Teniendo claro que es esta norma, vamos a ver en que afecta a los escaneos autenticados. Algo a recalcar es que esta guía de normas tiene distintas versiones, que van siendo actualizadas con el paso del tiempo para comprometerse con unos estándares de seguridad que van avanzando con el tiempo.
Ya en versiones anteriores existía el requisito 11.3.1 de la norma PCI que obliga a realizar un escaneo interno de vulnerabilidades al menos cada tres meses. Este análisis debe cubrir todos los sistemas en alcance, y obliga a resolver las vulnerabilidades clasificadas como críticas o de alto riesgo y ejecutar escaneos de verificación hasta confirmar estas vulnerabilidades como corregidas. La norma también pide que quien ejecute el escaneo sea personal cualificado e independiente de los sistemas evaluados.
En la norma el sub-requisito 11.3.1.2 que introduce la modalidad autenticada, sus requisitos principales son los siguientes:
▪️Los sistemas que no pueden aceptar credenciales para el escaneo autenticado deben ser documentados.
▪️Se deben usar suficientes privilegios para aquellos sistemas que aceptan credenciales para el escaneo.
Después de cualquier cambio significativo, el requisito 11.3.1.3 exige repetir el escaneo interno para demostrar que el cambio no introdujo nuevos riesgos.
Para completar el panorama, el requisito 11.3.2 mantiene la obligación de escaneos externos trimestrales ejecutados por un Approved Scanning Vendor (ASV), con el fin de vigilar la superficie pública de la organización.
Hasta ahora se ha nombrado varias veces el concepto de escaneo, pero ¿a qué nos referimos exactamente?
Un escaneo de vulnerabilidades es un proceso automatizado mediante el cual una herramienta especializada, como Nessus o Qualys analizan sistemas, dispositivos y aplicaciones para identificar debilidades de seguridad. Durante el escaneo, la herramienta recopila información de los equipos (puertos abiertos, servicios activos, configuraciones, versiones de software) y la compara con una base de datos de vulnerabilidades conocidas.
Este proceso detecta parches desactualizados, configuraciones incorrectas o software obsoleto que podría ser explotado por un atacante. Estos escaneos dan una visión general de la configuración y estado de un equipo, así como sus posibles vulnerabilidades.
Con esta información el equipo auditor generará un informe para presentar cuáles son las vulnerabilidades detectadas, así como su solución.
Un escaneo no autenticado, es una tarea que se realiza a alto nivel que analiza la red como lo haría un intruso: enumera puertos, extrae banners de servicios y detecta fallos básicos de exposición. Es más rápido, porque requiere menos preparación y no es exhaustivo.
En cambio, un escaneo autenticado abre el “capó” del sistema: inspecciona archivos, compara versiones y parches, analiza configuraciones de seguridad, verifica algoritmos de cifrado y permisos. Es más exhaustivo y fiable, aunque también más lento. Sin embargo, requiere un usuario con los suficientes privilegios en cada uno de los hosts, para descubrir las vulnerabilidades a las que no llegaría un escaneo no autenticado.
Un escaneo autenticado es un análisis de vulnerabilidades que se ejecuta desde la propia red corporativa (ya sea de forma física o mediante una VPN) utilizando credenciales válidas en los sistemas analizados. Estas credenciales permiten al escáner consultar directamente el sistema operativo, el registro, los servicios en ejecución y las bibliotecas instaladas.
La norma PCI DSS recalca que este enfoque ofrece una visión mucho más profunda y realista del estado de seguridad de los activos, ya que revela vulnerabilidades que podrían ser explotadas por un atacante con acceso inicial a la red.
Requerimientos para un escaneo autenticado:
Ahora bien, un escaneo autenticado tiene una serie de requerimientos que en un escaneo “normal” no son necesarios. A la hora de autenticar, no solo son necesarias unas credenciales válidas, sino una cuenta con los suficientes privilegios y visibilidad para ver todo lo que contiene el equipo analizado.
Los escaneos autenticados se pueden afrontar de dos formas distintas presencial o en remoto.
Si el escaneo se hace a través de una VPN o de una forma de conexión similar a los servidores que se tienen que escanear esto implica una mayor carga para la red VPN y una menor velocidad a la hora de escanear.
Por otra parte, si el escaneo es presencial, se deberá dar acceso a los auditores al lugar dónde se encuentren los servidores o dónde se tengan visibilidad de ellos para analizar este entorno, esto dará una velocidad de escaneo mayor debido a el mayor ancho de banda que tiene este tipo de conexión a los servidores.
A continuación, enumeraremos una serie de pasos para preparar un escaneo autenticado:
Como se ha hablado anteriormente en el artículo los escaneos autenticados ofrecen un análisis más profundo y preciso del entorno, pero también implican desafíos técnicos y operativos que deben gestionarse adecuadamente. A continuación, se muestran algunos de los principales problemas que suelen presentarse y sus posibles soluciones.
▪️Adoptar el escaneo interno autenticado reduce el riesgo de ceguera frente a vulnerabilidades arraigadas que de otra manera no hubiesen sido descubiertas.
▪️Durante la realización del primer escaneo autenticados es posible que aparezcan vulnerabilidades nuevas, PCI tiene razón existen muchos componentes desactualizados y con vulnerabilidades que con un escaneo normal nunca se llegarían a ver. Por suerte la mayoría de las vulnerabilidades que se encuentran en estos casos son versiones desactualizadas, por lo que el proceso de corrección es en mayoría de los casos más simple.
▪️Una práctica clave es mantener al día las actualizaciones del software y el hardware que se utiliza, los escaneos trimestrales comprueban que todo está en orden y ayudan a resolver los posibles problemas consiguiendo una infraestructura más segura y con ello la certificación PCI DSS.
| Autores: | |
| Héctor Berrocal Analista de Seguridad CEH, MCP, CCNA, eJPT, Ewptxv2, ITIL |
Carlos Mayor Analista de Seguridad |