La superficie de ataque —la suma de todos los vectores de ataque para los activos informáticos de una organización— sigue ampliándose a medida que los dispositivos finales evolucionan al ritmo de la innovación. Los directores de sistemas de información (CIO) amplían la superficie de ataque cada vez que adoptan un nuevo servicio en la nube o habilitan más terminales para respaldar el crecimiento empresarial y la transformación digital. Ahora se enfrentan al reto de proteger esa superficie de ataque a pesar de su crecimiento.
En una entrada anterior del blog, escribí sobre los retos a los que se enfrentan los directores de sistemas de información (CIO) a la hora de apoyar la innovación y la seguridad informática al mismo tiempo. Ahora me gustaría profundizar en las estrategias de defensa que los directores de sistemas de información (CIO) pueden adoptar para proteger la superficie de ataque de sus entornos informáticos modernos, en los que prima la nube.
Kill chain 101
En concreto, me gustaría basarme en un importante modelo de ataque denominado «cadena de ataque». El ejército de los Estados Unidos desarrolló inicialmente este modelo hace décadas para analizar las carencias en materia de capacidades utilizando conjuntos de datos operativos. Una «cadena de ataque» es un conjunto de tareas o funciones secuenciales de una misión necesarias para emplear con éxito un arma contra un objetivo específico. Las cadenas de ataque se centran en los resultados mediante la combinación de capacidades específicas para lograr efectos sinérgicos. Una cadena de ataque utilizada por la Armada de los Estados Unidos para evaluar las capacidades de guerra aérea consta de las siguientes tareas o funciones de misión: localización, fijación, identificación, seguimiento, ataque y evaluación. El objetivo es eliminar una amenaza dentro de un espacio aéreo delimitado.
En el año 2009, en un documento técnico de Lockheed Martin Corporation, varios expertos en ciberseguridad aplicaron el modelo de la «cadena de eliminación» al problema de la defensa frente a lo que por entonces constituía una nueva forma de ataque: la amenaza persistente avanzada (APT). Han cambiado muchas cosas desde que se redactó ese artículo, pero el concepto de las «cadenas de ataque» sigue siendo útil. He aquí el motivo.
Antes de la aparición de las APT, muchas personas del sector de las tecnologías de la información pensaban que la ciberdefensa podía reducirse a una simple lista de tácticas. Si deseaba bloquear los virus, instalaba un programa antivirus. No obstante, si deseaba impedir que los intrusos accedieran a la red a través de puertos no supervisados, habría instalado un cortafuegos y un sistema de detección de intrusiones (IDS). Y así sucesivamente. Cada una de estas soluciones funcionaba de forma independiente, de manera aislada, para proteger una parte de la red de información.
Estas sencillas medidas de seguridad no son erróneas. Por sí solas, simplemente están incompletas. El auge de las APT lo dejó claro.
En un ataque APT, los intrusos están dispuestos a tomarse su tiempo. Explorarán una red, encontrarán una brecha y desplegarán algún tipo de malware. A continuación, establecerán una conexión de mando y control que permitirá a los atacantes, situados al otro lado del mundo, controlar directamente el malware que se ha instalado. A continuación, explorarán la red a su aire. Pueden tardar días, semanas o incluso meses en localizar los activos valiosos que desean robar o inutilizar, dependiendo de su objetivo.
Detener este tipo de ataques con una simple lista de comprobación de medidas de seguridad resulta, en el mejor de los casos, difícil y no se adapta bien a una escala mayor, ya que las amenazas agotan rápidamente los limitados recursos informáticos. Es necesario tener una visión global para comprender cómo los distintos elementos del ataque interactúan entre sí de forma sutil. Solo así podrá detectar el ataque y tomar medidas para detenerlo.
Las cadenas de ataque y la superficie de ataque cibernético moderna
Esta necesidad de adoptar una visión más amplia de la seguridad cobra aún mayor importancia si se tienen en cuenta las amenazas a las que se enfrentan las organizaciones en la actualidad.
En comparación, en el año 2009, los directores de sistemas de información (CIO) y los directores de seguridad de la información (CISO) se encargaban de proteger un entorno informático relativamente limitado y homogéneo. Casi todos los empleados trabajaban en las instalaciones. Casi todos sus ordenadores de sobremesa y portátiles habían sido proporcionados por el departamento de informática, en lugar de haber sido adquiridos por los empleados para su uso personal.
La adopción de la nube se encontraba en sus inicios. Los centros de datos alojaban la mayoría de las aplicaciones bajo la atenta supervisión de los administradores locales. Los cortafuegos de red podrían abarcar, de hecho, la mayor parte de los activos informáticos que necesitan protección. El reino de un director de sistemas de información se parecía realmente a un castillo: todo lo valioso se encontraba en un lugar central, rodeado por una muralla segura con centinelas que vigilaban ante cualquier problema.
Si nos trasladamos a la actualidad, la superficie de ataque es mucho más amplia, variada y vulnerable. La infraestructura informática típica abarca varios proveedores de servicios en la nube, así como innumerables oficinas en casa con una combinación de ordenadores portátiles, tabletas y teléfonos inteligentes.
Otros puntos finales incluyen los dispositivos del Internet de las cosas (IoT) y los dispositivos de tecnología operativa (OT). Las organizaciones ya disponían anteriormente de dispositivos de tecnología operativa (OT), como controladores, en las plantas de producción, pero ahora están conectados a Internet para aprovechar la digitalización de prácticamente todo.
Otra diferencia: la alarmante vulnerabilidad « Log4j » del año pasado sirve para recordar a los directores de sistemas de información que los riesgos pueden provenir de los componentes de software utilizados en las aplicaciones comerciales adquiridas. Y esos mismos riesgos relacionados con el software en las aplicaciones y los servicios digitales que la propia empresa está desarrollando.
En resumen, el entorno informático actual es complejo, variado y está en constante evolución. Si las medidas de seguridad básicas, del tipo «casilla de selección», resultaban algo insuficientes en 2009, ahora son totalmente insuficientes.
Por eso considero que volver al análisis de la cadena de ataque resulta tan útil. Recuerda a los directores de sistemas de información que las amenazas actuales son sofisticadas y complejas, y destaca la importancia de protegerse contra todas las fases del ciclo de vida de un ciberataque.
Comprender la cadena de ataque en la ciberseguridad
Entonces, ¿qué es una cadena de ataque? Se trata de una secuencia o «cadena» de acontecimientos que, en conjunto, hacen que un ataque perpetrado por un ciberdelincuente o un Estado-nación resulte más eficaz. Tal y como se describe en el documento de Lockheed Martin, la cadena de ataque cibernético comprende estos siete pasos:
- Reconocimiento
El atacante vigila y explora el objetivo, buscando vulnerabilidades y recopilando información, como datos sobre el hardware, el software, las identidades, las direcciones de correo electrónico u otros datos relativos a la red de información, que puedan servir de base para definir estrategias o metodologías destinadas a sondear, violar o aprovechar una vulnerabilidad conocida o desconocida.
El atacante empaqueta el malware o el código RCE de tal forma que pueda distribuirse para iniciar el ataque. Por ejemplo, el atacante podría incrustar un troyano de acceso remoto en un archivo de Microsoft Office o en un archivo PDF de Adobe.- Entrega
El atacante introduce el artefacto malicioso en la red del objetivo. Podrían enviar el archivo como archivo adjunto de un correo electrónico en el marco de una campaña de phishing de tipo « » (). O bien, un empleado desprevenido podría descargar el archivo de una página web o copiarlo sin darse cuenta desde una memoria USB dañada. - Vulnerabilidad
Una acción del usuario o algún otro evento desencadena la ejecución del malware. El malware aprovecha las vulnerabilidades del sistema operativo o de una aplicación. De una forma u otra, se cuela por las brechas en las defensas de un dispositivo terminal. - Instalación
El malware activo se instala en el dispositivo del usuario o en el dispositivo de una aplicación. Ahora los atacantes tienen acceso a la red interna. De hecho, los ladrones están dentro de la casa. - Mando y control (C2)
En la mayoría de los ataques APT, el malware presente en un terminal comprometido establece una conexión con un sistema remoto que actúa como controlador del ataque. Esta conexión de mando y control (C2) permite a los delincuentes que se encuentran a distancia —que pueden estar a miles de millas— controlar la actividad del malware en la red de la víctima. - Acciones sobre objetivos
Ahora los atacantes pueden llevar a cabo cualquier ataque que tengan previsto. Podrían sustraer datos del sistema del usuario o desplazarse lateralmente por la red, instalando ransomware o explorando otros sistemas en busca de activos valiosos que puedan explotar. Una vez establecida la conexión C2 , los atacantes pueden, básicamente, hacer lo que deseen: robar o cifrar datos, ejecutar scripts de PowerShell, etc.
Esta secuencia puede parecer complicada, incluso laboriosa, pero los pasos 3 y 7 pueden llevarse a cabo en tan solo unos minutos. Sin embargo, muchos ataques APT no son rápidos en absoluto. Los atacantes podrían decidir pasar desapercibidos y permanecer al acecho en la red, explorando sistemas, instalando más malware o sustrayendo datos poco a poco durante meses o incluso años.
En mi próxima entrada, explicaré cómo puede detectar y mitigar las acciones de la cadena de ataque de los atacantes, utilizando herramientas de seguridad modernas.
Mientras tanto, puede visitar nuestra página web , acceder a o , o bien concertar una demostración en para obtener más información sobre las soluciones de Tanium destinadas a proteger la superficie de ataque de su organización.
