Una vulnerabilidad de día cero es aquella que los atacantes explotan antes de que el proveedor la conozca o antes de que exista un parche. Su nombre proviene del número de días que el proveedor ha tenido para solucionarla: cero. Los defensores no tienen firma, ni parche, ni aviso. El atacante tiene la ventaja hasta que se descubre y se corrige la vulnerabilidad. Las vulnerabilidades de día cero son valiosas. Gobiernos y grupos criminales pagan millones por ellas. El mercado de intermediación de exploits es real y lucrativo.

Las vulnerabilidades de día cero son raras en comparación con las vulnerabilidades conocidas. La mayoría de las brechas de seguridad utilizan fallos que fueron parcheados hace meses o años. El parche estaba disponible, pero nadie lo aplicó. Por eso, aplicar parches es más importante que defenderse de las vulnerabilidades de día cero. Cuando aparece una vulnerabilidad de día cero, la respuesta es urgente. Los proveedores trabajan sin descanso para solucionarla. Los responsables de la seguridad aplican medidas de mitigación, refuerzan la monitorización y buscan indicadores de compromiso. Algunas vulnerabilidades de día cero se explotan en ataques dirigidos contra víctimas específicas. Otras se utilizan en campañas a gran escala. Stuxnet utilizó múltiples vulnerabilidades de día cero para sabotear el programa nuclear de Irán. Se trató de una operación estatal con años de desarrollo. La mayoría de las vulnerabilidades de día cero son menos dramáticas. Se utilizan de forma silenciosa contra objetivos que nunca se enteran de que han sido atacados. La mejor defensa es integral: aplicación de parches, segmentación, monitorización y respuesta a incidentes. Ningún control por sí solo detiene una vulnerabilidad de día cero. En conjunto, estas medidas dan tiempo hasta que llega un parche.

Datos sobre el día cero

• No existe ningún parche en el momento de la explotación.
• Muy valioso en los mercados de explotación
• Raro en comparación con las vulnerabilidades explotadas conocidas.
• Utilizado tanto en ataques dirigidos como en ataques generalizados.
• Las medidas de mitigación y el monitoreo son la defensa provisional.

Una vulnerabilidad de día cero es una carrera. El proveedor se apresura a parchearla. El atacante se apresura a explotarla. El defensor se apresura a detectarla.