Seguridad para MSP: VDP, recompensas por errores y divulgación responsable

En el año 2021, la seguridad de la información es un problema que nos concierne a todos. Afortunadamente, el sector está en auge y hay un número sin precedentes de profesionales dispuestos a ayudarte a detectar vulnerabilidades en tu entorno. Por desgracia, muchos de estos profesionales suelen acercarse a las empresas sin que se les haya solicitado, ofreciendo asesoramiento sobre una falla que ya han descubierto en los productos o la infraestructura de tu empresa.

Si la Ley de Linus tiene algo de cierto, la colaboración entre tú y estos profesionales es clave para evitar un desastre. Entonces, ¿por dónde empiezas?

Programas de divulgación de vulnerabilidades (VDP)

El mero hecho de hackear un sistema digital es un tema delicado que puede acarrear graves consecuencias legales y financieras. Pero, ¿qué pasa si quieres que los profesionales de seguridad identifiquen fallas dentro de tu organización? ¿Cómo te aseguras de que estos profesionales actúen en tu mejor interés? Para establecer límites claros, alguien debe definir unas reglas de participación. Ese alguien eres tú, al definir un Programa de Divulgación de Vulnerabilidades (VDP).

Un VDP (donde la «P» también puede significar «Política») es un conjunto de directrices que indican a los investigadores cómo actuar en su propio interés. En él, también se proporcionan respuestas a preguntas tales como:

• ¿Con cuál de sus sistemas puedo interactuar?
• ¿Con quién debo ponerme en contacto si encuentro una vulnerabilidad?
• ¿Cuándo puedo esperar una respuesta a mis correos electrónicos?
• ¿Me prometes que no me demandarás hasta dejarme en la ruina?

Entonces, ¿cómo se redacta una política? ¿Por dónde se empieza? Bueno, la mala noticia es que no hay un estándar. La buena noticia es... ¡que no hay un estándar!

Las reglas de participación pueden ser las que tú quieras. Si tienes bloqueo de escritor, puede que te ayude leer los programas de otras empresas:

• Programa de divulgación de vulnerabilidades (VDP) de Datto
• Reglas del Programa de Recompensas por Vulnerabilidades (VRP) de Google
• El programa de recompensas por errores de Starbucks

También hay plantillas que puedes usar:

• Plantilla VDP de la Directiva Operativa Vinculante de la Agencia de Seguridad Cibernética y de Infraestructuras
• Plantilla Secuna VDP
• Plantilla VDP de Disclose.io

Como mínimo, debe incluir:

1. Lista de sistemas y software incluidos y excluidos del alcance.
2. Normas y expectativas para el investigador en materia de comportamiento, comunicación y presentación de informes.
3. Formas en que el investigador puede ponerse en contacto con usted.
4. Una indicación de «Safe Harbor», que le da al investigador la confianza de que no emprenderás acciones legales en su contra.

El archivo security.txt

Más allá de la política en sí, también existe un interés común en un archivo especial llamado security.txt que se aloja en tu servidor web público y brinda a los investigadores información clave sobre tu programa. Existe una herramienta web fantástica para generar este archivo, junto con instrucciones de implementación , que se encuentra en securitytxt.org.

Quizás notes que el archivo security.txt incluye una referencia a tu clave PGP para el cifrado de correo electrónico. Esta parte es opcional (como todo lo demás que hemos comentado hasta ahora), pero a menudo se recomienda para quienes deseen cifrar el contenido de los correos electrónicos confidenciales.

A continuación, te mostramos algunas formas de generar una clave PGP:

• Para quienes usen Windows, les recomiendo Gpg4Win.
• Para Linux, hay muchas guías; aquí te presento una de ellas.

Programas públicos frente a programas privados

Un VDP puede presentarse en dos variantes:

Los programas públicos son aquellos abiertos a todo el mundo; cualquier investigador puede participar en cualquier momento, y los detalles del programa son de dominio público.

• Ventaja: Garantiza que tus sistemas y productos reciban la máxima atención.
• Contras: Puede requerir una cantidad considerable de recursos para clasificar todas las consultas (la mayoría de las cuales probablemente contengan hallazgos e informes de baja calidad).

Los programas privados son solo por invitación; los investigadores deben solicitar primero tu permiso para participar, y los detalles de tu programa no se hacen públicos.

• Ventaja: Ayuda a reducir al mínimo el volumen de incidencias para quienes no cuentan con los recursos necesarios para mantenerse al día.
• Contras: Algunos proveedores podrían abusar de ello como una orden de silencio o como una muestra de «esfuerzo mínimo».

A menudo se recomienda comenzar con un programa privado y pasar a uno público una vez que esté seguro de que puede manejar un volumen de envíos de informes que podría ser entre 5 y 10 veces mayor.

Recompensas por vulnerabilidades («Bug Bounties»)

Aunque algunos investigadores pueden trabajar de forma gratuita, la mayoría prefiere recibir una compensación por su trabajo. Esta cuestión puede resultar delicada si un investigador exige un pago por un trabajo que no se le solicitó.

No existe ninguna ley ni código moral que te obligue a recompensar a nadie por sus esfuerzos no solicitados, ni debes sentirte obligado a hacerlo si no entra dentro de tu presupuesto. Dicho esto, la mayoría de los investigadores pueden apreciar y apreciarán cualquier compensación o reconocimiento por sus esfuerzos, ya sean grandes o pequeños.

Algunas ideas para recompensar a los investigadores:

• Money, donde los problemas más críticos reciben mayores recompensas
• Artículos promocionales de la empresa
• Mención del nombre en una página del Salón de la Fama
• Descuentos y tarjetas de regalo para tiendas populares
• Monedas, figuritas o pequeños objetos que simbolizan sus logros
• Suscripciones de pago para herramientas de hacking comunes o materiales de aprendizaje

Lo más importante de esta sección es establecer expectativas claras desde el principio. Asegúrate de que tu política de recompensas esté claramente definida en tu sitio web para minimizar la posibilidad de malentendidos.

Quiero pagar a la gente, pero ¿cuánto es razonable?

Siento la necesidad de enfatizar que esta parte depende totalmente de ti.

Al momento de escribir este artículo, los montos de las recompensas de Google por vulnerabilidades de seguridad van desde tan solo 100 dólares hasta 31,337 dólares, mientras que los de Apple oscilan entre cinco y siete cifras. Un ejemplo más práctico podría ser el programa de Slack, donde los rangos de pago se aumentaron recientemente de 100 a 1,500 dólares a 250 a 5,000 dólares a medida que su programa maduraba. Empieza con poco y ve subiendo poco a poco.

Hay que tener cuidado con cualquier investigador que exija una compensación antes de presentar sus hallazgos. En el mejor de los casos, esto es poco ético; en el peor, es un chantaje y puede acarrear consecuencias legales.

Plazos de corrección y divulgación pública

Hay algunas expectativas básicas que todos los proveedores deberían definir y cumplir:

1. Proporcione una respuesta inicial oportuna al investigador en un plazo de 1 a 3 días hábiles.
2. Esfuércese por solucionar el problema en un plazo máximo de 90 días.
3. Proporcione al investigador actualizaciones periódicas sobre el problema y su solución a intervalos regulares.

En lo que respecta a la divulgación pública de cualquier problema detectado, existen tres corrientes de opinión:

Divulgación privada

Los detalles del problema se mantienen en secreto. El problema se soluciona discretamente y ni el investigador ni el proveedor hacen ninguna declaración pública.

• Ventaja: Si los detalles del problema no se hacen públicos, es menos probable que alguien más lo descubra y escriba un exploit.
• Desventaja: Es posible que quienes son vulnerables a este problema nunca se den cuenta de su existencia. Por esta razón, debes tener cuidado con los programas de VDP o de recompensas por errores (Bug Bounty) que solo permiten la divulgación privada.

Divulgación completa (también conocida como divulgación pública)

Los detalles del problema se dan a conocer tan pronto como el investigador los descubre.

• Ventaja: Presiona al proveedor para que tome la iniciativa y priorice un parche.
• Contras: Los hackers podrían aprovechar una vulnerabilidad antes de que los proveedores tengan la oportunidad de lanzar un parche.

Divulgación responsable (también conocida como divulgación coordinada)

Los detalles del problema se dan a conocer como resultado de un esfuerzo coordinado entre el investigador y el proveedor, solo después de que se haya puesto a disposición del público un parche. Esto se considera, en general, la política más adecuada.

• Ventaja: Se logra un equilibrio entre la corrección y la publicación.
• Contras: Los hackers podrían seguir utilizando los datos para crear un exploit para sistemas obsoletos y sin gestionar.

¿Es posible contratar a alguien para que se encargue de todo esto por mí?

¡Así es! Si buscas ayuda de expertos, hay varias empresas entre las que puedes elegir; se podría decir que HackerOne y Bugcrowd son las dos opciones más populares.

¿Datto tiene un VDP?

¡Claro que sí! Visita https://dat.to/vdp para conocer los detalles.

¿Tienes preguntas, comentarios o inquietudes? No dudesen escribirme directamente a [email protected].