Download Vulnerabilidades por sistema operativo para PC

INFORME DE
VULNERABILIDADES
PRIMER SEMESTRE 2011
Primer Semestre 2011
El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable Document Format).
Se trata de un documento estructurado y etiquetado, provisto de alternativas a todo elemento no textual, marcado de
idioma y orden de lectura adecuado.
Para ampliar información sobre la construcción de documentos PDF accesibles puede consultar la guía disponible en la
sección Accesibilidad > Formación > Manuales y Guías de la página http://www.inteco.es.
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
2
La presente publicación pertenece al Instituto Nacional de Tecnología de la Comunicación (INTECO) y esta bajo
licencia Reconocimiento-No comercial 3.0 España de Creative Commons, y por ello estar permitido copiar, distribuir
y comunicar públicamente esta obra bajo las condiciones siguientes:
Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros, citando su
procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web: www.inteco.es. Dicho
reconocimiento no podrá en ningún caso sugerir que INTECO presta apoyo a dicho tercero o apoya el uso que hace
de su obra.
Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y exhibidos
mientras su uso no tenga fines comerciales.
Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de estas
condiciones puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada en
esta licencia menoscaba o restringe los derechos morales de INTECO.
http://creativecommons.org/licenses/by-nc-sa/3.0/es/
El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable Document Format).
Así, se trata de un documento estructurado y etiquetado, provisto de alternativas a todo elemento no textual,
marcado de idioma y orden de lectura adecuado.
Para ampliar información sobre la construcción de documentos PDF accesibles puede consultar la guía disponible
en la sección Accesibilidad > Formación > Manuales y Guías de la página
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
http://www.inteco.es
3
Contenido
ÍNDICE DE FIGURAS
5
1.
INTRODUCCIÓN
6
2.
VULNERABILIDADES
7
2.1.
Nivel de severidad de las vulnerabilidades
7
2.2.
Productos más afectados
8
2.3.
Fabricantes más afectados
9
2.4.
Vulnerabilidades más comunes según su tipo
9
2.4.1.
3.
Vulnerabilidad Error de búfer
10
2.5.
Vulnerabilidades según el sistema operativo para pc
11
2.1.
Vulnerabilidades por navegadores
13
BUENAS PRÁCTICAS
14
3.1.
Copias de seguridad de datos
14
3.1.1.
¿De qué se puede hacer la copia?
14
3.1.2.
Datos creados por el usuario, cuales son y donde están
15
3.1.3.
Otros datos «personales» a tener en cuenta
15
3.1.4.
¿Cómo crear copias de seguridad?
16
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
4
ÍNDICE DE FIGURAS
Figura 1: Vulnerabilidades por nivel de riesgo.
7
Figura 2: Productos más afectados por las últimas vulnerabilidades.
8
Figura 3: Fabricantes más afectados por las últimas vulnerabilidades.
9
Figura 4: Vulnerabilidades más comunes por tipo.
10
Figura 5: Vulnerabilidades por sistema operativo para PC
12
Figura 6: Vulnerabilidades por navegador
13
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
5
1.
INTRODUCCIÓN
Fruto del acuerdo de colaboración que INTECO tiene con el NIST (National Institute of
Standards and Technology) el Instituto Nacional de Tecnologías de la Comunicación cuenta
con un completo repositorio que ronda las 47.500 vulnerabilidades traducidas al castellano
cuyo fin es informar y advertir a los usuarios sobre los fallos de seguridad existentes en los
sistemas operativos, hardware y otro tipo de aplicaciones. Los datos originales procesados
en INTECO-CERT se obtienen de su buscador de vulnerabilidades, que es la traducción al
español de las vulnerabilidades que se publican en el NIST.
El presente «Informe de vulnerabilidades primer semestre 2011», emitido por el Centro de
Respuesta a Incidentes de Seguridad de INTECO, INTECO-CERT, pretende mostrar un
resumen sobre las vulnerabilidades reportadas en el primer semestre de 2011, expresado
en gráficas para ofrecer una visión global de la actividad generada durante los seis primeros
meses del año.
También es objetivo de este informe concienciar sobre la importancia de las actualizaciones
de seguridad en los sistemas para minimizar los riesgos provocados por las vulnerabilidades
como, por ejemplo, los vectores de ataque del software malicioso que existe en la
actualidad.
Este informe refleja también uno de los pilares de INTECO-CERT: el fomento de la cultura
de Seguridad. Ésta ha de llevarse a cabo siguiendo unas instrucciones básicas y teniendo,
el usuario, usa serie de hábitos para que, de forma natural, los utilice y mejore su
experiencia en Internet.
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
6
2.
VULNERABILIDADES
2.1.
NIVEL DE SEVERIDAD DE LAS VULNERABILIDADES
La siguiente gráfica muestra el número de vulnerabilidades documentadas en
http://cert.inteco.es a lo largo del primer semestre de 2011, que ascendió a 2.037. Asimismo,
expone su nivel de severidad.
Figura 1: Vulnerabilidades por nivel de riesgo.
Según el gráfico anterior es posible observar que, durante todo el periodo analizado, las
vulnerabilidades más frecuentes son las correspondientes al nivel de gravedad alta y media.
Esto significa que ha sido un periodo de riesgo ya que estas vulnerabilidades podrían causar
problemas en caso de que fueran explotadas. También se podría deducir que las
vulnerabilidades que más se reportan son las que corresponden a estos niveles.
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
7
2.2.
PRODUCTOS MÁS AFECTADOS
La siguiente figura muestra los productos más afectados por las vulnerabilidades del primer
semestre de 2011. Solamente se incluyen aquellos productos afectados por el mayor
número de nuevas vulnerabilidades.
Figura 2: Productos más afectados por las últimas vulnerabilidades.
Google Chrome aparece en el primer puesto seguido de Webkit de Apple, que es la
estructura base (framework) que usan otros navegadores, entre ellos Chrome y algunos
navegadores para móviles.
Al igual que ocurrió en el anterior semestre, los navegadores ocupan esta vez también los
primeros puestos. Este hecho, unido a que la mayor parte son multiplataforma, hace que
sean un objetivo de primera para los ciberdelincuentes.
Por este motivo, INTECO-CERT insiste en cada informe en la importancia de realizar las
actualizaciones de seguridad y más concretamente en este caso, en la necesidad de tener
actualizado el navegador, como el primer escudo de defensa ante las vulnerabilidades.
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
8
2.3.
FABRICANTES MÁS AFECTADOS
La siguiente figura muestra los diez fabricantes más afectados por las vulnerabilidades
detectadas durante el trimestre.
Figura 3: Fabricantes más afectados por las últimas vulnerabilidades.
Al igual que el informe del semestre anterior, dentro de los fabricantes más afectados por las
vulnerabilidades aparece Microsoft en el primer puesto. Esto da pie para señalar que los
desarrolladores que más productos tienen en el mercado son los que más vulnerabilidades
van a publicar habitualmente. Las compañías que tienen múltiples productos en el mercado
son: Microsoft, Cisco, Apple y Adobe.
Durante el primer semestre de 2011 CISCO ocupa la segunda posición. Debido a que esta
empresa se centra en conectividad de redes a nivel muy técnico, y a que sus máquinas
tienen su propio sistema operativo, estos dispositivos (bridges, switchs, routers…) suelen
presentar vulnerabilidades. Pese a que pueda parecer que estas vulnerabilidades no afectan
al gran público, sino solo a grandes empresas, lo cierto es que cualquier comunicación de
datos pasará por alguna máquina de CISCO en algún momento.
2.4.
VULNERABILIDADES MÁS COMUNES SEGÚN SU TIPO
El siguiente gráfico muestra los tipos de vulnerabilidades más comunes registradas durante
los primeros seis meses de 2011 y la proporción que cada uno de ellos representa sobre el
total de vulnerabilidades registradas.
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
9
Figura 4: Vulnerabilidades más comunes por tipo.
En el gráfico de arriba aparece como más común el grupo «Otros». Esto se debe a que el
proceso de alta de vulnerabilidades consiste en varios pasos: reporte de las mismas,
comprobación de que efectivamente son ciertas, comprobación de qué productos se ven
afectados, a qué son debidas, etc. Este proceso puede durar algo de tiempo, y en algunos
casos es muy complicado determinar el tipo de vulnerabilidad debido a que puede deberse a
varios factores, o a otros no contemplados en la clasificación actual.
2.4.1.
Vulnerabilidad error de búfer
En este periodo, aparecen en primer lugar (por número) las vulnerabilidades referidas a
errores de bufer (CWE-119).
Un bufer es una zona de memoria que se emplea como depósito de datos parcial para unir
dos dispositivos con distintas velocidades de trabajo, con el objeto de mejorar el rendimiento
de los distintos dispositivos que lo usan. Se pretende que un dispositivo rápido, no tenga
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
10
que esperar por uno lento, o bien un dispositivo no se quede sin datos de entrada que
procesar.
Hay dos tipos genéricos de errores de bufer:
-
Desbordamiento de bufer (bufer overflow/overrun) es la situación que se produce
cuando un proceso escribe o lee datos fuera de la zona de bufer destinada a tal
efecto.
-
Subdesbordamiento de bufer (bufer underflow/underrun). Es la situación que se
produce cuando la velocidad de entrada de los datos al bufer es inferior a la
velocidad de procesamiento de la misma, con lo cual el bufer se vacía y se procesan
datos nulos.
El tipo de error de bufer más frecuente en vulnerabilidades es el desbordamiento. No
obstante, en ambos casos cuando se trata de explotar este tipo de vulnerabilidades se
intenta que el programa no funcione de forma adecuada, pudiendo provocar accesos a
información de memoria (fuga de información), modificación de la secuencia de ejecución de
un proceso, modificación de datos en tiempo de ejecución, caída de la aplicación incluso
ejecución de comandos, etc.
La forma de prevenir este tipo de problemas es aprovechar una característica de los
procesadores modernos de marcar zonas de memoria como protegidas. De esta forma,
cuando se produzca un intento de acceso a una zona protegida, se debe generar una
excepción del sistema que, controlada de forma adecuada, podría solucionar, o al menos
controlar, esta situación.
Para proteger las zonas de memoria, el programador ha de indicar al sistema operativo las
zonas en cuestión en cada programa que se utilizará. Esto supone, además de una carga
extra de trabajo para los desarrolladores, un problema de código heredado.
2.5.
VULNERABILIDADES SEGÚN EL SISTEMA OPERATIVO PARA
PC
El siguiente gráfico muestra los datos correspondientes a los sistemas operativos
monitorizados debido al número de equipos que los utilizan.
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
11
Figura 5: Vulnerabilidades por sistema operativo para PC
El ranking de vulnerabilidades por sistema operativo durante el periodo analizado está
encabezado por Windows y finalizado por Mac OS X. Este indicador se utiliza para analizar
la evolución a lo largo del tiempo ya que, de forma aislada, no se puede usar para afirmar
que un sistema operativo es más seguro que otro sin tener en cuenta la importancia de las
vulnerabilidades, el tiempo de resolución y el grado de explotación de las mismas. Estos
datos son complicados de cruzar.
En este semestre se intercambian las dos primeras posiciones respecto al semestre
anterior, manteniéndose Mac en tercer puesto en ambos casos. En principio sacar
conclusiones con una serie de dos valores no es adecuado, pero se puede extraer que el
número de vulnerabilidades que afectan a los sistemas es más bajo que en el semestre
anterior.
También hay que señalar que el número de vulnerabilidades en los sistemas operativos no
es alto comparando con el total, lo que indica que se reportan más vulnerabilidades de
aplicaciones que de sistemas operativos. Esta afirmación es refrendada por un informe de
Kaspersky que indica que las 12 vulnerabilidades más comunes encontradas en equipos de
usuarios son relativas a productos de Adobe (Reader y Flash) y de Sun (Java).
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
12
2.1.
VULNERABILIDADES POR NAVEGADORES
El siguiente gráfico muestra los datos correspondientes a las vulnerabilidades reportadas
para cada navegador monitorizado.
Figura 6: Vulnerabilidades por navegador
En esta ocasión, destaca respecto del resto Google Chrome, seguido de Mozilla Firefox (la
tercera parte de vulnerabilidades que Chrome). Respecto al semestre anterior, se mantiene
el orden, Google Chrome es el navegador del que más vulnerabilidades se han reportado.
INTECO-CERT continuará la monitorización para poder comprobar la tendencia en este tipo
de software a lo largo del tiempo. De momento, Chrome encabeza el número de
vulnerabilidades reportadas en los dos semestres analizados. El resto de navegadores
mantienen sus posiciones y el número aproximado de vulnerabilidades.
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
13
3.
BUENAS PRÁCTICAS
Con este informe de vulnerabilidades INTECO-CERT no sólo pretende informar sobre
cuántas se han reportado y mostrar algunas clasificaciones sino que también se pretende
concienciar sobre las medidas a utilizar para mejorar la seguridad de los sistemas.
Dentro de las consignas de seguridad de INTECO-CERT se tienen como base de trabajo los
siguientes tres conceptos:
-
actualizar
-
proteger
-
prevenir
3.1.
COPIAS DE SEGURIDAD DE DATOS
Dentro de la sección de «Buenas prácticas» de este informe se ofrece una serie de consejos
sobre la protección de datos del sistema, en concreto en este informe se van a tratar las
copias de seguridad en los sistemas Windows.
El primer paso para proteger la información consiste en realizar copias de seguridad
periódicas.
3.1.1.
¿De qué se puede hacer la copia?
La copia de seguridad más importante es la que contiene los ficheros creados en el sistema.
Estos ficheros son los documentos de texto, hojas de cálculo, programas de contabilidad,
fotos realizadas por el usuario. Esto es, los ficheros que no se pueden volver a obtener.
También hay otros datos que se almacenan en el equipo y de los que es necesario hacer
copias de seguridad.e Esto da pié a diversos grupos de información para hacer las copias
de seguridad, que son los siguientes:
-
datos creados por el usuario (ficheros creados por el usuario: documentos,
fotos…)
-
configuración del usuario del ordenador
-
sistema completo (sistema operativo, aplicaciones, configuración y datos de
usuarios)
Este informe, ahonda en las copias de seguridad de los ficheros personales del usuario
(creados por el).
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
14
3.1.2.
Datos creados por el usuario, cuáles son y dónde están
Dentro de este grupo se engloban los ficheros de datos que se generan con las aplicaciones
que estén instaladas en el sistema y que almacenen los datos en un disco local. En función
de qué tipo de software se utilice, se generarán distintos tipos de ficheros. Por ejemplo, en
una oficina normalmente hay ficheros creados con procesadores de texto, hojas de cálculo,
facturas, correos electrónicos, etc. Asimismo, en el estudio de un editor de vídeo habrá
ficheros de audio, vídeo, efectos, etc. Cada usuario ha de ser consciente de qué datos
genera y, sobre todo, dónde los almacena.
En los sistemas operativos Windows se crea una carpeta donde se almacenan los
documentos del usuario por defecto. Esa carpeta se llama «Mis documentos» en Windows
XP y está en la siguiente ruta: C:\Document and Settings\%usuario%\Mis documentos por
defecto. en Windows Vista y Windows 7 se llama «Documentos» y está en la siguiente ruta:
C:\Users\%Usuario%\Documents (suponiendo en todos los casos que el sistema operativo
está instalado en C:). Dentro de esta carpeta están otras para imágenes, videos, música,
descargas etc.
En sistemas Linux la carpeta de usuario suele estar en la ruta «/home/%Usuario%. Dentro
de ella existen carpetas para imágenes, aplicaciones, etc.
En los sistemas Mac los ficheros de los usuarios están situados en /users/%usuario%
La copia de seguridad más elemental debe incluir todos los ficheros personales de todos los
usuarios del equipo. Sin embargo, de los archivos de música y vídeo, que ocupan mucho
espacio, no es necesario hacer las copias de seguridad, si el usuario tiene los originales y
puede recuperarlos.
3.1.3.
Otros datos «personales» a tener en cuenta
Aparte de los ficheros que se almacenan en las carpetas que se indican en el apartado
anterior, hay otra serie de ficheros que es necesario incluir en una copia de seguridad ya
que, aunque su pérdida no es causa grandes daños sí podría representar una quebranto
importante. Dentro de este otro tipo de datos están los siguientes:
-
Correos electrónicos. Si el usuario tiene un cliente de correo y descarga todos los
mensajes sin guardar copia en el servidor, solo le quedaría la copia del correo en
su ordenador. Si por algún fallo pierde el correo, esto sería irreversible, por lo
cual es necesario hacer esas copias. También es buena idea hacer una copia de
seguridad de los correos de servidores web (Hotmail, Google, Yahoo…)
-
Datos del navegador. Hoy en día es una de las herramientas de trabajo más
usadas y, entre otros datos, almacena el historial, favoritos, etc. Por ello, es
necesario incluirlo en la copia de seguridad de forma que, en caso de pérdida, se
pueda restaurar de forma sencilla.
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
15
-
Certificados digitales. Cada vez son más utilizados y, en muchos casos, no se
tiene en cuenta la posibilidad de que se deterioren los que ya están instalados, de
forma que tenerlos en la copia de seguridad es importante.
-
Documentos del escritorio. En todos los sistemas operativos con interfaz gráfico
(prácticamente todos), hay muchos usuarios que trabajan con carpetas en el
escritorio por comodidad. Es importante saber que esta carpeta es distinta a la de
documentos personales (en algunos casos la carpeta del escritorio está dentro de
la carpeta personal). En caso de que esta carpeta no esté en el escritorio hay que
incluirla en la copia.
-
Bases de datos. Hay aplicaciones que utilizan bases de datos (contabilidad,
facturación, servidores web…) que almacenan la información en carpetas
distintas a la personal, normalmente dentro de la carpeta de instalación de la
aplicación.
3.1.4.
¿Cómo crear copias de seguridad?
Todos los sistemas operativos disponen de aplicaciones propias de copia de seguridad de
forma eficiente, así que no es necesario instalar otras aplicaciones. No obstante, es cierto
que hay aplicaciones que tienen prestaciones superiores a las del sistema o bien son más
precisas u orientadas a tareas muy concretas de forma que complementan la incluida en el
sistema.
Dentro de portal de la Oficina de Seguridad del Internauta de INTECo, en la sección
«Protégete», está el apartado «Protege tu ordenador» y dentro está el contenido «Copias de
seguridad» en la cual se explica cómo hacer copias de seguridad en Windows, Ubuntu y
Mac.
En el portal del CERT de INTECO, en la sección «Protección», se encuentra la sección
«Útiles Gratuitos», en la que hay una serie de herramientas gratuitas para realizar copias de
seguridad tanto de datos, de configuraciones y del sistema completo.
Informe_Vulnerabilidades_2011_1semestre_V_1.0.doc
16