Las pruebas de Secunia

Seguro que la mayoría de Uds. ya ha visto los resultados de las pruebas de Secunia y leído los comentarios al respecto. Para ser sincero, me sorprendió un poco la reacción negativa de algunas empresas antivirus ante los resultados.
Y el problema no parece radicar en el casi 20% de diferencia entre el ‘ganador’ y el resto. La crítica se centra en la metodología de la prueba, a la que mucha gente considera un poco turbia. Algunas sugerencias resultan útiles: en especial las de Andreas Marx, el conocido examinador alemán de soluciones antivirus. Pero, en general, parece que los vendedores de antivirus pensaban que sus resultados habrían sido mucho mejores si la metodología de la prueba hubiera sido diferente. Y quizás tengan razón.

Pero creo que la gente está poniendo demasiada atención en los errores de la prueba o en tratar de explicar los bajos índices de detección de pruebas de concepto (PoC) de sus productos. Por supuesto, es necesario discutir los métodos de prueba de Secunia, pero cada cosa en su momento.

Bajo mi punto de vista, la intención de Secunia no era resaltar los puntos débiles de las soluciones antivirus, sino que tenía un propósito muy diferente.

En Kaspersky hemos decidido no detectar vulnerabilidades PoC. Es mucho más práctico concentrarse en proteger a los usuarios de amenazas verdaderas y vulnerabilidades que los creadores de virus están utilizando en el mundo real. Para eso son nuestras bases de datos antivirus. No es que detectar PoCs sea una tarea difícil (aunque la prueba demostró que ni siquiera Microsoft y Symantec tuvieron buenos resultados a pesar de su gran cantidad de recursos), sino que detectar PoCs no afronta el verdadero problema.

¿Cuál es el verdadero problema?

La abundancia de aplicaciones vulnerables. Y la solución no es detectar el 65% ni el 99% de las PoCs. Una buena o mala metodología de revisión de antivirus tampoco resuelve el problema. La única solución está en los parches. Tuve la sensación de que, al discutir los resultados de la prueba, muchas personas habían olvidado o ignorado las sugerencias de Secunia sobre qué hacer al respecto.

Los usuarios y empresas deben tomar esta amenaza en serio y darse cuenta de que los cortafuegos y productos de seguridad tradicionales, como los paquetes de seguridad en Internet, no son suficientes para proteger ordenadores y redes corporativas.
Las empresas de seguridad nunca serán capaces de ofrecer la protección que brindan los programas parchados, así que es imprescindible que los usuarios y empresas se esfuercen más en actualizar sus programas. Si tus programas no están parchados y son vulnerables a ataques, entonces sin duda tu ordenador está expuesto a nuevas amenazas.
Y el dinero no es excusa: lo mejor de los parches es que son gratuitos. Sólo se gasta algo de tiempo en descargarlos e instalarlos. Herramientas como el Secunia Personal Software Inspector (PSI), que es gratuita, y una función similar de Kaspersky Internet Security 2009, permiten identificar los programas que no están actualizados de una manera muy sencilla.

Por suerte, la industria antivirus está tomando los pasos necesarios para resolver el problema de los parches. Nuestro producto, Kaspersky Internet Security 2009 es, hasta el momento, el primer y único producto que contiene una función de análisis de vulnerabilidades. Esto permite al usuario identificar aplicaciones con vulnerabilidades abiertas y contar con un informe que explica los detalles de la vulnerabilidad, incluyendo nombre, gravedad, y una descripción de los pasos a seguir para instalar los parches necesarios.

Este es sólo el primer paso hacia un sistema eficaz para controlar el peligro que corren los ordenadores personales, y seguiremos trabajando para mejorar en este campo.

Debemos curar la enfermedad, no calmar los síntomas. En este caso, la enfermedad es el riesgo que representan todas las aplicaciones vulnerables, agravado por la falta de conocimiento y cuidado de los usuarios. Y esto no es algo que los antivirus puedan o deban enfrentar solos: es una cuestión de seguridad en general.

Además, no existe empresa antivirus, sin importar cuán buenos sean sus resultados en estas pruebas, que tenga el derecho de decir “te protegemos contra todo tipo de vulnerabilidades, así que no necesitas instalar parches”. Ninguna empresa responsable se atrevería a decir eso, y todos en la industria de la seguridad estamos de acuerdo en que los parches son imprescindibles. Este sólo hecho deja sin argumentos a aquellos que están discutiendo acaloradamente los resultados y metodología de Secunia.

Nos alegra ver que se esté tomando más conciencia sobre la importancia de las vulnerabilidades y que las industrias antivirus estén aceptando su responsabilidad. La industria antivirus debe comenzar a abordar este problema lo antes posible. Debemos combinar las nuevas tecnologías y la educación de los usuarios: es necesario que hablemos sobre la importancia de parchar las aplicaciones hasta que los usuarios comprendan que eso es tan importante para su seguridad como los programas antivirus.

Un buen programa de seguridad no sirve de nada si el usuario no hace uso adecuado de los parches.