Dado que los acontecimientos relacionados con la invasión rusa de Ucrania cambian a cada minuto, los responsables gubernamentales y los directivos de empresas de todo el mundo se han centrado en organizar una defensa enérgica contra los ciberataques perpetrados por Estados-nación.
Los posibles ataques podrían producirse como represalia por las sanciones impuestas a Rusia por parte de EE. UU., el Reino Unido, la UE y otros países. El temor es que los adversarios puedan actuar a una escala tal que haga que las vulnerabilidades « Log4j», «SolarWinds» y las de la cadena de suministro de Microsoft Exchange Server parezcan un juego de niños.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) ha publicado una serie de directrices dirigidas a empresas y organizaciones —tanto grandes como pequeñas— y ha recopilado las herramientas y servicios gratuitos disponibles para reforzar las defensas en caso de que los ciberataques rusos amenacen las infraestructuras críticas y las entidades financieras. «Todas las organizaciones de Estados Unidos corren el riesgo de sufrir ciberamenazas que pueden interrumpir servicios esenciales y, potencialmente, afectar a la seguridad pública», advirtió la CISA en un comunicado.
Aun así, los directivos harían bien en no dejarse llevar por el pánico. En materia de ciberseguridad, «Keep Calm and Carry On» es siempre un lema sensato que conviene tener siempre presente. Es probable que la guerra cibernética afecte en primer lugar a los organismos gubernamentales y a las ONG que se ocupan de cuestiones relacionadas con Ucrania y la defensa, y posteriormente a instituciones financieras que aplican sanciones contra intereses rusos, afirma Chris Hallenbeck, director de seguridad de la información (CISO) para América en Tanium. A partir de ahí, la ciberguerra podría extenderse a otras empresas y sectores, dependiendo de la naturaleza de la respuesta rusa.
Con el fin de ayudar a los directivos a prepararse para lo peor, Endpoint ha recopilado los mejores consejos de nuestros expertos a lo largo del último año, en el que hemos analizado el panorama de la seguridad. En resumen: el momento de actuar era ayer. «Si está esperando a que se produzca un acontecimiento como la invasión de Ucrania para decidir que va a tomar medidas en materia de ciberseguridad, ya va con el pie derecho atrás», afirma Hallenbeck.
Desempolven los manuales de resiliencia cibernética
La CISA ha instado a todas las empresas privadas a que revisen sus guías prácticas « » (Guías prácticas para la gestión de la ciberseguridad), publicadas recientemente en, en las que se recogen las prácticas en constante evolución del Gobierno de los Estados Unidos en respuesta a la orden ejecutiva del presidente Biden destinada a mejorar la ciberseguridad. Si bien los manuales están dirigidos a los organismos civiles federales del poder ejecutivo, la CISA «recomienda encarecidamente» al sector privado que haga uso tanto de sus estrategias como de sus normas.
«Tener un plan, sea del tipo que sea, es mejor que no tener ninguno», afirma Hallenbeck. «Disponer de un plan adaptado a sus operaciones y a su enfoque cultural es aún mejor». Sin embargo, el mero hecho de tener un plan guardado en una estantería acumulando polvo no beneficia a nadie, añade. Las empresas deben llevar a cabo simulacros específicos para garantizar que el personal comprenda el plan y el papel que desempeña en él, y, a continuación, poner a prueba diferentes escenarios para asegurarse de que realmente funciona.
[Lea: Qué implican los manuales de respuesta ante incidentes de la CISA para los CISO]
Centrarse en mitigar los riesgos de la cadena de suministro
En lugar de atacar directamente a las organizaciones, los ciberdelincuentes y los hackers patrocinados por Estados utilizan software , ataques a la cadena de suministro —como , SolarWinds — para robar datos y, en algunos casos, paralizar infraestructuras y servicios críticos de EE. UU.
Inyectan código malicioso en el software que utilizan las organizaciones para llevar a cabo sus actividades, centrándose específicamente en los procesos de desarrollo de software vulnerables y en las configuraciones en la nube inseguras, o bien aprovechando los procesos de actualización de software. Según la Agencia de Ciberseguridad de la Unión Europea (ENISA), los ataques a la cadena de suministro se multiplicaron por cuatro en 2021 con respecto a 2020.
«Los riesgos relacionados con la cadena de suministro, ya se trate de una vulnerabilidad o de un ataque activo, no hacen más que aumentar en frecuencia y gravedad», afirma Hallenbeck. «Y ahora se produce un acontecimiento como el conflicto en Ucrania que aumenta la probabilidad de que se produzca otra oleada de ataques informáticos a la cadena de suministro». Para estar preparadas, las organizaciones deben analizar el entorno para saber de qué activos disponen, dónde se encuentran y qué está instalado en ellos, afirma. Deben averiguar si los dispositivos finales se han visto comprometidos y subsanar de inmediato las vulnerabilidades.
[Lea: Cómo gestionar los riesgos de la cadena de suministro tras el Log4j]
Intensificar las actividades de detección de amenazas
La búsqueda de amenazas consiste, en la mayoría de los casos, en localizar «lo desconocido desconocido»: anomalías no detectadas hasta el momento, actividades inusuales o código malicioso que podrían abrir la puerta a un ciberataque. De forma similar al funcionamiento del sistema inmunológico del cuerpo, los cazadores de amenazas buscan continuamente amenazas de ciberseguridad en las redes y los dispositivos finales de una organización, incluidos ordenadores portátiles, ordenadores de sobremesa, tabletas y máquinas virtuales en la nube. El enfoque detecta, elimina y corrige de forma proactiva las amenazas antes de que los piratas informáticos puedan infiltrarse en su red.
«Partan siempre de la base de que un adversario se ha infiltrado en su entorno», afirma Hallenbeck. «Y esté siempre atento a los indicios de vulnerabilidades mediante una búsqueda proactiva de amenazas». Los equipos de detección de amenazas analizan los comportamientos y métodos que utilizarían los atacantes para acceder a su entorno y moverse por él, y a continuación buscan valores atípicos que indiquen una brecha de seguridad. Una o dos veces al año, merece la pena que incluso una organización de tamaño medio recurra a una empresa externa para llevar a cabo una búsqueda de candidatos.
[Lea: ¿Qué es la detección proactiva de amenazas y por qué es importante?]
Mejorar los procesos de gestión de parches
A medida que la superficie de ataque no deja de ampliarse, la gestión de parches se ha vuelto considerablemente más compleja. «La pandemia ha acelerado el abandono de las redes parametrizadas en un orden de magnitud significativo», afirma Phil Reitinger, presidente y director ejecutivo de la Global Cyber Alliance, antiguo director de seguridad de la información (CISO) de Sony y alto cargo en materia de ciberseguridad durante la administración Obama.
La situación empeoró aún más con la aparición del ataque « Log4j » contra un software de código abierto de uso generalizado, lo que ha obligado a las empresas y a los gobiernos a aplicar parches a sus sistemas sin descanso.
La aplicación de parches suele considerarse una de las armas más sencillas y eficaces para combatir la ciberdelincuencia. Sin embargo, en la práctica puede resultar complicado. Los piratas informáticos se aprovechan al máximo de los sistemas de gestión de parches que funcionan con lentitud. Sin embargo, en lugar de recurrir a las técnicas de piratería informática más sofisticadas, suelen centrarse en vulnerabilidades que requieren poco esfuerzo y un coste reducido, y que llevan años existiendo. Por eso, la estrategia más recomendable consiste en automatizar la mayor parte del proceso de aplicación de parches mensuales, sin dejar de realizar las pruebas necesarias antes de implementar los nuevos parches.
[Please read: CISOs face 2022 in crisis mode]
Reforzar las prácticas de higiene cibernética
La ciberhigiene es un conjunto de prácticas habituales destinadas a garantizar el tratamiento seguro de los datos críticos y a proteger las redes. Es como la higiene personal, en la que se establece una rutina frecuente de pequeñas actividades concretas para prevenir o mitigar problemas de salud. Las prácticas de ciberhigiene incluyen el inventario de todos los dispositivos finales conectados a una red, la gestión de vulnerabilidades y la aplicación de parches al software y las aplicaciones (véase más arriba).
La ciberhigiene contribuye a evitar que los delincuentes penetren en la red de una organización —o, al menos, aumenta el «coste de oportunidad», lo que dificulta tanto la tarea que el pirata informático desiste y busca otra víctima—.
En definitiva, una buena higiene reduce la superficie de ataque. «Las organizaciones dedican mucho tiempo, esfuerzo y dinero a aplicar parches, y eso es digno de elogio», afirma Hallenbeck, de Tanium. «Pero si está corrigiendo algo que nadie utiliza, ¿por qué se toma la molestia? «Cada vez que se mantiene en funcionamiento algo que no se utiliza o que está infrautilizado, se crean más aspectos que hay que supervisar y mantener».
[Lea: ¿Qué es la higiene cibernética y por qué es importante?]
A diferencia de lo que dice el refrán popular: «El mejor ataque es, en realidad, una buena defensa». Gracias a estas y otras estrategias, los directivos podrán mantener la calma mientras se preparan y responden ante cualquier crisis cibernética que se les presente.
