Por Xavier
Caballé xavi@hispasec.com Un análisis de las vulnerabilidades de seguridad publicadas y los ataques registrado durante el año 2002 revela cuales son los sistemas operativos con más vulnerabilidades y que reciben más ataques. La empresa británica mi2g ha recogido las diferentes alertas de seguridad publicadas hasta finales de octubre del presente año y ha analizado el impacto de las mismas en los diversos sistemas operativos. Este trabajo se reúne dentro de la base de datos SIPS (Security Intelligence Products and Systems) donde, actualmente, hay datos de más de 101.000 ataques informáticos y 6.100 grupos de hackers. Analizando los incidentes en función de los diversos sistemas operativos se descubre que las diferentes versiones de Windows están afectadas por un 44% de las vulnerabilidades, seguido de Linux (19%), las diferentes variantes de BSD (9%) y Solaris 7%. En comparación, únicamente un 0,5% de las vulnerabilidades anunciadas durante los diez primeros meses del presente año afectan a SCO Unix y un 1,9% de las mismas afectaban a Mac OS y a Tru64 de Compaq. Esta empresa también ha analizado un total de 57.977 ataques contra sistemas informáticos realizados durante el mismo periodo de tiempo. Así el sistema operativo más atacado han sido las diferentes versiones de Windows, con 31.431 ataques (54% del total), seguido nuevamente por Linux con 17.218 ataques (30%), BSD (6%) y Solaris (5%). Los otros sistemas operativos tienen un volumen de incidentes registrado casi despreciable: sólo 31 ataques registrados contra sistemas ejecutando Mac OS (un 0,05%). Los otros sistemas operativos situados en la parte inferior de esta escala son SCO Unix con 165 ataques (0,2%) y Tru64 de Compaq con 10 ataques (0,02%). Otros sistemas operativos se ven beneficiados de lo que se conoce como "security by obscurity" y que podría traducirse como "seguridad gracias al desconocimiento". Entre estos sistemas tenemos a IRIX de SGI que si bien está afectado por un 6% de las vulnerabilidades sólo ha registrados dos ataques. Otro caso es AIX de IBM, afectado por un 4% de las vulnerabilidades y que únicamente ha sido atacado en 199 incidentes. Tanto número me marea... ¿Qué significa esto? Básicamente nada. Este informe debe considerarse, básicamente, como una curiosidad. En los incidentes de seguridad posiblemente más importante que su número es el efecto que éstos tienen. Un sistema puede recibir muchos ataques, pero con un impacto reducido o nulo... mientras que otro puede recibir únicamente un ataque con efectos desastrosos. Leyendo la nota de prensa uno puede llegar a la falsa conclusión que los ordenadores con sistema operativo Mac son inmunes a los incidentes de seguridad informática. Esto debe puntualizarse mucho y una consideración de este tipo es demasiado categórica como para realizarla tan banalmente. Como ya hemos informado en diversos boletines, las vulnerabilidades también existen en el Mac OS (incluida la versión X) y algunas de ellas son relativamente importantes. Por otra parte el bajo número de incidentes registrados es debido, en gran parte, al reducido número de máquinas con Mac OS X que actúan como servidor, si lo comparamos con el resto de entornos. Recordemos que Apple presentó sus primeros servidores con Mac OS X a principios de julio. ¿Y la seguridad por desconocimiento? Este es otro tipo de protección que, por si sólo, se revela totalmente insuficiente. El simple hecho de que no anunciemos la existencia de un sistema no significa que éste no sea descubierto... y a las pruebas reveladas por el proyecto Honyenet me remito. No hay por que publicitar datos innecesarios sobre las máquinas existentes, pero nunca debe considerarse esta ausencia de información como *LA* medida de protección. Más información Apple Mac OS and SCO Unix least vulnerable to attack Una-al-día (13-07-02): Vulnerabilidad en SoftwareUpdate de Mac OS X Una-al-día (10-11-01): Importante problema con iTunes 2 para el Mac OS X de Apple Una-al-día (29-09-01): Consideraciones de seguridad sobre Apache y Mac OS X Una-al-día (17-07-01): Apple abre la caja de Pandora de la seguridad en Macintosh Una-al-día (06-05-01): Mac OS X, la pérdida de la inocencia Una-al-día (21-07-01): Honeynet, una dulce trampa
|
