Escaneé mi servidor con una herramienta de escaneo de vulnerabilidades: ¿los fallos detectados son riesgos reales?

Las vulnerabilidades de versión de paquete suelen deberse a parches retrocompatibles (backported). Las distribuciones de Linux aplican el parche de seguridad sin cambiar el número de versión principal del paquete, pero como el escáner solo lee la información del banner, cree que hay una vulnerabilidad. Compruebe el registro de cambios de su gestor de paquetes para confirmar si el número de boletín correspondiente se ha cerrado.

Lo primero que debe hacer es endurecer las reglas del firewall. En el servidor solo deberían quedar abiertos hacia el exterior los puertos 80 y 443. Si vincula todos los servicios de administración, incluido SSH, a la red local o a la IP estática de su oficina, al menos la mitad de las advertencias del informe desaparecerán en una hora.

En nuestra plataforma salieron 62 vulnerabilidades en el primer escaneo; nos encerramos dos días con el desarrollador a revisarlas. De las 6 críticas que salieron, 5 eran falsos positivos detectados solo por control de versión. La 1 crítica restante era un puerto de base de datos de prueba que se había dejado abierto hacia afuera. Al cerrarlo, la puntuación mejoró al instante.

Al hacer el escaneo, ¿lo ejecutó autenticado o solo a través de la IP externa? Si escaneó desde fuera sin dar credenciales y aun así le listó las versiones de los paquetes internos, significa que los banners de sus servicios están filtrando más información de la cuenta; primero oculte esos encabezados.

Las herramientas de escaneo automático son el método más usado por las consultoras para inflar informes. Imprimen páginas de gráficos a color y crean un clima de miedo. Un atacante real no ataca todo lo que señala una herramienta automática; se fija en la falta de control de autorizaciones y en la lógica de las API. No entre en pánico.

No se agobie, en el primer escaneo de cualquier servidor salen cuadros similares. Primero actualice los conjuntos de cifrado seguros usando herramientas gratuitas en línea que prueban la configuración SSL de su servidor web. Luego reinicie el sistema operativo y repita el escaneo, verá cómo se queda más tranquilo con el resultado.

a nosotros tb nos paso el mismo panico. buscamos los numeros cve uno a uno pa ver si de verdad habia codigo exploit publicado. la mayoria eran cosas q requerian permisos de usuario local, o sea de alguien q ya habia entrado al servidor. cierren los puertos basicos y el resto con calma.

No confíe a ciegas en la puntuación CVSS al priorizar los hallazgos. Su prioridad siempre deben ser las vulnerabilidades que se pueden activar desde la red sin autenticación. Si la vulnerabilidad requiere una cuenta de usuario local en el servidor o si el puerto abierto está cerrado al mundo exterior, su prioridad operativa es baja aunque el elemento sea crítico.

Lo que se dice aquí es exactamente lo que nos pasó. en fin los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada. pues yo seguiría por ese camino.

Totalmente. Si tuviera que añadir algo más: El error cometido por herramienta de escaneo de vulnerabilidades suele ser reversible, pero caro.

Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

La discusión se ha dispersado, voy a ordenarla. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

También me gustaría saber si alguien lo hace de otra manera.

estoy en la misma situación por eso pregunto. los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

la mayor parte de la pérdida de tiempo se acumula en los trabajos pendienes de aprobación. comprobado por experiencia.

Dejo una advertencia. El tiempo que tardas en detectar un problema determina directamente su coste.

correcto.

Estoy siguiendo esto. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Eso es todo, disculpa si me he extendido demasiado.

A nosotros también nos pasa.

Buen trabajo. Todos los que se apresuran con herramienta de escaneo de vulnerabilidades se atascan en el mismo punto.

La seguridad no es absoluta; significa hacer que el ataque no merezca la pena. Ánimo.

Lo probaré.