Noticia de la Semana: Problema de seguridad del software Log4J y como, aún sin saberlo, puede estar afectando a tu organización y tu vida – Video Blog Gerentes 360 Episodio # 69 – Diciembre 20 de 2021

A continuación, encontrarás el segmento de la Noticia de la Semana, que corresponde al Episodio # 69 de Gerentes 360, grabado y transmitido en vivo el 20 de diciembre de 2021.

Noticia de la semana

Hoy en la noticia de la semana, analizamos el problema de seguridad del software Log4J y como, aún sin saberlo, puede estar afectando a tu organización y tu vida:

• Como explicamos en las noticias de la semana, hace menos de 2 semanas se conoció una vulnerabilidad en un software conocido como Log4J, y la semana pasada, se empezó a entender lo complejo de esta situación.
• Así que, por partes, analizamos este tema y por qué es tan complejo.
• El software se llama Log4J y la vulnerabilidad, que está en la categoría de lo que se llama “zero day”, o “día cero”, la han llamado Log4Shell.
• ¿Qué es Log4J? Es una aplicación diseñada para ayudar a programadores para “loguear” o iniciar sesión a usuarios en sus aplicaciones.
• Desde hace muchos años, en Internet existen grupos de programadores que desarrollan software de forma “libre”, que no es lo mismo que “gratis”, y lo proveen a la comunidad, a usuarios finales, empresas y programadores.
• Por ejemplo, si alguna vez has escuchado de Linux, es sistema operativo, este ha sido desarrollado de esta forma.
• Y en el mundo de la programación de software, existen muchas soluciones libres para ayudar a “acortar” la ruta de desarrollo. En otras palabras, se usa este tipo de soluciones para “no reinventar la rueda”.
• Por ejemplo, si yo soy programador y quiero crear un software para X cosa y debo crear entre otros, un sistema de login, tengo varias opciones. Una es crearlo desde cero, es decir, hacer mi propia implementación. Pero otro es buscar entre lo que ya existe, que puede ser parte de un software comercial o en el mundo del software libre. Y precisamente esto es lo que hace Log4J, que va en su segunda versión, y que es lanzado por el Apache Software Foundation, que es una organización muy seria que provee este tipo de soluciones.
• ¿Tu empresa tiene página web? Lo más probable es que el “servidor web” sea el de Apache, que el primer software grande de esta fundación, y una de las claves para que Internet y las páginas web crecieran de la forma acelerada en la que lo hicieron.
• Y si tienes página web, es muy probable que funcione gracias a otras tecnologías igualmente libres.
• El problema con las tecnologías es que en algún momento puede que se encuentren fallos. ¿Alguna vez has instalado actualizaciones de Seguridad de Windows, Mac, Linux, iOS o Android? Esto pasa, y es parte de la “normalidad”.
• Existen mejores prácticas y procesos para evitar las fallas, pero aún el mejor desarrollo con el mejor equipo puede verse expuesto a estas fallas.
• ¡No es la primera vez que sucede, ni será la última!
• Cuando un software de este estilo tiene una falla seria, y es que no usamos los usuarios finales de forma directa, pero si los desarrolladores, es responsabilidad del programador arreglarlo.
• Pero esta falla está presente hace varios años, no había sido detectada y cada día más y más programadores usaban e incluían este software en sus desarrollos.
• Si algún software en tu empresa usa a Log4J, y es un software que se desarrolla y mantiene activamente, y tú tienes la licencia activa y actualizaciones incluidas, es probable que pronto lo actualicen o ya lo hayan realizado.
• Ahora, si tienes un software activo que ya no es mantenido o no tienes derecho a actualizaciones, y ese software usaba Log4J, puedes tener problemas.
• Como usuario final, también es posible que en tus equipos tengas software que usan a Log4J, y pues el problema es el mismo.
• El inconveniente real es que como ya se conoce cuál es su vulnerabilidad, por lo cual se sabe que grupos de Hackers en todo el mundo van a estar recorriendo Internet buscando “puertas traseras”, y como ya tienen la “receta” de esta vulnerabilidad, saben cómo atacarla.
• Esta vulnerabilidad no afecta a todos los programas, y es una de miles que se descubren todos los años. Pero si es bueno que tu equipo de sistemas analice su software y que hables con tus proveedores para ver si esto puede ser una situación seria. Y hacer esto, con frecuencia, con o sin noticias de este estilo.

Fuentes adicionales: Fuente No. 1, Fuente No. 2, Fuente No. 3, Fuente No. 4.

Para ver este capítulo completo, por favor ingresa aquí.