CSAF: gestionar vulnerabilidades OT a base de PDFs no escala
Cada semana ocurre más o menos lo mismo. Siemens publica un advisory, Schneider otro, Fortinet tres, Rockwell actualiza uno de la semana pasada y Microsoft publica sus parches. Y algún fabricante que nadie recordaba que estaba instalado en planta anuncia una vulnerabilidad crítica en un producto que lleva funcionando perfectamente desde 2014. Entonces empieza la fiesta: ¿Tenemos ese modelo? ¿Qué versión? ¿En qué planta? ¿Ese firmware está afectado? ¿Existe parche? ¿Podemos instalarlo? ¿Obliga a reiniciar? Y así, CVE tras CVE. En IT ya es complicado, incluso con entornos relativamente homogéneos. Sin embargo, en OT, donde conviven equipos de múltiples fabricantes, versiones antiguas, ciclos de vida de quince o veinte años y ventanas de mantenimiento bastante limitadas, una operativa manual y selectiva dificulta su sostenibilidad a lo largo del tiempo, pudiendo derivar en un aumento del riesgo operativo. Aquí es donde entra el Common Security Advisory Framework, o CSAF. Y la...