Una evaluación de vulnerabilidades analiza los sistemas en busca de debilidades conocidas. No es una prueba de penetración. Una prueba de penetración intenta explotar fallos. Una evaluación de vulnerabilidades los identifica y los enumera. El resultado es un informe con los hallazgos clasificados por gravedad. La organización decide qué corregir y cuándo. Las evaluaciones son más rápidas y económicas que las pruebas de penetración, por lo que se realizan con mayor frecuencia. Los análisis trimestrales son habituales. El análisis continuo se está convirtiendo en la norma.

Las herramientas varían. Los escáneres de red como Nessus y OpenVAS analizan los hosts en busca de puertos abiertos, software obsoleto y parches faltantes. Los escáneres de aplicaciones web como Burp Suite y OWASP ZAP rastrean los sitios en busca de vulnerabilidades de inyección, autenticación defectuosa y configuraciones incorrectas. Las herramientas de postura de seguridad en la nube verifican las configuraciones con respecto a parámetros de referencia. Cada herramienta tiene sus puntos débiles. Los escáneres producen falsos positivos y pasan por alto fallos lógicos que requieren análisis humano. Una evaluación de vulnerabilidades es un punto de partida. Indica dónde buscar, pero no revela qué haría realmente un atacante. Combinar la evaluación con pruebas de penetración proporciona una visión más completa. El escaneo encuentra las vulnerabilidades; la prueba de penetración demuestra cuáles son las más importantes.

Pasos para la evaluación de la vulnerabilidad

• Definir el alcance y los activos de inventario
• Ejecutar escaneos automatizados
• Validar los resultados y eliminar los falsos positivos.
• Priorizar según la gravedad y el contexto.
• Corrija y vuelva a escanear para confirmar

Un análisis que se ejecuta pero no genera correcciones es un mero trámite de cumplimiento. El valor reside en la remediación.