/p>\n [\/et_pb_text][\/et_pb_column][et_pb_column type=\u00bb3_4″ _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_text admin_label=\u00bbseccion\u00bb module_id=\u00bb1″ module_class=\u00bbittopicscontent\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb z_index=\u00bb0″ custom_margin=\u00bb0px||0px||true|false\u00bb custom_padding=\u00bb0px||0px||false|false\u00bb custom_css_main_element=\u00bbfont-family:%22Pandora-Light%22;\u00bb locked=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb]<\/p>\n Un CVE, o \u00abCommon Vulnerabilities and Exposures,\u00bb es una identificaci\u00f3n \u00fanica y estandarizada para una vulnerabilidad o exposici\u00f3n de seguridad en software o hardware. Los CVE son un sistema de nomenclatura y seguimiento que se utiliza en todo el mundo para identificar y enumerar vulnerabilidades de seguridad espec\u00edficas. Este sistema fue creado para facilitar la organizaci\u00f3n, comunicaci\u00f3n y referencia de informaci\u00f3n sobre vulnerabilidades, lo que permite a la comunidad de seguridad inform\u00e1tica y a los profesionales de TI abordar y solucionar problemas de seguridad de manera m\u00e1s eficiente.<\/p>\n La supervisi\u00f3n de los Identificadores de Vulnerabilidad y Exposici\u00f3n Com\u00fan (CVE) recae en la Corporaci\u00f3n MITRE<\/a>, con el respaldo financiero de la Agencia de Ciberseguridad y Seguridad de la Infraestructura (CISA), una entidad perteneciente al Departamento de Seguridad Nacional de los Estados Unidos.<\/p>\n Las entradas de CVE son concisas y no contienen detalles t\u00e9cnicos ni informaci\u00f3n sobre riesgos, impacto o soluciones. Dicha informaci\u00f3n se encuentra en otras bases de datos, como la Base de Datos Nacional de Vulnerabilidades (NVD)<\/a> de los Estados Unidos, la Base de Datos de Notas de Vulnerabilidad CERT\/CC<\/a> y diversas listas mantenidas por proveedores y otras compa\u00f1\u00edas.<\/p>\n Estos n\u00fameros de identificaci\u00f3n de CVE desempe\u00f1an un papel fundamental al permitir a los usuarios identificar de manera fiable puntos de vulnerabilidad \u00fanicos y facilitar la coordinaci\u00f3n en el desarrollo de soluciones y herramientas de seguridad para diversos sistemas. La Corporaci\u00f3n MITRE es responsable de mantener la lista de CVE<\/a>, aunque son frecuentemente las empresas y los miembros de la comunidad de c\u00f3digo abierto quienes reportan los fallos de seguridad que se convierten en CVE.<\/p>\n Los identificadores de CVE son asignados por las Autoridades de Numeraci\u00f3n de CVE (CNA). Actualmente, hay 327 CNAs <\/a>(325 CNAs y 2 CNA-LRs) de 37 pa\u00edses<\/a> participando en el Programa CVE que representan a los principales proveedores de tecnolog\u00eda de la informaci\u00f3n, adem\u00e1s de empresas de seguridad e instituciones de investigaci\u00f3n. En este sentido, Pandora FMS est\u00e1 en contacto con investigadores de seguridad quienes informan a la empresa sobre vulnerabilidades que han detectado, proporcionando detalles como fecha y hora en que identific\u00f3 el fallo de seguridad, versiones afectadas, tipo de seguridad a informar (XSS, CSRF, SQLi, RCE), componentes afectados (API, agente, servidor, entre otros), captura de pantallas o registros de transacciones e instrucciones para reproducir el problema, siguiendo sus pol\u00edticas de revelaci\u00f3n y gesti\u00f3n de vulnerabilidades<\/a>. Cabe mencionar que solicitamos al investigador que no publique los detalles de la vulnerabilidad, debiendo primero analizar el problema, reproducir el fallo y determinar la priorizaci\u00f3n para su correcci\u00f3n. Una vez que se corrige la problem\u00e1tica, junto con el Investigador se gestiona la respuesta a la comunidad y se publica la correcci\u00f3n realizada en una versi\u00f3n oficial de CVE<\/a>, indicando el C\u00f3digo CVE, los detalles de la vulnerabilidad, fecha de certificaci\u00f3n y versi\u00f3n que se ha corregido.<\/p>\n Es importante considerar que los informes de CVE no solo provienen de investigadores, sino que tambi\u00e9n pueden provenir de cualquier persona que descubra una vulnerabilidad y la reporte, ya sea un proveedor o simplemente un usuario astuto. De hecho, muchos proveedores ofrecen recompensas por descubrir fallos de seguridad para fomentar su divulgaci\u00f3n responsable. Si se encuentra una vulnerabilidad en sistemas de software de c\u00f3digo abierto, es importante notificarlo a la comunidad.<\/p>\n MITRE tambi\u00e9n tiene la capacidad de emitir identificadores de CVE directamente. Las CNA reciben bloques de identificadores de CVE y los reservan para utilizarlos en nuevos problemas que se descubren. Cada a\u00f1o se emiten miles de n\u00fameros de identificaci\u00f3n de CVE<\/a>. Incluso un solo producto complejo, como un sistema operativo, puede acumular cientos de identificadores de CVE.<\/p>\n La informaci\u00f3n sobre la vulnerabilidad llegar\u00e1 a la CNA de una u otra forma. La CNA asigna un n\u00famero de identificaci\u00f3n de CVE a la informaci\u00f3n, crea una breve descripci\u00f3n y proporciona referencias. Posteriormente, los nuevos identificadores de CVE se publican en el sitio web correspondiente.<\/p>\n En muchas ocasiones, se asigna un identificador de CVE antes de que se publique una advertencia de seguridad, ya que los proveedores suelen mantener en secreto las vulnerabilidades de seguridad hasta que se desarrolle y pruebe una soluci\u00f3n. Esto se hace para reducir las oportunidades de aquellos que buscan explotar las vulnerabilidades sin correcciones.<\/p>\n Una vez que se publica una entrada de CVE, se incluye el n\u00famero de identificaci\u00f3n (en formato \u00abCVE-2023-1234567\u00bb), una breve descripci\u00f3n de la exposici\u00f3n o la vulnerabilidad, y referencias que pueden contener enlaces a recomendaciones e informes relacionados con la vulnerabilidad.<\/p>\n Es importante comprender que una vulnerabilidad es una debilidad que el cibercrimen puede aprovechar para obtener acceso no autorizado o realizar acciones no autorizadas los sistemas inform\u00e1ticos, tales como ejecutar c\u00f3digos, acceder a la memoria de un sistema, instalar malware y robar datos confidenciales. La Exposici\u00f3n es un error hallado en un software o hardware que permite al cibercrimen emprender acciones como acceder a un sistema o red, hallar la oportunidad para violar o filtrar datos y obtener informaci\u00f3n de identidad personal para luego venderla. Exposiciones accidentales han dado lugar a las mayores filtraciones de datos y no tanto por ataques sofisticados.<\/p>\n Los n\u00fameros de identificaci\u00f3n de CVE se asignan a las vulnerabilidades que cumplen con este conjunto espec\u00edfico de criterios:<\/p>\n Los CVE tienen un rol importante en la constante Monitorizaci\u00f3n de la Seguridad<\/a> para auditar y asegurar los sistemas, creando un ambiente de Confianza Digital, con base en:<\/p>\n Tambi\u00e9n, algo muy importante es la colaboraci\u00f3n. El sistema CVE fomenta el conocimiento y la colaboraci\u00f3n entre investigadores, proveedores y organizaciones de seguridad, que puede conducir a una resoluci\u00f3n de vulnerabilidades o exposiciones de manera m\u00e1s r\u00e1pida.<\/p>\n Como se ha explicado anteriormente, los CVE parten de la informaci\u00f3n sobre vulnerabilidades y exposiciones proporcionada por distintos actores, por lo que su identificaci\u00f3n es un \u201cente vivo\u201d en constante cambio y evoluci\u00f3n, que merece mencionarse algunas consideraciones importantes:<\/p>\n\n
\u00bfC\u00f3mo opera el sistema de CVE?<\/h2>\n
Los identificadores de CVE<\/h2>\n
Caracter\u00edsticas de los CVE<\/h2>\n
\n
Ventajas de los CVE<\/h2>\n
\n
Consideraciones sobre los CVE<\/h2>\n
\n