Los dispositivos virtuales pueden ser muy útiles para las organizaciones, ya que eliminan la necesidad de hardware dedicado, a menudo son económicos o gratuitos, son fáciles de configurar y mantener y se pueden implementar fácilmente en plataformas en la nube. Sin embargo, pueden representar un riesgo grave para las organizaciones, según un informe publicado por la empresa Orca Security [PDF].
Orca comprobó los dispositivos virtuales en busca de vulnerabilidades y sistemas operativos obsoletos. La compañía escaneó un total de más de 2.200 dispositivos virtuales de 540 proveedores en abril y mayo e identificó más de 400.000 vulnerabilidades.
Los dispositivos virtuales se obtuvieron de los mercados asociados con plataformas en la nube como AWS, VMware, Google Cloud Platform y Microsoft Azure, pero Orca dice que estos dispositivos virtuales son en muchos casos los mismos que los proporcionados directamente por los proveedores.
El análisis de Orca, que implicó otorgar a cada dispositivo una puntuación de riesgo de seguridad entre 0 y 100, encontró que sólo el 8% los dispositivos no tenían problemas. Estos proveedores, que obtuvieron una calificación A+, incluyen Trend Micro, Pulse Secure, BeyondTrust y Versasec. Casi una cuarta parte de los proveedores probados tenían dispositivos virtuales que obtuvieron una calificación A y el 12% obtuvo una B. Sin embargo, el 15% de los dispositivos probados obtuvieron una F, incluidos los de CA Technologies, Software AG, Intel, Zoho, Symantec, A10 Redes, Cloudflare y Micro Focus. Sin embargo, Orca señaló que algunos proveedores tenían algunos de sus dispositivos calificados A o A+ y otros dispositivos calificados F. Esto incluye Intel, Symantec, Soho, Cognosys y Tibco.
Orca se puso en contacto con cada uno de los proveedores afectados antes de hacer públicos sus hallazgos. La compañía dice que los proveedores han abordado aproximadamente 36.000 de las 400.000 vulnerabilidades identificadas, ya sea implementando parches o eliminando el dispositivo virtual por completo. En concreto, se han actualizado 287 productos y se han eliminado 53.
La lista de empresas que han tomado medidas incluye Dell EMC, Cisco, IBM, Symantec, Splunk, Oracle, Kaspersky, Cloudflare, Zoho y Qualys. Por otro lado, algunos proveedores dijeron que dependía de los clientes asegurarse de que sus dispositivos virtuales estén parcheados, mientras que otros se negaron a tomar ninguna medida, argumentando que las vulnerabilidades identificadas no eran explotables.Como era de esperar, algunos proveedores amenazaron con emprender acciones legales contra Orca. Una observación interesante realizada por la firma de ciberseguridad es que los productos más caros no obtuvieron una puntuación más alta en comparación con los productos menos costosos e incluso gratuitos.
«El simple hecho de que un proveedor obtenga las mejores calificaciones no significa que se garantice que todos sus dispositivos virtuales están libres de riesgos. Los datos presentados sirven solo como una guía, proporcionando una idea de cómo los proveedores abordan el soporte y mantenimiento de sus dispositivos virtuales. Algunos puntuaron bien y merecen cierta confianza. A otros les ha ido mal y sus productos deben abordarse con cautela», dijo Orca en su informe.
La compañía también ha compartido algunas recomendaciones para que las organizaciones reduzcan el riesgo que representa el uso de dispositivos virtuales. Esto incluye la gestión de activos para realizar un seguimiento de los dispositivos virtuales, herramientas de gestión de vulnerabilidades que pueden descubrir debilidades y un proceso de gestión de vulnerabilidades que prioriza los problemas más graves.
El Informe sobre el estado de la seguridad de los dispositivos virtuales 2020 de Orca está disponible en el sitio web de la empresa.
