Leer un aviso público de vulnerabilidades industriales

Los avisos de las agencias públicas para sistemas de control industrial, como los que publica CISA, llevan un identificador de la forma ICSA-AA-DDD-NN: el año, el día del año de la publicación y un número de orden. Dentro, lo que importa para tu planta son las versiones afectadas del producto, la versión corregida, lo que necesita quien intente aprovechar el fallo y la mitigación que da el fabricante mientras no se pueda actualizar. Los fabricantes industriales publican además sus propios avisos con su propia numeración.

La puntuación CVSS es un dato más, y no el primero. Dos avisos con el mismo CVSS pueden pedir decisiones opuestas si uno exige acceso de red al equipo y el otro exige una sesión de operador ya abierta.

Un aviso suele traer una versión corregida: la primera en la que el fabricante declara resuelto el fallo. Es la que se busca cuando se planifica el parche. Fíjate en que es la primera, no cualquiera posterior: las siguientes la incluyen, pero esa es la que el aviso respalda con su análisis.

Abre el extracto de avisos y lee la fila del producto AC-300.

Cada aviso describe, en alguna forma, lo que hace falta para aprovechar el fallo: acceso de red a un puerto, una sesión ya abierta, presencia física, credenciales. Ese dato es el que conecta el aviso con tu arquitectura. Si lo que se necesita es acceso de red a un servicio de gestión, entonces la pregunta de seguridad es quién llega hoy a ese servicio, y la respuesta puede reducirse sin tocar el equipo.

Lee el requisito del aviso del controlador AC-300 y anota el puerto que menciona.

Algunos avisos indican si hay constancia de que el fallo ya se está usando. Es un dato de mucho peso: un fallo con explotación reportada es un riesgo que ya ocurrió en otro sitio. La ausencia del dato es otra cosa: «no reportada» significa que la fuente no tiene constancia, no que nadie lo haga. Y una puntuación baja con explotación reportada puede pasar por delante de una puntuación alta sin ella.

En el extracto, el aviso de la pantalla tiene la puntuación más baja de la lista y es el único con explotación.

No todos los avisos traen versión corregida. Cuando el producto está en fin de soporte, el fabricante publica el aviso con la mitigación y sin parche. Es el aviso que más rápido se debe llevar a la mesa de decisiones: no hay arreglo que esperar y todo lo que se haga con ese equipo será compensar.