La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) ha emitido una directiva de emergencia December 17, 2021 , en la que exige a los organismos federales que apliquen de inmediato los parches necesarios en sus redes para subsanar las vulnerabilidades de Log4j . El mensaje: Si no puede aplicar el parche, elimine el software afectado de su red. Y hágalo tan rápido como sea humanamente y tecnológicamente posible.
«Inmediatamente» es un abrir y cerrar de ojos para cualquier proyecto de TI, y mucho más para uno que abarca la enorme burocracia del Gobierno de los Estados Unidos y sus innumerables proveedores externos. Pero no era la primera vez que la CISA pedía a las agencias que aplicaran los parches lo antes posible. Un mes antes, había publicado una directiva operativa vinculante (BOD) de la Oficina de Seguridad de la Información ( ) que se aplicaba a unas 290 vulnerabilidades críticas conocidas que los actores maliciosos han aprovechado desde 2017. (En el caso de algunas vulnerabilidades, la CISA concedió a los organismos 60 días e incluso seis meses para aplicar los parches, mientras que, para otras, solo les concedió dos semanas.)
[Véase también: Una carta a los directores generales sobre la vulnerabilidad Log4j ]
La urgencia, así como los plazos tan ajustados de la CISA, son comprensibles. Sus directivas anteriores han puesto de manifiesto los retos a los que se enfrentan muchas agencias federales a la hora de lograr visibilidad en sus redes, especialmente en los miles de terminales utilizados por los trabajadores remotos y en los que se encuentran en aplicaciones en la nube, así como a la hora de aplicar parches de software de forma rápida y en tiempo real .
En 2015, los investigadores de la CISA descubrieron que casi una de cada tres fallas de seguridad en los organismos federales tardaba, de media, 200 días o más en ser corregida. Tres años más tarde, la agencia intentó acelerar la aplicación de parches mediante la emisión de una orden de dirección (BOD) para corregir todas las vulnerabilidades conocidas en un plazo de 15 días.
Si bien solo el 4 % de las vulnerabilidades de seguridad a las que se refería dicha directiva habían sido explotadas en la red, los piratas informáticos atacaron el 42 % de ellas el día 0 (el primer día en que se hizo público que se necesitaba un parche de seguridad), el 50 % en los dos días siguientes a dicha divulgación y el 75 % en un plazo de 28 días.
Cyber-risk 101
CISA’s patching directives are “risk management 101,” says Suzanne Spaulding, senior adviser for homeland security and director of the Defending Democratic Institutions project at the Center for Strategic and International Studies. «Se tienen en cuenta las consecuencias y la probabilidad». «Se trata de vulnerabilidades que, de ser explotadas, podrían acarrear graves consecuencias y que, además, son las que tienen más probabilidades de ser explotadas».
El catálogo « » de la CISA, disponible en , que recoge las vulnerabilidades de seguridad incluidas en su BOD, abarca programas y configuraciones de software proporcionados por una amplia gama de importantes proveedores de software, entre los que se incluyen Adobe, Apple, Cisco, Google, Microsoft, Oracle y SolarWinds, todos ellos implementados en redes federales.
El catálogo de riesgos de la CISA supone un reconocimiento de que, en sus ataques recientes, el actual conjunto de actores maliciosos ha estado «encadenando» estratégicamente múltiples vulnerabilidades.
Se trata de una táctica que el colectivo de hackers ruso «Nobelium» utilizó para explotar un conjunto de cuatro vulnerabilidades en Microsoft Exchange Server en varios ataques a principios de este año, aprovechando vulnerabilidades de baja gravedad para hacerse con un punto de acceso en una red y, a continuación, utilizando de forma gradual otras debilidades para ampliar sus privilegios de acceso a datos y protocolos más sensibles.
Hay muchos badenes
Es fundamental corregir las vulnerabilidades de alto riesgo, y hacerlo con rapidez. Pero no siempre resulta fácil. «La instalación de un parche concreto podría provocar una interrupción en toda la red de una agencia», afirma Spaulding. Y lo que es aún más complicado: las agencias federales y los contratistas civiles trabajan en un entorno informático heterogéneo que abarca plataformas heredadas, firmware y software. A medida que la pandemia obligó a adoptar el teletrabajo, se produjo un auge de las rutas de acceso VPN basadas en la nube y de los dispositivos « ».
«». Es una tarea titánica. No puede esperarse que las agencias dejen todo lo que tienen entre manos y elaboren estos parches de inmediato.»Bud Broomhead, director ejecutivo de Viakoo
Para que cualquier organismo cumpla de forma efectiva con los requisitos del BOD de la CISA, tendrá que llevar a cabo un proceso de inventario de todos sus activos de red e «identificar los sistemas que necesitan parches, así como determinar el impacto que la aplicación de dichos parches tendrá en su software actual», afirma Jamil Jaffer, director ejecutivo del Instituto de Seguridad Nacional.
Esto implica llevar a cabo un proceso exhaustivo de detección e inventario de todo el software, el firmware y los dispositivos finales de la agencia y de los proveedores, incluidos los servidores locales y en la nube, los ordenadores de sobremesa, los dispositivos móviles y los sensores de IoT. A continuación, las agencias deben corregir, eliminar o sustituir cualquier activo vulnerable, así como garantizar que todas las actualizaciones de software y las configuraciones seguras de estén correctamente instaladas y en funcionamiento.
[Lea también: Exministro de Defensa: «Somos nuestro peor enemigo»]
«Es una tarea de enorme envergadura», afirma Bud Broomhead, director ejecutivo de Viakoo, empresa que, entre otros servicios, ayuda a proteger los dispositivos del Internet de las cosas (IoT). «No puede esperarse que las agencias dejen todo lo que están haciendo y apliquen estos parches de inmediato».
Dada la magnitud de la tarea, el Sr. Broomhead sostiene que abordarla manualmente resulta poco práctico y poco realista. «Simplemente no hay suficiente personal para dedicarle a ello», señala. «La realidad es que se necesita la automatización, pero solo una fracción muy pequeña de las agencias la tiene implantada».
Es posible que ni siquiera la automatización de las actualizaciones de software sea suficiente. Un ejemplo claro: en el ataque a SolarWinds, unos piratas informáticos rusos utilizaron una actualización rutinaria de software como un troyano de tipo « », insertando código malicioso en el software de Orion, que posteriormente fue descargado por 18,000 usuarios a lo largo de cuatro meses durante la primavera de 2020.
Las carencias del Consejo de Administración de la CISA
Aunque los parches pueden ofrecer una solución a corto plazo para las vulnerabilidades, será necesaria una reforma más sólida para reforzar verdaderamente la ciberseguridad del Gobierno a largo plazo.
«Todas las agencias se encuentran inmersas en un proceso de mejora de la seguridad», afirma Broomhead. «El objetivo final es la confianza cero».
Teniendo en cuenta que, según se ha informado , el 61 % de las filtraciones de datos se deben a la filtración de credenciales, la autenticación multifactorial (MFA) constituye un paso fundamental para alcanzar el modelo «zero trust». (El ataque a Colonial Pipeline, del que se ha hablado en « » ( ), se ha relacionado con una única contraseña filtrada.) Sin embargo, la CISA ha tardado en impulsar la autenticación multifactorial (MFA). Solo ha añadido la autenticación de un solo uso a su lista de «malas prácticas» de en August 2021.
Si bien el decreto ejecutivo de junio de la Administración Biden exigía que todas las agencias y proveedores implementaran la autenticación multifactorial (MFA) en un plazo de 180 días, el propio Biden admitió en una rueda de prensa que el poder ejecutivo no puede «imponer» protocolos de seguridad a los contratistas civiles federales.
Otra importante deficiencia de seguridad que el Consejo de Administración no aborda: las VPN vulnerables, que no ofrecen ningún medio para supervisar y auditar de forma la actividad de acceso remoto. En caso de que se produzca un ataque, las VPN no conservan un registro histórico de la actividad de red que permita rastrear el origen de la brecha de seguridad. En octubre, la CISA publicó unas directrices sobre el protocolo « » ( ) para reforzar la seguridad del acceso remoto. Sin embargo, sin un marco sólido que permita supervisar y garantizar el cumplimiento, no son más que ideas.
«. Considero que un mecanismo de cumplimiento y aplicación es muy importante». Creo que deberíamos plantearnos la posibilidad de imponer multas.»Jen Easterly, directora de la CISA
Aunque el Consejo de Administración de la CISA tiene como objetivo subsanar las brechas de seguridad, parece difícil, si no imposible, garantizar el cumplimiento de las normas. El plazo de dos semanas venció el 17 de noviembre, pero la agencia aún no se ha pronunciado sobre cuántos organismos y proveedores han cumplido con la directiva, y mucho menos en qué medida lo han hecho.
«Al fin y al cabo, la CISA tiene una capacidad limitada para hacer cumplir estas normas», afirma Jaffer. «En última instancia, el presidente y el Congreso tendrán que asumir un papel en la supervisión de estas directivas. «Eso es lo que aumentará la presión sobre los responsables de las agencias para que consigan hacer todo lo posible lo antes posible».
La directora de la CISA, , Jen Easterly , lo reconoció al declarar en una audiencia de la Comisión de Seguridad Nacional y Asuntos Gubernamentales del Senado September 2021 . «Considero que es muy importante contar con un mecanismo de cumplimiento y aplicación», declaró ante la comisión. «Creo que deberíamos plantearnos la imposición de multas».
«Las multas supondrían, por supuesto, el peor de los casos para una agencia, ya que afectarían a los fondos disponibles tanto para fines operativos como para la ciberseguridad», afirma Jaffer. «Lo que conviene es que las agencias se adelanten a ello y apliquen las directrices de la CISA, a ser posible antes de que el Congreso considere la posibilidad de otorgar dicha competencia».
¿Cuál sería el mejor de los casos? En un entorno cibernético en el que los delincuentes buscan constantemente vulnerabilidades que explotar, las agencias federales y sus socios externos deben ir más allá de los parches a corto plazo y adoptar una estrategia a largo plazo basada en el modelo «zero trust», y deben actuar con rapidez.
