Herramientas para analisis y remediacion de seguridad del software

Ante el aumento de las amenazas a la seguridad del activo de información, causadas por las vulnerabilidades de los Sistemas Informáticos, han surgido organizaciones como CERT (Computer Emergency Response Team), cuyo objetivo es contribuir a identificar vulnerabilidades que posee el software (secure coding) y, consecuentemente,  disminuir las amenazas que pueden aprovechar tales vulnerabilidades (vulnerability remediation).

El CERT, reune las vulnerabilidades mediante monitoreo directo o mediante la recepción de reportes, que luego son analizadas por expertos internos o externos hasta lograr el total entendimiento de la vulnerabilidad, para luego proceder a la corrección de la misma, mediante el trabajo conjunto con los distintos fabricantes de software y sus grupos de respuesta a incidentes de seguridad (CSIRT). La última actividad que realizan (y no por ello la menos importante) es la divulgación de la vulnerabilidad y las posibles formas de remediarla.

El trabajo de detección y resolución de vulnerabilidades es un esfuerzo coordinado donde el eslabón final de la cadena es el usuario de los sistemas, quién debe mantenerse informado y aplicar los parches que los fabricantes hayan creado para solucionar las vulnerabilidades.

Altermedios explica que este es un esfuerzo constante, todos los días se descubren nuevas vulnerabilidades y se crean nuevos parches, razón por la que el usuario debe realizar un análisis periódico de sus sistemas.  Sin embargo esto requiere tiempo y esfuerzo de investigación, por lo que se han desarrollado herramientas que automatizan el proceso (por ejemplo las basadas en OVAL) y ciertos fabricantes del área de seguridad han colocado algunas herramientas gratuitas en sus WebSite, los cuales pueden ser accedidos en los siguientes enlaces:

Symantec Security Check: Test en línea para identificar la exposición a amenazas de seguridad.  Muy fácil de usar y no requiere de paso previo alguno por parte del usuario.    
Qualys: Detecta potenciales vulnerabilidades de su servidor conectado a internet (requiere registro completo). 
WindowSecurity.com: Revisa la computadora en busca de troyanos (este portal no es parte de Microsoft). 
McAfee FreeScan: Escaneo completo de potenciales virus en la computadora. Aunque en algunos equipos requerirá bajar un pequeño aplicativo de aproximadamente 4MB (lo cual sugiere el sistema automáticamente), es fácil de usar y no requiere conocimientos avanzados del usuario.
TrenMicro Hackercheck: Provee revisión de los puertos para identificar posibles vulnerabilidades (requiere indicar el correo electrónico del usuario). 
Panda ActiveScan: Escaneo en línea gratuíto para identificar virus, troyanos y gusanos (requiere indicar el correo electrónico del usuario).