¿Podría haber un momento más «apasionante» para ser un directivo del sector de la ciberseguridad? Es posible que algunos elijan otros adjetivos: estresante, incierto, confuso, alucinante… por citar algunos. En los últimos dos años, aproximadamente, se ha producido una sucesión de acontecimientos sin precedentes que han elevado los niveles de amenaza y han aumentado la concienciación sobre los riesgos cibernéticos en las más altas esferas de las organizaciones.
Entre las tendencias que han contribuido a que la ciberseguridad ocupe un lugar destacado se encuentran el espectacular aumento del teletrabajo y el trabajo híbrido como consecuencia de la pandemia; una transición rápida y continua hacia la nube; una mayor dependencia de los dispositivos móviles en el ámbito laboral; un crecimiento espectacular de las plataformas y transacciones de comercio electrónico; amenazas más sofisticadas, incluido el ransomware; un aumento del número de normativas sobre protección de datos; un agravamiento de la falta de personal cualificado en materia de seguridad; y una superficie de amenaza cada vez mayor.
El número y los tipos de amenazas siguen aumentando, ya se trate de malware, , phishing, ataques de día cero, denegación de servicio distribuida, filtraciones de datos y otros. Las vulnerabilidades de software se han convertido en un motivo de gran preocupación, como ilustra de manera tan clara la reciente falla descubierta en Log4j, la utilidad de registro basada en Java. Los expertos calificaron esta vulnerabilidad, que permitía la ejecución de código arbitrario en el marco de trabajo, como una de las más graves y críticas de los últimos años.
En esta serie de entradas del blog, repaso los incidentes de ciberseguridad más relevantes y presento una estrategia que ayudará a las organizaciones a desarrollar un programa de ciberseguridad sólido, diseñado para defenderse de las amenazas más recientes.
Los ciberataques, en los titulares
A continuación, le ofrecemos un breve resumen de algunos de los principales ataques de los últimos meses:
- En May 2021, la red de oleoductos estadounidense Colonial Pipeline —que tiene su origen en Texas y transporta gasolina y combustible para aviones principalmente al sureste de EE. UU.—, sufrió un ataque de ransomware que afectó a los sistemas utilizados para gestionar el oleoducto. Colonial Pipeline suspendió todas las operaciones del oleoducto para contener el ataque y debido a la preocupación de que los atacantes pudieran llevar a cabo nuevos ataques contra el mismo. A las pocas horas del ataque, Colonial pagó el rescate exigido por los atacantes. Se afirmó que el incidente fue el mayor ciberataque contra una infraestructura petrolera en la historia de Estados Unidos.
- En « June 2021», se corrigió una vulnerabilidad del gestor de colas de impresión de como parte del proceso habitual de «Patch Tuesday» de Microsoft. Unas semanas más tarde, en torno al fin de semana de la « July 4th », se publicó un exploit de prueba de concepto. Curiosamente, se trató de una publicación involuntaria de un «zero-day», ya que el fallo que aprovechaba era distinto del registrado originalmente en la base de datos Common Vulnerabilities and Exposures (CVE). Y no solo eso, sino que esta vulnerabilidad también afectó a todas las versiones de Windows, tanto de servidor como de estación de trabajo. Las organizaciones se apresuraron durante las vacaciones a aplicar rápidamente medidas de mitigación que pronto resultaron ser insuficientes. Esto puso de manifiesto que las organizaciones necesitan soluciones escalables y rápidas para detectar la presencia de una vulnerabilidad.
- Lo que le ocurrió a Kaseya, una empresa que ofrece software para la gestión de redes y sistemas, en el verano de 2021 es el tipo de situación que quita el sueño a cualquier proveedor. En el caso de Kaseya, un ataque a la cadena de suministro de tipo « » ( ) socavó la confianza en su herramienta de gestión de terminales para desplegar un programa de rescate. Si bien se vieron afectados unos 50 proveedores de servicios gestionados diferentes, el impacto global afectó a más de 1,500 empresas que habían externalizado servicios a dichos proveedores. El ataque, perpetrado por REvil, provocó una interrupción generalizada del funcionamiento de los sistemas. Además, esto condujo a la detención de dos personas acusadas de utilizar el ransomware REvil para atacar a empresas y organismos gubernamentales de Estados Unidos.
- Investigadores de seguridad de December 2021 han identificado una vulnerabilidad de seguridad de tipo «zero-day» que permite la ejecución de código arbitrario en Log4j, un marco de registro basado en Java que forma parte de Apache Logging Services. Los expertos en seguridad afirmaron que esta vulnerabilidad se encontraba entre las más graves y críticas descubiertas en los últimos años. Este error afectaba a una biblioteca utilizada en miles de aplicaciones, tanto empresariales como de código libre.
Estos son solo algunos de los aspectos más destacados en materia de ciberseguridad —o, mejor dicho, de los aspectos más negativos—. Los atacantes se han dado cuenta de las enormes oportunidades de obtener beneficios que ofrece atacar a grandes organizaciones o a las cadenas de suministro. Al igual que en cualquier negocio, la economía de escala es siempre la solución más rentable. Esto también es válido en el ámbito de la ciberdelincuencia. Si bien la «caza mayor» va en aumento, las empresas más pequeñas suelen verse afectadas por ataques indirectos o por vulneraciones en la cadena de suministro.
Cuando pensamos en las amenazas más preocupantes del panorama actual, solemos fijarnos en la vulnerabilidad más reciente. Sin embargo, una y otra vez, los atacantes se ocultan a plena vista, infiltrándose en el entorno de una organización mediante las credenciales de un antiguo colaborador, las contraseñas de cuentas de servicio que no se han renovado en años o recurriendo a la ingeniería social para que los usuarios legítimos les faciliten el acceso.
Las organizaciones necesitan un plan de acción para hacer frente a todas las amenazas. Este plan debería abarcar, como mínimo, cinco ámbitos clave: gestión de inventarios y activos, eliminación de compartimentos estancos, evaluación de riesgos, análisis de deficiencias y gestión de parches de .
Gestión de existencias y activos
Para detectar y detener amenazas de seguridad, como el malware, en los dispositivos finales, los equipos de seguridad deben poder identificar dichas amenazas. Sin embargo, muchas organizaciones señalan que la falta de visibilidad supone un reto para sus operaciones de seguridad.
Actividades como la «TI en la sombra», en las que los empleados adquieren dispositivos, software o servicios sin el conocimiento ni la autorización del departamento central de TI, no hacen más que agravar el problema. Y esto sucederá. Las personas utilizarán dispositivos desconocidos y los conectarán a la red de la empresa. Aunque la intención no sea maliciosa, las consecuencias pueden ser catastróficas.
Además, a las dificultades que plantea la gestión de activos se suman los modelos de trabajo a distancia e híbridos. Muchos empleados utilizan sus propios dispositivos para acceder a los datos que necesitan para realizar su trabajo.
Los equipos de seguridad no pueden identificar, aplicar parches ni configurar de forma segura los dispositivos finales de « » ( ) cuando ni siquiera saben que existen en el entorno. Por mucho que se dediquen a la detección proactiva de amenazas, esto no compensa los activos que se les escapan por completo.
Para gestionar de forma eficaz los activos de TI, las organizaciones no pueden basarse en herramientas obsoletas que pueden tardar semanas en ofrecer resultados. Necesitan resultados en tiempo real y a gran escala en toda la red. Las soluciones de gestión de activos , con capacidades integradas de gestión de terminales y de seguridad, pueden proporcionar a los equipos de seguridad datos en tiempo real y útiles en todos los terminales.
Los dispositivos finales son el punto de entrada más habitual a los entornos informáticos, lo que significa que es fundamental gestionar de forma eficaz la seguridad de los dispositivos finales . Requiere concentración y atención.
Eliminar los silos de TI
Otra práctica importante consiste en eliminar cualquier compartimentación que pueda existir entre los equipos de seguridad y los equipos empresariales. Lamentablemente, la relación entre los equipos de seguridad y los usuarios de la empresa puede resultar un tanto conflictiva. Los profesionales de la seguridad buscan garantizar la protección de los sistemas y los datos, mientras que los usuarios desean evitar cualquier herramienta o proceso —incluidos los destinados a la seguridad— que pueda entorpecer su trabajo.
Es importante que los responsables de ciberseguridad tengan presente que, si bien son expertos en seguridad y tecnología, los usuarios de la empresa son expertos en cómo utilizar esa tecnología para alcanzar los objetivos empresariales. Es fundamental colaborar con ellos, en lugar de actuar en su contra, y la seguridad debe considerarse un servicio básico que se presta a todas las áreas de la empresa. Los equipos de seguridad deben existir para respaldar y facilitar mejores experiencias mediante un diseño seguro.
La tarea de identificar los activos, el inventario de software y los datos en reposo y en tránsito no puede llevarse a cabo únicamente desde el ámbito de las operaciones de TI. Se trata de una oportunidad única para forjar alianzas dentro de la empresa, detectar carencias, mejorar la eficiencia en el trabajo e incluso ahorrar dinero.
Es importante que el departamento de seguridad establezca relaciones con los representantes de toda la organización, para conseguir su apoyo y crear un clima de confianza y una vía de comunicación a medida que el equipo de seguridad implementa y moderniza la arquitectura.
Los CISO deberían plantearse la creación de un Consejo Asesor del CISO para recabar opiniones y comentarios de los usuarios de la empresa.
Deberían establecer relaciones con aquellas personas que puedan sacar a la luz la «TI en la sombra» y mantener informados a los responsables de seguridad a medida que se evalúan las soluciones. Estas valiosas relaciones facilitan la adopción de nuevas iniciativas de seguridad, alertan de forma proactiva al equipo de seguridad sobre los problemas y refuerzan la confianza.
Colaborar con los usuarios de la empresa también brinda a los departamentos de TI y de seguridad la oportunidad de detectar situaciones como, por ejemplo, cuando tres grupos empresariales distintos utilizan cada uno herramientas de software en la nube distintas para alcanzar, en la práctica, el mismo objetivo. Esto abre una gran oportunidad para detectar trabajos duplicados, soluciones obsoletas u oportunidades para consolidar herramientas y flujos de trabajo entre distintos equipos, lo que supone un ahorro considerable de dinero.
En mi próximo artículo, abordaré las tres áreas restantes del plan de acción en materia de ciberseguridad de « » ().
Descubra cómo Tanium puede ayudar a a reforzar las defensas de seguridad de su organización solicitando una demostración.
