La seguridad tiene que ver con determinar los riesgos o la exposición comprendiendo la probabilidad de ataques y con diseñar defensas en torno a estos riesgos para minimizar el impacto de un ataque.

La evaluación de riesgos de seguridad comienza con el modelado de amenazas.

1. Identificar posibles amenazas al sistema y asignarles prioridades que corresponden a gravedad y probabilidad. Se puede hacer buscando vulnerabilidades mediante un análisis de vulnerabilidades con regularidad.

Existen herramientas para estas acciones como Nessus https://www.tenable.com/products/nessus-vulnerability-scanner

OpenVas http://www.openvas.org/

 y Qualys https://www.qualys.com/forms/freescan/

¿Qué hacen los escáneres de vulnerabilidades?

Son servicios que se ejecutan y que realizan exploraciones periódicas de las redes configuradas.

Después el servicio realiza escaneos para encontrar y detectar hosts en la red, los cuáles usualmente se encuentran a través de un barrido de ping o un escaneo de puertos. Una vez que se hayan encontrado los hosts, se realizan escaneos más detallados sobre los escaneos de host detectados.

 Se puede efectuar un escaneo de puertos comunes o de todos los puertos válidos posibles contra hosts detectados para determinar qué servicios están escuchando. 

Luego, se indaga en estos servicios para tratar de descubrir más información sobre el tipo de servicio y qué versión está escuchando en el puerto correspondiente. 

Dicha información puede luego verificarse contra las bases de datos de vulnerabilidades conocidas.

Si se descubre una versión vulnerable de un servicio, el escáner lo agrega a su informe.

Una vez terminado el escaneo, las vulnerabilidades y los host detectados se compilan en un informe.

Es así que se pueda ver fácilmente dónde están las áreas porblemáticas en la red. 

La gravedad se da por una serie de cosas, como la probabilidad de que la vulnerabilidad sea explotada.

De igual manera considera el tipo de acceso que la vulnerabilidad le daría a un atacante y si también se puede realizar la explotación de forma remota o no.

Tanto el informe como las vulnerabilidades tendrán vínculos para revisar su información detallada acerca de la vulnerabilidad. 

Estos escáneres detectarán muchas cosas, desde una mal configuración en un servicio que puede dar pie a una puerta trasera.

Sin embargo, se debe tener en cuenta que solo se puede detectar y divulgar vulnerabilidades y configuraciones poco seguras que sean conocidas, por eso es importante tener la base de datos actualizada.

2. Realizar pruebas de penetración. Son pruebas que verán la resistencia de las defensas implementadas. Claro que se buscará irrumpir en una red o sistema. Dicho de otra manera, es para comprobar que tus defensas estén defendiendo lo que deberían defender (o al menos, lo que piensas).

Los informes nos darán a conocer cuáles son los puntos débiles, logrando así que podamos mejorar nuestras defensas o planear un mejor proyecto de seguridad.

Estas pruebas las puede realizar el equipo de seguridad interna, pero si el equipo no tiene los recursos, puedes contratar a una empresa externa.