¡Pide presupuesto en 2 min! ✓
Ciberseguridad

Exploits o vulnerabilidades informáticas ¿Qué son? ¿Cómo evitarlos?

7 Mins read

Las vulnerabilidades informáticas y los exploits son problemas con los que los sistemas informáticos y los usuarios seguimos teniendo que lidiar en la actualidad, si bien es cierto que gracias a los parches y las actualizaciones de software y hardware, se ha conseguido reducir en parte el impacto negativo de los mismos.

Vamos a dedicar este artículo a explicar qué es un exploit y una vulnerabilidad informática, qué tipos existen y su relación con las amenazas informáticas.

¿Qué es un exploit o vulnerabilidad informática?

Los hemos puesto al mismo nivel, pero lo cierto es que un exploit y una vulnerabilidad informática no son exactamente lo mismo, aunque sí están muy relacionados, tanto, que el primero existe solo porque las segundas son una realidad que pone en riesgo la seguridad informática de cualquier sistema.

Empecemos por explicar qué es una vulnerabilidad informática; el INCIBE las define como un fallo en un sistema de información que pone en riesgo la seguridad de la información y que puede permitir a un atacante comprometer la integridad, disponibilidad o confidencialidad de la misma.

Es decir, las vulnerabilidades informáticas o vulnerabilidades de ciberseguridad son «agujeros» de seguridad que permiten la entrada de atacantes al sistema y ponen en riesgo los datos e información allí almacenados o incluso la posibilidad de que podamos usarlo. El origen de estos fallos se encuentra en diferentes fuentes: errores de diseño, errores de configuración o limitaciones propias de la tecnología.

Por su parte, los exploits son programas o códigos creados para aprovecharse de una vulnerabilidad informática en un software o un sistema. Es decir, que mediante el exploit, un hacker puede atacar un sistema informático, explotando la existencia de una vulnerabilidad informática previa.

En ese sentido, los exploits no son un tipo de malware, sino que pueden ser el mecanismo usado para introducir malware en un sistema.

Vulnerabilidades informáticas vs. Amenazas informáticas ¿son lo mismo?

Es fácil pensar que las vulnerabilidades informáticas y las amenazas informáticas son lo mismo, pero lo cierto es que son conceptos diferentes, si bien, relacionados entre sí.

Ya hemos visto que una vulnerabilidad informática es un fallo en el software o en el hardware. Por su parte, una amenaza informática es aquella acción que se aprovecha de una vulnerabilidad informática para comprometer la seguridad de un sistema informático.

Es decir, que los diferentes tipos de amenazas informáticas que existen, como un virus, un gusano informático, phishing, spyware, etc., se aprovechan de la presencia conocida (o no) de una vulnerabilidad informática para poder explotarla y comprometer el sistema, accediendo a él y llevando a cabo los objetivos y fines que desee el atacante.

Tipos de vulnerabilidades informáticas

Según el tipo de vulnerabilidades informáticas, estas se pueden agrupar en función al:

  • Diseño:
    • Debilidad en el diseño de protocolos empleados en las redes.
    • Políticas de seguridad deficientes e inexistentes.
  • Implementación:
    • Errores de programación.
    • Presencia de puertas traseras (backdoors) en software y hardware.
    • Errores de código por descuido de fabricantes y desarrolladores.
  • Uso:
    • Configuración inadecuada de los sistemas informáticos.
    • Falta de conocimientos de los usuarios y de los responsables de IT.
    • Existencia de herramientas que faciliten los ataques.
    • Limitación gubernamental de tecnología de seguridad.
  • Vulnerabilidades de día cero: Es aquella vulnerabilidad que se sabe cómo explotar, pero no cómo solucionar y que mientras no se corrija, pondrá en riesgo los sistemas informáticos. Son la causa de los conocidos como ataques de día cero.

Aparte de esta agrupación, las vulnerabilidades informáticas también se pueden clasificar en cuatro tipos:

Crítica

Las vulnerabilidades informáticas críticas son aquellas que permiten que las amenazas informáticas se produzcan y propaguen sin la intervención del usuario, es decir, pueden ejecutarse sin que el usuario tenga que hacer nada para ello.

Por ejemplo, la presencia de una puerta trasera en un software puede aprovecharse por un atacante que conozca su existencia y la use para llevar a cabo su ciberataque sin que el usuario sea consciente de ello.

Importante

Las vulnerabilidades informáticas importantes son aquellas que ponen en riesgo la confidencialidad, integridad y/o disponibilidad de los sistemas de información, incluidos también los recursos de procesamiento de los usuarios. Es decir, comprometen no solo los datos e información de los sistemas informáticos, también los recursos que emplean para funcionar adecuadamente.

Que tu equipo acabe siendo parte de una botnet puede ser el resultado de este tipo de vulnerabilidad.

Moderada

Las vulnerabilidades moderadas son aquellas que presentan un menor riesgo para la información y los recursos de los sistemas informáticos, que tienen menos potencial para afectar a grandes cantidades de usuarios y que pueden mitigarse con la implantación de medidas de seguridad, como por ejemplo un sistema de seguridad perimetral informática.

Baja

Finalmente, las vulnerabilidades informáticas clasificadas como bajas son aquellas que apenas entrañan riesgos reales para los usuarios y que no suponen ninguna ventaja o punto de entrada aprovechable por el atacante.

Tipos de exploits

Al igual que existen diferentes tipos de vulnerabilidades informáticas que ponen en riesgo la seguridad de nuestros sistemas informáticos, también podemos distinguir entre dos tipos de exploits:

Conocidos

Los exploits conocidos son aquellos cuyas vulnerabilidades afectadas se conocen y han sido reportadas públicamente, lo que permite que podemos tomar las medidas de seguridad pertinentes para protegernos de ellos, en concreto, la actualización de software o hardware.

Desconocidos

Por su parte, los exploits desconocidos, también llamados 0-days, son aquellos de los que no se tiene constancia y atacan vulnerabilidades informáticas de las que aún no se ha informado. Esto hace que sean especialmente peligrosos, puesto que pueden introducir malware en sistemas sin ser detectados y haciendo imposible que podamos protegernos frente a ellos.

Exploit o vulnerabilidad informática

Algunos ejemplos de vulnerabilidades informáticas

A continuación vamos a ver algunos ejemplos de los tipos de vulnerabilidades informáticas que hemos citado más arriba.

Desbordamiento de buffer

Las vulnerabilidades de desbordamiento de buffer se producen cuando el software no es capaz de controlar la cantidad de datos que se copian en el buffer, haciendo que los datos sobrantes se almacenen en zonas de memoria adyacentes, sobrescribiendo así el contenido original. Esto puede aprovecharse por los atacantes para ejecutar código que les otorgue privilegios de administrador.

Inyección SQL

La inyección de SQL se produce cuando se aprovecha la vulnerabilidad para inyectar código SQL invasor en el código SQL programado. Esto se hace para alterar el funcionamiento normal del software y haciendo que se ejecute el código inyectado en la base de datos.

Denegación del servicio

La denegación de servicio provoca que los usuarios no puedan a acceder a un servicio o recurso, perdiendo habitualmente la conectividad de la red provocada por un consumo elevado del ancho de banda de la red de la víctima o por una sobrecarga de los recursos informáticos del sistema de la víctima.

Window spoofing

Window spoofing o ventanas engañosas son un tipo de ataque que aprovecha una vulnerabilidad informática para mostrarte ventanas emergentes con notificaciones del tipo «Tu equipo está infectado por el virus X» o «Eres el ganador de X concurso». En realidad estas ventanas falsas solo quieren que las sigamos para obtener información o datos, que el atacante empleará para llevar un ataque sobre nuestro sistema.

Race condition

Las vulnerabilidades de race condition o condición de carrera son aquellas que se producen cuando varios procesos acceden al mismo tiempo a un recurso compartido, como puede ser una variable; la vulnerabilidad permite cambiar su estado y obtener un valor no esperado de ella.

Format string bugs

La vulnerabilidad de format string bugs o error de formato de cadena es un error de programación que permite que se acepte la entrada sin validar de datos proporcionados por el usuario. Esto provoca que se ejecute de manera inmediata código arbitrario para la revelación de información.

Es bastante habitual en programación que usa lenguaje C/C++.

Cross Site Scripting (XSS)

Relacionadas directamente con los ataques de phishing, las vulnerabilidades de Cross Site Scripting se aprovechan para ejecutar scripts (como JavaScript) para conducir a las víctimas a una página web maliciosa, copia exacta de la página legítima que quería visitar.

Daños que provocan las vulnerabilidades informáticas

Llegados a este punto, es evidente que la existencia de vulnerabilidades informáticas tiene el potencial de provocar serios daños tanto a empresas y entidades públicas como a particulares, aunque sin duda, es a las primeras a las que más pérdidas puede causarle, especialmente cuando se producen brechas de seguridad que ponen en peligro la información y los datos confidenciales que maneja una empresa o una entidad pública, así como la continuidad de sus operaciones y servicios.

Así, cuando nos preguntamos a qué afecta una vulnerabilidad informática, la respuesta es que produce daños que pueden afectar a la confiabilidad, la confidencialidad, la integridad, la usabilidad y la incuestionabilidad de los sistemas. Estos son los valores sobre los que se apoyan los sistemas de información y las amenazas que explotan vulnerabilidades informáticas pueden afectar a uno o varios de estos valores, dañando o poniendo en riesgo no solo sus recursos, información y datos, sino la propia continuidad de su servicio.

Por ejemplo, Windows es un software con bastantes ejemplos de vulnerabilidades explotadas a lo largo de los años; algunas de ellas han permitido la distribución de virus y gusanos, que afectaron a cientos de miles de usuarios y provocaron pérdidas económicas a muchas empresas.

Otro ejemplo lo tenemos en la distribución de malware en un PDF. Una vulnerabilidad de día cero en algunas versiones del lector Adobe Reader permitía a los hackers ejecutar código arbitrario en los equipos de los usuarios afectados de forma remota.

Cómo prevenir las vulnerabilidades informáticas

Quizás estés pensando que una forma de prevenir las vulnerabilidades informáticas es detectarlas y te preguntes cómo encontrar estas vulnerabilidades en un sistema informático. La cuestión es que no depende de los usuarios encontrar las vulnerabilidades, sino de los propios desarrolladores y fabricantes y de compañías y profesionales que se dedican, precisamente, a esa labor.

Como usuarios, lo que sí podemos hacer es tomar medidas para reducir los riesgos que suponen las vulnerabilidades informáticas para nuestro sistema. Entre esas medidas, la más importante es mantener siempre actualizados a su última versión software y hardware, puesto que la forma de solucionar estas vulnerabilidades actualmente es mediante el lanzamiento de actualizaciones o parches para programas y sistemas.

También se debe implementar un sistema de seguridad que incluya un firewall y un antivirus, puesto que de esa forma, mientras la vulnerabilidad exista y no se arregle, habrá que prevenir los ciberataques que las aprovechen recurriendo a este tipo de soluciones.

Como siempre, la formación en ciberseguridad es altamente recomendable, tanto si somos usuarios particulares como para los empleados de una empresa. Conocer y estar informados sobre la existencia de estas vulnerabilidades conocidas, puede ayudar a evitar que seamos víctimas de algunas ciberamenazas.

Helena Ramírez

About author
Licenciada en Periodismo por la Universidad Complutense de Madrid. Redactora de contenidos informativos, jurídicos y empresariales, Internet, nuevas tecnologías, entorno digital, ciberseguridad y protección de datos.
Articles
Related posts
Ciberseguridad

¿Cómo funciona el sistema de seguridad Endpoint?

6 Mins read
Con cada vez más dispositivos conectados a la red de la empresa, algunos de los cuales conectándose en remoto, hablar de seguridad…
CiberseguridadEmpresa

Hacking ético: Concepto y marco legal

5 Mins read
Normalmente cuando se habla de hackers o piratas informáticos uno piensa de manera casi automática en cibercriminales cuyo objetivo es penetrar en…
Ciberseguridad

Cryptojacking ¿Cómo proteger nuestro PC de la minería de criptomonedas?

6 Mins read
El cryptojacking es una ciberamenaza en auge y un tipo de ataque del que la mayoría de los usuarios no son conscientes…

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Las siguientes reglas del RGPD deben leerse y aceptarse:
Este formulario recopila tu nombre, correo electrónico y e contenido para que podamos realizar un seguimiento de los comentarios dejados en la web. Para más información revisa nuestra política de privacidad, donde encontrarás más información sobre dónde, cómo y por qué almacenamos tus datos.