Estoy buscando una guía actualizada y completa de vulnerabilidades de TI generales / comunes (información general).
No quiero que hagas el trabajo por mí, solo quiero señalarme en la dirección correcta: una recomendación de un libro o un sitio web sería excelente.
Hay una gran cantidad de información disponible en el motor de búsqueda de Google, pero no puedo reconocer qué información es valiosa.
Consulte los recursos de la lista de verificación / referencia de seguridad de:
enlace
El Centro para la Seguridad de Internet (CIS) es una empresa sin fines de lucro cuya División de Benchmarking and Metrics ayuda a las organizaciones a reducir el riesgo de interrupciones de negocios y comercio electrónico que resultan de controles de seguridad técnicos inadecuados. La División proporciona a las empresas estándares de mejores prácticas de consenso para configuraciones de seguridad, así como recursos para medir el estado de seguridad de la información y para tomar decisiones racionales sobre inversiones de seguridad.enlace
Agencia de Sistemas de Información de Defensa (DISA)enlace
enlace El Programa nacional de lista de verificación (NCP), definido por el NIST SP 800-70 Rev. 1, es el repositorio del gobierno de los EE. UU. De listas de verificación de seguridad (o puntos de referencia) disponibles al público que brindan una guía detallada de bajo nivel para establecer la configuración de seguridad de los sistemas operativos y aplicaciones. .
Repasar unas pocas listas de verificación que pertenecen a su entorno puede darle una idea rápida de las cosas a tener en cuenta.
No es exactamente una guía, pero creo que CWE - Enumeración de debilidad común es una fuente excelente de vulnerabilidades de software comunes (no solo de la web) y está al día. Y, por supuesto, para la aplicación web, el sitio OWASP contiene mucha información útil sobre las vulnerabilidades de las aplicaciones web.
En mi opinión, conocer las vulnerabilidades de software específicas no es tan útil para mejorar la seguridad de su organización como realizar una evaluación de riesgos de TI completa . Después de la evaluación de riesgos, podrá evaluar, de una manera más objetiva, si el principal problema para su infraestructura de TI son las vulnerabilidades del software, la seguridad física, las personas, los procedimientos u otros elementos.
Existen múltiples metodologías y marcos para realizar evaluaciones de riesgo Mita >, OCTAVE , Mehari y otros.
Aquí, en España, Magerit se usa mucho porque se supone que las administraciones públicas deben usarlo para identificar y poder reducir los riesgos para la organización. Magerit incluye un catálogo de amenazas que se pueden usar como una "guía completa de vulnerabilidades de TI generales / comunes", como usted lo formula en su pregunta.
Lea otras preguntas en las etiquetas known-vulnerabilities