• Tweet

El distribuidor de seguridad Qualys está ofreciendo un servicio de escaneo gratuito para las 20 vulnerabilidades más severas reconocidas por el SANS, una organización de capacitación mundial.

Miembros del SANS desde dentro del gobierno y negocios encontraron más de 600 vulnerabilidades dentro de sus redes en el primer cuarto del 2005. Las 20 vulnerabilidades de Qualys buscarán cuando se desee ayudar a las compañías a cerrar los huecos de seguridad más críticos en sus redes.

Sin embargo, se encontró que el servicio también permite a los usuarios llevar a cabo escaneos de vulnerabilidades en equipos de otra gente. Aunque Qualys dijo que ha puesto un número de medidas preventivas para detener este tipo de situaciones, estas acciones aún son posibles.

"Existen un número de precauciones que hemos tomado para evitar el abuso, como por ejemplo, el proceso de registro a través de correo electrónico, la activación a través de clic (confirmación de que se tienen permisos para escanear el dispositivo), y el seguimiento de auditoria", de acuerdo con Gerhard Eschelbeck, vicepresidente de ingeniería en Qualys. "No obstante, el Internet tiene una arquitectura abierta, y existen muchas herramientas libres en el Internet para ser descargadas permitiendo que cualquiera realice un escaneo de forma libre sin ninguna de estas precauciones".

Eschelbeck comentó que los intrusos que quieran utilizar un herramienta de escaneo para actividad maliciosa no utilizarán un servicio de escaneo comercial, como el que es ofrecido por Qualys, debido al seguimiento de auditoria que es creado por el proceso de registro. "Los intrusos probablemente optarán por una herramienta de escaneo libre que pueda ser dificil de detectar".

Una investigación realizada por el SANS encontró que los intrusos han dirigido su atención al software antivirus y reproductores de multimedia, en lugar de solo al sistema operativo o navegadores de Web, con el propósito de tomar el control de equipos de usuarios. Pero los intrusos también están dedicando horas a encontrar huecos de seguridad en Microsoft Windows y otros sistemas operativos.

"Estas vulnerabilidades críticas son extensas, y muchas de ellas están siendo explotadas", de acuerdo con Alan Paller, director de investigación en SANS Institute. "Estamos publicando esta lista como una bandera roja para usuarios y departamentos de IT quienes podrían estar no enterados de estas vulnerabilidades, o creer equivocadamente que sus equipos están protegidos".