Los autores de amenazas disponen de numerosas herramientas para atacar a sus víctimas. Pero también hay muchas medidas que pueden adoptar los responsables de la seguridad de la red para garantizar que estos ataques no tengan éxito. Ya se trate de mitigar un ataque de ransomware o de prevenir intentos de ciberespionaje, la clave reside en aplicar correctamente los principios básicos de la ciberhigiene que se recogen en .
Cómo se producen las filtraciones de datos en las organizaciones
Puede parecer una tarea abrumadora para los equipos de TI y de seguridad. Al fin y al cabo, los autores de las amenazas cuentan con el factor sorpresa, una amplia superficie de ataque a la que dirigirse y numerosos recursos de la dark web que les sirven de ayuda. Sin embargo, una gestión eficaz de los riesgos cibernéticos no tiene por qué resultar abrumadora. En primer lugar, analicemos las tres fases principales de la mayoría de los ciberataques.
El acceso inicial a suele conseguirse mediante el uso de credenciales válidas obtenidas mediante phishing o el aprovechamiento de vulnerabilidades conocidas. Aunque muchos responsables de seguridad puedan estar preocupados por los ataques de día cero, lo cierto es que son los fallos de seguridad ya revelados los que, posiblemente, suponen el mayor riesgo. Algunas son más fáciles de corregir que otras, tal y como ilustran las Log4j vulnerabilidades (se abre en una nueva pestaña).
A continuación se produce el movimiento lateral , que suele verse facilitado por una gestión deficiente de los privilegios. Con demasiada frecuencia nos encontramos con casos en los que un empleado ha desempeñado funciones en diferentes áreas de la organización, pero sus privilegios no se han actualizado de acuerdo con su puesto actual. Eso es precisamente lo que necesita un malintencionado: la capacidad de utilizar las mismas credenciales para moverse por toda la organización.
La sustracción de datos suele ser, con mucha frecuencia, el objetivo final de los ataques, posiblemente junto con la instalación de una carga útil de ransomware. Podría tratarse de datos de clientes, secretos comerciales o propiedad intelectual. Es posible que una empresa ni siquiera sea consciente de todos los datos confidenciales que posee hasta que sea demasiado tarde. Si esa receta secreta o ese diseño de producto exclusivo llegaran a manos del mundo del cibercrimen, podría suponer el principio del fin para algunas empresas.
Qué significa la «higiene cibernética»
Una vez que comprendamos cómo actúan los autores de las amenazas, podremos tomar medidas para frustrar sus planes. Analicemos esto en tres aspectos clave:
Visibilidad y control
Como dice el refrán: no se puede proteger lo que no se ve. Para lograr la visibilidad, lo primero es la gestión de activos, lo que implica no solo saber qué dispositivos existen en una organización, sino también qué se está ejecutando en ellos. La visibilidad debe llegar hasta las dependencias de código abierto individuales que puedan estar ocultas en el interior de los archivos comprimidos. El curso Log4j nos enseñó que no debemos dejar ningún cabo suelto. Este tipo de información ayudará a las organizaciones a establecer prioridades entre sus activos desde el punto de vista del riesgo, lo que contribuirá a optimizar el presupuesto. Y la visibilidad debe ir acompañada de control: es decir, la capacidad de intervenir en esos terminales para solucionar cualquier problema que se haya detectado.
Para que la visibilidad y el control sean una realidad, las organizaciones deberán incorporar a su base de datos de gestión de la configuración (CMDB) la mayor cantidad posible de datos precisos y actualizados, de forma continua. Además, deben tener en cuenta los controles de identidad y acceso, con el fin de garantizar que solo las personas autorizadas accedan a las aplicaciones adecuadas. Además de todo esto, deberían poner en marcha programas exhaustivos de evaluación y gestión de vulnerabilidades.
Protección continua
A continuación, se trata de evaluar y realizar un seguimiento de estos programas. La clave es no configurarlo y olvidarse de ello. Las organizaciones deben mantenerse preparadas y listas para hacer frente a posibles incidentes, mediante simulacros de guerra, ejercicios de simulación y simulacros con equipos «rojo» y «azul». La gestión automatizada de parches también contribuirá a garantizar la gestión continua de riesgos que necesitan las organizaciones. Y procure siempre responder a preguntas clave como:
- ¿Cuáles son nuestros controles de seguridad? ¿Las estamos probando y son eficaces?
- ¿De dónde proceden nuestros datos? ¿Dónde se almacena y cómo lo protegemos?
- ¿Cuenta nuestro personal con la formación adecuada en materia de concienciación sobre seguridad? ¿Y comprenden todos los miembros de la organización la importancia fundamental de gestionar el riesgo cibernético?
Detección y medidas de respuesta
Una vez que las organizaciones comprendan qué activos poseen, sean capaces de asumir rápidamente el control a gran escala para solucionar cualquier problema y garanticen que solo los usuarios autorizados accedan a las aplicaciones y a los dispositivos finales, habrán mitigado el 80 % de los ataques. Ahora se trata de detectar y responder al 20 % restante, que podría haber eludido las defensas.
Según , se tarda unos 277 días (se abre en una nueva pestaña) en identificar y contener una filtración de datos en la actualidad. Eso es demasiado largo. Sin embargo, una mayor visibilidad y control de los terminales se traduce en una detección y una respuesta más rápidas, siempre que las organizaciones puedan automatizar los procesos adecuados. Esto comienza por elaborar un plan de respuesta ante incidentes y someterlo a pruebas periódicas para garantizar que cada persona comprenda su función y que los equipos pertinentes se comuniquen entre sí sin problemas.
Cuando se detecten deficiencias, se deberán mejorar los procesos. Esto también debería implicar analizar de forma crítica cuántas herramientas de seguridad utiliza la organización y reducir el número de proveedores, minimizando las soluciones puntuales en favor de enfoques basados en plataformas. Esto contribuirá a garantizar que todos los equipos trabajen a partir de una única fuente de información fiable.
Conviene recordar que la seguridad perfecta es inalcanzable. Se trata de contar con un nivel de protección suficiente para disuadir la mayoría de los ataques, que son de carácter oportunista, y de disponer de los procesos necesarios para responder con rapidez y contener cualquier ataque más sofisticado.
Para obtener más información sobre la estructura de un ciberataque y cómo prepararse para él, no se pierda nuestro último seminario web con Zac Warren, asesor jefe de seguridad para la región de EMEA de Tanium. Véalo ahora. (se abre en una nueva pestaña)
