Linux tiene fama de ser seguro, pero eso no quiere decir que de por sí sea un núcleo (o un sistema si se combina con GNU o Android) invencible y carente de vulnerabilidades, y viendo como cada vez se descubren problemas más complejos y difíciles de combatir, se hace necesaria la utilización de herramientas que detecten las amenazas incluso antes de su publicación.

Con el fin de evitar los peligros todavía por descubrir en Linux, la startup Capsule8 publicó el pasado 11 de abril de 2018 la versión 1.0 de su plataforma de detección de amenazas zero-day, una meta que ha sido alcanzada después de un año de desarrollo. Su objetivo es ayudar a la seguridad a escala en tiempo real de las cargas de trabajo de Linux, estén contenedorizadas o no, frente a las amenazas zero-day, entre ellas los ataques de tipo canal lateral como Meltdown y Spectre.

Capsule8 fue fundado en febrero de 2017 y consiguió recaudar 8,5 millones de dólares de fondos de riesgo. Según John Viega, uno de los cofundadores, la detección de amenazas zero-day de Capsule8 implica tener una señal muy alta a una relación de ruido muy baja para poner en evidencia la explotación de las vulnerabilidades en entornos de producción. En lugar de escanear para hallar las que ya están descubiertas con su código CVE, lo que hace esta plataforma es buscar señales sobre procesos de explotación de vulnerabilidades zero-day.

Esta forma de trabajar con las amenazas ha recibido el nombre de “minas terrestres del kernel”, que básicamente son disparadores colocados en áreas asociadas a procesos que normalmente no deberían interaccionar con otros regulares autorizados y las aplicaciones en uso. No se trata de una técnica de engaño, las cuales usan falsas flags que los hackers podrían seguir en un intento de engañarlas para que sigan un camino y así contenerlas.

Con un panorama de las amenazas cada vez más complejo, herramientas como Capsule8 podrían ser útiles para evitar grandes daños en los entornos corporativos.

Fuente: eWeek