¿Qué es la preparación cibernética? Se trata de una disciplina de las tecnologías de la información (TI) que aplica un enfoque Left of Bang a la gestión de terminales, la detección de amenazas en tiempo real y la corrección rápida de las mismas. En las operaciones de combate, el enfoque « » (izquierda del estallido) consiste en diseñar operaciones para obtener una ventaja antes del ataque, del primer disparo y de la explosión. Esto podría implicar dirigir un convoy en el momento adecuado, seleccionar la ruta adecuada, localizar a los malhechores o reaccionar ante los acontecimientos de formas impredecibles que desconcierten al atacante. El enfoque «Left of bang» consiste en detectar amenazas y, a continuación, evaluar rápidamente el riesgo y el impacto para hacerles frente. Al relacionar estas ideas con la gestión de terminales, la detección de amenazas en tiempo real y la corrección rápida de amenazas, la visibilidad se convierte en el denominador común. La visibilidad es fundamental para la caza y constituye una capacidad básica que permite la higiene cibernética, la detección de amenazas y la evaluación de las medidas para contrarrestarlas.
En una entrada anterior del blog de « » (), presenté esta ecuación como una forma concisa de explicar la preparación cibernética.
Higiene cibernética + Detección de amenazas + Medidas de respuesta ante amenazas = Preparación cibernética
A continuación, le ofrecemos una breve explicación de cada uno de estos elementos:
- La ciberhigiene se centra en los terminales y las redes, garantizando que se hayan adoptado adecuadamente todas las medidas de defensa.
- La detección de amenazas consiste, como su propio nombre indica, en la detección inmediata de amenazas que van desde ataques de ransomware que bloquean los dispositivos hasta ataques de suplantación de identidad en el correo electrónico empresarial (BEC), que engañan a los empleados para que transfieran fondos a los delincuentes. La detección rápida y precisa de las amenazas brinda a los equipos de seguridad la oportunidad de impedir que se propaguen por toda la organización y causen más daños.
- Las medidas de respuesta ante amenazas consisten en tomar medidas para detener los ataques e incluso, en ocasiones, mermar las capacidades de los atacantes.
Si una organización lleva a cabo correctamente estas prácticas, mejorará de manera significativa su preparación cibernética, es decir, su capacidad para evitar y resistir los ciberataques.
Higiene cibernética: cómo mantener un estado óptimo de nuestro entorno informático
Analicemos con más detalle el primero de estos elementos: la higiene cibernética. La higiene, que es esencialmente un término médico, se refiere a la práctica de mantener la salud y prevenir enfermedades mediante la limpieza. En el ámbito de la ciberseguridad, la «ciberhigiene» previene los ataques mediante la eliminación de vulnerabilidades, defectos de software, fallos de seguridad o configuraciones erróneas. Estas medidas son similares al lavado de manos para eliminar los gérmenes y prevenir la propagación de enfermedades. Mark Rober lo demostró en su vídeo de YouTube titulado «: Experimento sobre cómo se propagan los gérmenes», en el que se mostraba la facilidad con la que se propagan los gérmenes.
La higiene cibernética presenta muchos paralelismos con la higiene médica, ya que nuestro objetivo es eliminar las vulnerabilidades o amenazas —es decir, las vías por las que un atacante puede penetrar en nuestra red—. Necesitamos saber qué está ocurriendo en cada punto final (es decir, cada ordenador portátil, ordenador de sobremesa, servidor, dispositivo de IoT, aplicación en la nube, etc.), independientemente de dónde se encuentre y a través de qué red se conecte. De hecho, necesitamos recopilar de forma continua datos sobre la higiene cibernética de cada terminal que intentamos proteger. Y necesitamos medidas (como las políticas de seguridad informática o las mejores prácticas para reforzar la seguridad de los terminales) que nos ayuden a repeler a los atacantes y a restablecer la plena capacidad operativa de los terminales. En términos técnicos, necesitamos que nuestro entorno tecnológico esté plenamente operativo y libre de defectos. Un enfoque « » (de izquierda a derecha) de «bang» mantiene nuestras operaciones de TI y nuestro entorno de seguridad en un estado óptimo de funcionamiento continuo.
Analicemos con mayor detalle los cuatro requisitos de higiene cibernética.
Requisito n.º 1: Visibilidad integral
Nuestro primer requisito es una visibilidad completa: visibilidad de todos los terminales que gestionan los datos de la organización o que se conectan a sus redes.
La visibilidad integral parece ser un objetivo evidente que puede alcanzarse con una herramienta de supervisión básica. En realidad, la visibilidad de los terminales supone un reto para la mayoría de las organizaciones de TI, incluso para aquellas que han realizado importantes inversiones en ciberseguridad. Las organizaciones suelen disponer de numerosas herramientas que inventarían sus terminales, y los resultados obtenidos con estas diferentes herramientas son sistemáticamente contradictorios. Esta inconsistencia se debe tanto a una cobertura insuficiente de los puntos finales como a una mala BZO del entorno. Las herramientas se han implementado, pero no están plenamente operativas, o bien la herramienta simplemente no se ha implementado en absoluto. Las auditorías detalladas de las redes empresariales revelan que la mayoría de las organizaciones pasan por alto el 10-20 % de los dispositivos finales.
¿A qué se debe esta falta de visibilidad? Muchos productos de gestión de terminales se limitan a funcionar con determinados sistemas operativos y tipos de dispositivos, o bien su algoritmo de detección solo funciona con dispositivos que ya tengan instalado un software de gestión de terminales. En otras palabras, estos productos pueden confirmar que conocen lo que usted ya sabe, pero no pueden descubrir nada que usted pudiera haber pasado por alto: los gérmenes invisibles del vídeo de YouTube de Mark Rober. En consecuencia, existe una discrepancia entre el conjunto de todos los dispositivos finales que suponen una amenaza para la ciberseguridad y el conjunto más reducido de dispositivos finales que el equipo de seguridad cree que está gestionando.
Lamentablemente, un adversario, como una banda dedicada al ransomware, solo necesita infiltrarse en un único terminal para afianzarse en una organización. Los equipos de seguridad no pueden permitirse pasar por alto ni un solo terminal, y mucho menos el 10 % o el 20 % de su parque de terminales.
Asegúrese de disponer de un método para identificar y gestionar todos los dispositivos finales de su entorno, incluidos los de las oficinas en casa, los espacios de trabajo remotos y los entornos en la nube. De este modo, habrá cumplido el primer requisito importante de « » en materia de ciberhigiene.
Requisito n.º 2: Visibilidad en tiempo real
Una vez que haya logrado una visibilidad completa, deberá asegurarse de disponer de una visibilidad continua y en tiempo real del estado de todos sus terminales, ya sean locales o remotos. Un aspecto fundamental del enfoque « » (a la izquierda del signo de exclamación) es la ventaja en la toma de decisiones; esta ventaja se nutre de los datos de los puntos finales.
Asegúrese de poder responder a estas preguntas:
- ¿De qué tipo de dispositivo terminal se trata?
- ¿Qué programas se han instalado en él?
- ¿Qué herramientas de seguridad están instaladas, configuradas y en buen estado en el terminal?
- ¿Qué procesos se están ejecutando en el terminal?
- Si el terminal participó en una actividad de riesgo, ¿con qué otros terminales se comunicaba?
Los equipos de seguridad deben ser capaces de responder a estas preguntas con rapidez, enriqueciendo y contextualizando los incidentes o los riesgos con datos de los terminales. Si bien las funciones empresariales determinan si un terminal forma parte del Key-Cyber Terrain (KCT), la visibilidad en tiempo real permite que los datos contextualicen el riesgo y el impacto en caso de que un adversario se haga con el control de un terminal del KCT. Si se está produciendo un ataque, consultar un informe de cumplimiento, de cambios o de configuración del mes pasado aportará muy poca información en comparación con la visibilidad en tiempo real. Para responder con rapidez y eficacia, es necesario saber qué programas están instalados y activos en este momento, de modo que pueda comprender las vulnerabilidades y amenazas de los programas. Asimismo, debe poder ver lo que ocurre en cualquier dispositivo en cualquier momento. Debe ser un cazador con una mentalidad del tipo « » y «left of bang» . Debe detectar aquellos procesos, actividades y comportamientos que no deberían estar presentes en el terminal.
La visibilidad en tiempo real es un factor clave para la planificación, la toma de decisiones y la detección de amenazas. Por lo tanto, constituye un elemento esencial de la higiene cibernética.
Requisito n.º 3: Visibilidad detallada del software: información sobre la lista de componentes de software (SBOM)
La vulnerabilidad de seguridad del software « Log4Shell » (o «Log4j») (CVE-2021-44228), de la que se informó por primera vez en December 9, 2021, cambió para siempre el ámbito de la ciberseguridad empresarial. Se descubrió que un componente de software de código abierto, ampliamente utilizado e integrado en miles de aplicaciones comerciales —incluidas las de las empresas más prestigiosas del sector del software—, era vulnerable a los ataques. En algunos casos, la vulnerabilidad podría otorgar a los ciberdelincuentes un control total sobre la ejecución de procesos, lo que les permitiría ejecutar cualquier programa o comando de shell al que las aplicaciones tuvieran acceso.
En la mayoría de las grandes organizaciones, el componente Log4Shell se integró no solo en aplicaciones comerciales, sino también en aplicaciones desarrolladas internamente, lo que amplió considerablemente el ámbito de la búsqueda. Había un parche disponible, siempre y cuando se pudieran localizar todos los lugares en los que se había instalado el Log4j . Sin embargo, ese proceso de descubrimiento supuso un trabajo arduo y que requirió mucho tiempo, en parte porque el alcance era muy amplio y abarcaba numerosas aplicaciones, pero también porque los Log4Shell artefactos se encontraban empaquetados en archivos de archivos dentro de aplicaciones JAVA.
Mientras tanto, los atacantes no paraban. En las 72 horas siguientes al anuncio de la vulnerabilidad, los ciberdelincuentes lanzaron más de 800,000 ataques aprovechando dicha vulnerabilidad.
Log4Shell ha elevado el listón en materia de buenas prácticas de ciberseguridad. Antes de la versión Log4Shell, los equipos de seguridad podían llevar a cabo una buena gestión de parches realizando un seguimiento de las aplicaciones y los niveles de parches; a partir de la versión Log4Shell, los equipos de seguridad se dieron cuenta de que necesitaban una lupa o luz infrarroja (IR) para detectar los gérmenes invisibles al ojo humano: necesitaban visibilidad sobre todos los componentes de cada aplicación y servicio que se ejecutaba en sus redes. En términos de «cazadores de amenazas», queremos visibilidad a cualquier hora del día; necesitamos gafas de visión nocturna para poder examinar el software y evaluar las amenazas, las vulnerabilidades, el estado de seguridad y el nivel de preparación.
En otras palabras, los equipos de seguridad necesitan ahora una visibilidad en tiempo real de las listas de materiales de software (SBOM) de . Una SBOM es la lista de todos los componentes que conforman una aplicación o un servicio en un momento dado. Solo con este nivel de análisis detallado podrán los equipos de seguridad estar preparados para reaccionar cuando se dé a conocer la próxima vulnerabilidad de un componente de software. Y, dado el uso generalizado de bibliotecas populares de código abierto, la complejidad del software y la probabilidad de que existan fallos de diseño, es inevitable que se produzca otro comunicado similar al Log4j .
Cabe señalar que una funcionalidad desarrollada en 2007 no se diseñó para resolver el problema del SBOM Log4j . Las capacidades modernas son extensibles, adaptables y ágiles. Las capacidades cibernéticas modernas se asemejan más a un lenguaje de programación que a una función monolítica dentro de un programa. Es aquí donde la oportunidad y el trabajo se entrecruzan en la historia del éxito en el ámbito cibernético. La capacidad de crear contenidos personalizados es un factor clave para anticipar las amenazas del futuro. El tiempo y el espacio son los factores limitantes en este reto; es posible que no necesitemos todos los datos, sino solo los datos adecuados para tomar la decisión correcta y llevar a cabo la acción adecuada en el momento oportuno.
Por eso, disponer de información sobre la SBOM es ahora un requisito imprescindible para la higiene cibernética.
Requisito n.º 4: Variaciones en la configuración (operaciones de aplicación de parches y gestión de software)
Ya hemos hablado de cómo identificar todos los dispositivos finales y comprender sus vulnerabilidades y riesgos. Ahora necesitamos una forma de reforzar su seguridad, garantizando que cada terminal cuente con la configuración adecuada mediante la instalación de parches, la aplicación de una gestión activa del software y la configuración correcta de cada terminal. Para que los puntos finales sean resistentes a los ataques, es necesario que exista previsibilidad, de modo que la organización reduzca al mínimo las variaciones en la configuración. En esencia, cada terminal se encuentra en la configuración establecida.
Siguiendo con nuestra metáfora sobre la higiene, una higiene deficiente conlleva factores de riesgo; por el contrario, una buena higiene mejora la salud y la resiliencia al eliminar los gérmenes que pueden provocar enfermedades. Ahora vamos a aplicar un enfoque de « » (a la izquierda del signo de exclamación) para mejorar el estado de preparación de nuestro entorno, manteniéndolo libre de vulnerabilidades, errores de configuración y software obsoleto.
Todas las organizaciones disponen de herramientas que utilizan para instalar parches e implementar software; estas herramientas suelen ser soluciones puntuales que requieren tiempo y esfuerzo. El resultado es que, a pesar del tiempo y el esfuerzo invertidos, se obtienen resultados mediocres. Los indicadores de rendimiento son importantes, pero el mayor impacto en la preparación cibernética radica en la variabilidad de la configuración de todos los dispositivos finales. El ritmo de aplicación de parches y de implementación de software es importante, pero dar soporte a múltiples configuraciones aumenta la complejidad y da lugar a un enfoque reactivo impulsado por el cumplimiento normativo, los datos obsoletos y los informes históricos. Esto podría deberse a un exceso de herramientas, lo que da lugar a unos procesos de gestión de la configuración enrevesados e inconexos, o bien el problema podría radicar en la elección de una herramienta inadecuada, en la deuda de conocimientos técnicos existente en la organización y en un enfoque de la gestión de la configuración basado en «trabajar más, no mejor».
Cuando se recurre a cinco o diez herramientas diferentes para escanear dispositivos, evaluar vulnerabilidades, instalar parches, confirmar que los parches se han instalado realmente (con muchas herramientas, los informes de éxito pueden ser muy exagerados) y generar informes para auditorías y cumplimiento normativo, el propio flujo de trabajo se convierte en un nuevo tipo de riesgo. Es posible que se omitan o se retrasen algunos pasos. Los formatos de los datos y de los informes pueden variar. Es posible que se pasen por alto algunos detalles importantes. Los procesos podrían prolongarse de forma peligrosa.
Por el contrario, una gestión eficaz de los parches permite:
- Actuando en función de la información sobre el estado de los parches y la SBOM recopilada por otras herramientas y flujos de trabajo de gestión de terminales
- Instalar parches de forma rápida y eficaz sin comprometer el rendimiento de los dispositivos finales ni de la red
- Elaboración de informes sobre el estado en tiempo real de los terminales
- Ayudar a los equipos de seguridad a detectar y solucionar problemas con rapidez cuando se dan a conocer nuevos ataques de día cero
- Integración con otros aspectos de la gestión de terminales para garantizar una transición fluida entre las operaciones de los terminales
Al centralizar las herramientas en una única plataforma, los equipos tecnológicos pueden eliminar los retrasos en la aplicación de parches y garantizar al mismo tiempo la autenticidad del software que se incorpora a su entorno, lo que da como resultado una única fuente de datos que es fidedigna, precisa, accesible y gestionada de forma activa. En realidad, las organizaciones modernas de tecnologías de la información cuentan con numerosos equipos, y cada uno de ellos necesita una visión global que amplíe la búsqueda siguiendo un enfoque de « » y «left of bang» ( Las organizaciones cumplen el cuarto requisito de la ciberhigiene al situar a todos los equipos en el punto de encuentro entre el trabajo y las oportunidades, donde la colaboración puede impulsar actividades que minimicen las variaciones en la configuración y garanticen que la red se encuentre siempre en un estado conocido.
La higiene cibernética: un componente esencial de la preparación cibernética
El cumplimiento de los cuatro requisitos de higiene cibernética permitirá a las organizaciones conocer y comprender el estado de su entorno. El resultado será un mayor nivel de preparación cibernética que reduzca las superficies de ataque, refuerce los terminales y consiga que el conjunto de los terminales esté libre de vulnerabilidades. Cuando los equipos de la organización comparten una visión común basada en las amenazas, una solución de gestión de terminales eficaz y permite a las organizaciones moldear su entorno mediante el trabajo en equipo, la ciberhigiene y el conocimiento de las variaciones de configuración de su parque de terminales. Este nivel de concienciación genera una ventaja a la hora de tomar decisiones que permite actuar con agilidad, adaptabilidad y conciencia de las amenazas.
Obtenga más información sobre la plataforma Tanium de y su función en la gestión de terminales, incluyendo la aplicación de parches y el cumplimiento normativo.
