«¿Es segura nuestra red? «¿Estamos tan protegidos como es posible frente a las amenazas cibernéticas?»
Hoy en día, cualquier responsable tecnológico puede esperar que le planteen estas preguntas, ya sea por parte de un directivo de la empresa, un miembro del consejo de administración o un oficial al mando.
Para responder a estas preguntas con seguridad, se necesitan muchos datos: datos sobre los terminales, los niveles de parches, la actividad de la red, las variantes de ransomware, etc. También es necesario que sepa dónde se encuentran esos datos y cómo recopilarlos y analizarlos. Solo mediante la recopilación y el análisis de estos datos podrá llevar a cabo una evaluación significativa y exhaustiva de la seguridad de su red.
Para la mayoría de las organizaciones, este tipo de análisis requiere encuestas exhaustivas, que se prolongan durante varias semanas o incluso varios meses, dirigidas a especialistas en TI y seguridad. Aun así, es probable que el análisis resultante solo sea relevante en el momento en que se recopilen, procesen y presenten los datos. Podrían surgir nuevas vulnerabilidades y otros riesgos al día siguiente, o incluso unos minutos después.
Un enfoque más adecuado consiste en implantar herramientas y procesos que permitan recopilar datos de seguridad de forma continua y en tiempo real. Gracias a los datos en tiempo real sobre el estado de las redes y los dispositivos finales, podrá responder a las preguntas sobre la seguridad general con respuestas definitivas. De este modo, podrá describir el estado de preparación cibernética de su organización un lunes por la mañana y volver a describirlo con precisión un viernes por la tarde, incluso si su empresa ha lanzado un nuevo servicio el miércoles o ha cerrado una adquisición el jueves.
Y, dado que ha creado un sistema automatizado para obtener las respuestas que necesita en cualquier momento, contará con una ventaja operativa a la hora de defenderse de los ataques. Es decir, estará un paso más cerca de haber alcanzado la preparación cibernética frente a las amenazas cibernéticas.
Preguntas que le ayudarán a prepararse para la ciberseguridad
La preparación cibernética consiste, en última instancia, en responder a tres preguntas distintas, cada una de ellas relacionada con un aspecto diferente de la ciberseguridad. Estas preguntas son:
- ¿Cuál es el estado de mi red? (Higiene cibernética)
- ¿Qué amenazas puedo encontrar? (Detección de amenazas)
- ¿Con qué rapidez pueden ponerse en marcha las medidas de respuesta a las amenazas? (Medidas de respuesta a las amenazas)
En conjunto, estas cuestiones conforman la preparación cibernética. Si lo desea, puede plantearse el problema desde un punto de vista matemático:
Higiene cibernética + Detección de amenazas + Medidas de respuesta ante amenazas = Preparación cibernética
En esta serie de entradas del blog, voy a analizar cada uno de estos temas en profundidad. No obstante, en primer lugar, voy a empezar hablando de la mentalidad defensiva que subyace a este enfoque de la ciberseguridad. Se trata de una filosofía desarrollada por los marines durante la guerra de Irak. Se llama «Left of Bang». Así es como funciona.
Prevenir los ataques en lugar de reaccionar ante ellos
A mediados de 2006, el Cuerpo de Marines de los Estados Unidos se dio cuenta de que necesitaba una nueva estrategia para proteger a sus tropas en Irak. La insurgencia iraquí estaba en pleno apogeo. Los insurgentes estaban colocando artefactos explosivos improvisados (IED) en las carreteras, y estos artefactos ocultos estaban causando estragos devastadores. Solo en septiembre, los artefactos explosivos improvisados hirieron a 776 estadounidenses. Y estos dispositivos, muchos de los cuales tenían la potencia suficiente para destruir un vehículo de combate Bradley de 27 toneladas, parecían estar por todas partes. En julio se detonaron 666 artefactos explosivos improvisados. Los marines encontraron casi mil dispositivos más listos para explotar.
(Para obtener una descripción detallada de estos ataques y de la respuesta de los marines, consulte Left of Bang: How the Marine Corps’ Combat Hunter Program Can Save Your Life , de Patrick Van Horne y Jason A. Riley.)
En aquella etapa de la guerra, los marines contaban con un alto nivel de entrenamiento que les permitía reaccionar con eficacia ante cualquier problema que surgiera. Sin embargo, las medidas adoptadas ante las explosiones de artefactos explosivos improvisados no estaban reduciendo la frecuencia de los atentados. Tampoco las medidas de respuesta contribuían en gran medida a reducir la fuerza de la insurgencia en su conjunto. Los marines necesitaban una nueva estrategia.
El general de la Infantería de Marina James Mattis, comandante de la Primera Fuerza Expedicionaria de la Infantería de Marina, quería que los marines se adelantaran a los acontecimientos y pasaran a la ofensiva. Quería un nuevo tipo de entrenamiento para los marines: un entrenamiento que les ayudara a adoptar una «mentalidad de cazador», evaluando las situaciones con rapidez, identificando posibles amenazas y adoptando la línea de actuación más eficaz. Así nació el programa «Combat Hunter» de la Infantería de Marina.
La idea principal de este programa consistía en adelantar las acciones de los marines «antes del momento de la acción». Imagínese la cronología de un atentado con un artefacto explosivo improvisado. En el punto medio de la línea temporal, explota el artefacto explosivo improvisado. Eso es lo más impactante. A la derecha de la explosión se observan todas las consecuencias de la misma: un vehículo dañado, civiles que huyen y personal sanitario que acude rápidamente al lugar de los hechos.
En el momento 2006, a la izquierda de la explosión —el momento en la línea temporal anterior a que se produjera la explosión—, la mayor parte del tiempo la dedicaron los insurgentes a planificar el ataque, fabricar el artefacto explosivo improvisado y enterrarlo en la carretera. Los marines tenían muy poca información sobre estas actividades. En consecuencia, muy pocas de sus acciones deliberadas tuvieron lugar antes del «bang».
El programa de entrenamiento «Combat Hunter» cambió esa situación. Los marines aprendieron a observar los patrones sociales en los lugares públicos. Aprendieron a detectar anomalías, como personas cuyo comportamiento no se ajustaba al ambiente de la calle o del mercado en el que se encontraban. Aprendieron a darse cuenta de cuándo los lugareños se alejaban de un lugar de forma inesperada, tal vez porque sabían que se iba a producir un ataque. Además, los marines aprendieron cuándo pasar a la ofensiva, capturando a los insurgentes antes de que estos pudieran atacar primero.
Como asesores militares en Irak entre los años 2005-2006, aplicábamos los principios básicos de «Left of bang» para reducir el riesgo al que se exponían nuestros convoyes y mejorar la calidad de nuestros resultados: llegar a nuestro destino a tiempo y de forma segura. Para este enfoque resultaban fundamentales la observabilidad, la agilidad y la previsibilidad. Para la mayoría de los estadounidenses, Long Island, Míchigan y Tampa son lugares, pero para los marines y los soldados, estos términos se refieren a rutas de alto riesgo en las que un enfoque preventivo mejoró la preparación de los convoyes. Saber aprovechar el momento óptimo, trabajar de forma transversal y integrar la tecnología en la planificación de nuestra misión fueron factores clave para nuestra capacidad de supervivencia y la preparación de nuestro convoy.
En resumen, la formación enseñó a los marines a:
- Identificar amenazas basándose en el comportamiento
- Evalúe tanto los indicios sutiles como los evidentes de amenazas basándose en el comportamiento humano, las intenciones y el entorno.
- Piense de forma crítica sobre la marcha, centrándose en lo más importante
- Tome decisiones acertadas y rápidas basándose en la información disponible
La formación de «Combat Hunter» marcó la diferencia. De repente, los marines fueron capaces de interpretar las situaciones con mayor acierto. Pudieron detectar las amenazas con mayor antelación —incluidas las derivadas de ataques con artefactos explosivos improvisados— y tomar medidas para evitar pérdidas. El número de víctimas de artefactos explosivos improvisados disminuyó. Se detuvo a varios insurgentes. Los participantes elogiaron el programa y expresaron su deseo de haber podido aprender sus conceptos antes.
El programa puso de manifiesto las ventajas de pensar de forma proactiva, es decir, de actuar antes de que se produzca el impacto.
Lo que los equipos de seguridad informática pueden aprender sobre seguridad gracias a lo que queda de la formación «bang»
Hoy en día, muchos equipos de seguridad informática se ven obligados a actuar a la defensiva. Están haciendo todo lo posible por protegerse frente a una amplia variedad de ataques, entre los que se incluyen el ransomware, el phishing y el suplantación de identidad en el correo electrónico empresarial.
Sin embargo, su visibilidad es limitada. La mayoría trabaja con inventarios de dispositivos finales incompletos u obsoletos. No saben con certeza qué componentes de software están instalados y en qué lugar, lo que les hace vulnerables a los ataques a la cadena de suministro. Con demasiada frecuencia, los equipos de seguridad informática se ven obligados a trabajar sin descanso o, en esencia, a reaccionar ante amenazas, solicitudes de datos e incidentes cibernéticos, al vivir en un mundo en el que se actúa a posteriori.
Reflexione sobre cómo el enfoque «left-of-bang» puede perfeccionar las preguntas que he mencionado anteriormente y que conducen a la ciberresiliencia:
- ¿Cuál es el estado de mi red? (Higiene cibernética)
Reflexiones sobre «Left of Bang»:- ¿Entiendo realmente cuál es el estado de mi red? ¿Puedo ver mi red?
- ¿Me estoy fijando en todo lo que debería para detectar las amenazas lo antes posible?
- ¿Dispongo de información sobre anomalías significativas, aunque sean sutiles?
- ¿Qué amenazas puedo encontrar? (Detección de amenazas)
Reflexiones sobre «Left of Bang»:- ¿Puedo detectar las anomalías sutiles que indican amenazas que quizá haya pasado por alto?
- ¿Tengo la capacidad de detectar amenazas en cualquier lugar, en cada dispositivo terminal de cualquier ubicación que se conecte a mis redes o que gestione los datos de mi organización?
- ¿Con qué rapidez se pueden poner en marcha las medidas de respuesta ante amenazas? (Medidas de respuesta ante amenazas)
Reflexiones sobre «Left of Bang»:- ¿Puedo reaccionar con mayor rapidez, tomando decisiones acertadas y rápidas para prevenir los ataques o contenerlos más rápidamente?
- ¿Puedo comprender el alcance y la naturaleza de los ataques con mayor rapidez?
- ¿Puedo controlar la situación y tomar medidas para evitar que se repitan ataques similares?
Los equipos de seguridad pueden reforzar considerablemente su resiliencia cibernética adoptando una estrategia de «left-of-bang» en materia de ciberseguridad y aplicando estas recomendaciones.
Un análisis más detallado de la preparación cibernética
En mis próximas entradas del blog, analizaremos más a fondo las mejores prácticas en materia de ciberhigiene, detección de amenazas y medidas para contrarrestarlas.
Mientras tanto, obtenga más información sobre cómo la plataforma Tanium Converged Endpoint Management (XEM) de (se abre en una nueva pestaña) ayuda a los equipos de seguridad a mejorar su visibilidad, control y capacidad de corrección para reforzar su preparación frente a las amenazas cibernéticas.
