Ir al contenido principal
Cliente destacado

Cómo los clientes de Tanium mitigaron los riesgos de los recientes ataques de ransomware

Tanium se ha utilizado en algunas de las redes más grandes del mundo para mitigar los riesgos derivados de varias vulnerabilidades recientes, entre ellas WannaCry, Intel AMT y el keylogger del controlador de audio de HP. Para cada vulnerabilidad, ofrecimos a los clientes la libertad de elegir la mejor estrategia de mitigación para su empresa. La aplicación de parches era una opción, pero no la única disponible. A continuación le ofrecemos un análisis detallado de nuestros logros más destacados, así como cinco medidas que su organización puede adoptar desde ya para evitar verse afectada por el próximo ataque.

Imagen compuesta con un teclado luminoso en primer plano y explosiones con código binario superpuesto

(Imagen: Peter Linforth / Pixabay)

Aplicación de parches.

El nivel de inquietud que siente al oír esa palabra es directamente proporcional al número de terminales que gestiona. La aplicación de parches ocupa uno de los primeros puestos en la escala de tareas ingratas del ámbito de las tecnologías de la información, ya que combina un alto riesgo de fallo con pocas posibilidades de recibir reconocimiento alguno por realizarla correctamente. Nadie en su empresa se da cuenta de si se ha mantenido al día con los parches hasta que un intento de hacerlo provoca la caída de una aplicación fundamental para el negocio. ¿Y quién querría que su nombre se asociara a algo así?

En resumen, así es como acabamos teniendo el caso de WannaCry. Lo más preocupante de WannaCry es la cronología de los acontecimientos que condujeron a la aparición del ransomware. A finales de 2016, surgió un grupo de hackers conocido como Shadow Brokers, que anunció una subasta de herramientas de piratería informática filtradas de la NSA. Al tener conocimiento de la filtración, Microsoft comenzó a trabajar en una actualización de seguridad. Microsoft llegó incluso a tomar la medida sin precedentes de suspender el «Patch Tuesday» (se abre en una nueva pestaña) en febrero, por primera vez en la historia. Lamentablemente, durante ese mes de descanso comenzaron a aparecer muestras de WannaCry en la red. Microsoft publicó las actualizaciones de SMB para WannaCry en March 2017. WannaCry hizo su (poco elegante) aparición en May 12, afectando finalmente a unos 230,000 terminales en 150 países.

Sin duda, WannaCry no será lo último que veamos de las herramientas y vulnerabilidades filtradas de la NSA. De hecho, están apareciendo informes sobre un nuevo gusano dirigido a pymes denominado EternalRocks (se abre en una nueva pestaña) y un nuevo minero de criptomonedas conocido como Adylkuzz (se abre en una nueva pestaña). Y pueden llegar a paralizar su negocio por una sencilla razón: no ha mantenido al día sus sistemas y su software.

Según el Informe n.º 2015 de Verizon sobre investigaciones de fugas de datos, el 99.9 % de los ataques aprovecharon vulnerabilidades que se habían identificado hacía más de un año, algunas de ellas incluso desde el año 1999. (Verizon no calculó esta cifra en el informe 2016 , pero señaló que la cifra no había variado con respecto al año anterior.)

Mitigación de riesgos: cómo puede ayudar Tanium

Tanium se ha utilizado en algunas de las redes más grandes del mundo para mitigar los riesgos derivados de varias vulnerabilidades recientes, entre las que se incluyen: , , WannaCry, , , Intel AMT,  y el keylogger del controlador de audio de HP. Para cada vulnerabilidad, ofrecimos a los clientes la libertad de elegir la mejor estrategia de mitigación para su empresa. La aplicación de parches era una opción, pero no la única disponible. Entre los logros más destacados se incluyen:

  • Detección en tiempo real de SMBv1-enabled equipos en varios clientes con entornos que cuentan con varios cientos de miles de terminales.
  • La desactivación de la función SMBv1 mediante modificaciones en el Registro se llevó a cabo en menos de cuatro minutos.
  • Detección en tiempo real de los sistemas que requieren los parches incluidos en el boletín MS17-010 (se abre en una nueva pestaña), incluso cuando no estén unidos a un dominio ni conectados a él.
  • Implementación de terabytes de parches agregados en cuestión de horas, sin que ello afecte a las redes (incluidos los equipos que no están unidos al dominio ni conectados a él).
  • Se ha enviado una orden de reinicio a todos los equipos que requieren reiniciarse (tras un cambio en el Registro o la aplicación de un parche).
  • Se han implementado acciones guardadas para detectar cualquier equipo nuevo que se conecte a la red y que requiera la desactivación de la función SMBv1 , la aplicación de un parche o un reinicio.
  • Informes en tiempo real sobre los sistemas corregidos y vulnerables, con evolución a lo largo del tiempo (a través de «Tendencias»).
  • La incidencia de la vulnerabilidad de Intel AMT supera el 50 % en toda nuestra base de clientes.
  • Tanium llevó a cabo la mitigación de la vulnerabilidad de Intel AMT (desactivación del servicio que permite el aprovechamiento de la vulnerabilidad) en menos de dos minutos en toda la empresa.
  • Se detectaron miles de dispositivos con el keylogger de HP en varias cuentas de clientes y se solucionó el problema en cuestión de minutos.

Teníamos dos grandes clientes que, en un principio, intentaron utilizar SCCM para aplicar los parches publicados por Microsoft en respuesta a WannaCry, pero tuvieron que interrumpir el proceso debido a graves problemas de congestión de la red provocados por SCCM. Estos clientes se pasaron a Tanium para la implementación de parches de y pudieron completar todo el proceso en toda la empresa en menos tiempo del que les había llevado crear los paquetes de SCCM.

Varios clientes detectaron activos vulnerables que no estaban integrados en el dominio en absoluto y que, por lo tanto, nunca habrían recibido las actualizaciones de seguridad adecuadas sin Tanium.

Casi todos los clientes estaban convencidos de que tenían la función SMBv1 desactivada en toda la empresa. Sin embargo, no teníamos ningún cliente con un valor de SMBv1, y la media entre todos los clientes era del 7 %, llegando a alcanzar picos superiores al 50 % de los terminales con la opción SMBv1 activada.

En muchos casos, los procesos heredados han supuesto un obstáculo para la mejora de las capacidades. En nuestra respuesta al ataque de WannaCry, observamos numerosos casos en los que el proceso duró ocho horas desde el momento en que se autorizó la mitigación de WannaCry hasta que Tanium aplicó las medidas correctivas para mitigar la amenaza. Desde que se apretó el gatillo hasta que se completó la acción transcurrieron menos de dos minutos.

Cinco medidas que sus organizaciones pueden adoptar ahora mismo

A la luz de lo que hemos aprendido de estos ejemplos recientes, a continuación le presentamos cinco medidas que su organización puede adoptar ahora mismo para estar mejor preparada y evitar verse afectada por el próximo ataque:

  1. Evalúe los obstáculos de su organización. ¿Trabajan en estrecha colaboración sus equipos de seguridad y de operaciones de TI? De no ser así, ¿cuáles son los puntos de fricción y cómo se pueden resolver?
  2. Conozca su entorno. Si su director de sistemas de información se acercara y le pidiera que le indicara cuántos dispositivos sin parches hay en su red, ¿podría responder con precisión? ¿Su respuesta se basará en la situación actual o en la información que recopiló hace una semana?
  3. Reflexione sobre la frecuencia con la que los procesos heredados están limitando el pleno aprovechamiento de las capacidades de la tecnología que utiliza.
  4. Simplifique su infraestructura. Una de las cuestiones que más se mencionaron en relación con el incidente de WannaCry fue la dificultad que supone actualizar los sistemas operativos en un entorno repleto de aplicaciones heredadas. Si está utilizando una aplicación fundamental para su negocio que le obliga a mantener en funcionamiento un sistema operativo obsoleto, es hora de replantearse sus relaciones con los proveedores.
  5. Según diversas estimaciones, hasta el 83 % de los ataques de ransomware se producen cuando un empleado hace clic en un enlace malicioso, abre un archivo adjunto infectado o visita una página web comprometida. Invertir en la formación continua de los empleados para protegerse contra los ataques de phishing de debería ser su primera línea de defensa.

¿Son sus prácticas de seguridad tan sólidas como podrían serlo? ¿Está su organización preparada para hacer frente al próximo ataque? Obtenga más información sobre cómo podemos ayudarle. Concierte hoy mismo su evaluación de la higiene de seguridad.

Más información:

¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().

Acerca del autor,: En su cargo de director de atención al cliente, Charles Ross dirige el equipo encargado de hacer realidad la visión de Tanium para nuestros clientes: una gestión de terminales escalable que les permita gestionar y proteger su negocio de forma fiable y rápida. Antes de incorporarse a Tanium, Charles trabajó en McAfee, donde desempeñó diversos puestos de responsabilidad en los ámbitos de la ingeniería de preventa, la arquitectura de soluciones y la seguridad informática. Antes de incorporarse a McAfee, Charles trabajó como consultor de riesgos empresariales en Deloitte & Touché. Charles es licenciado en Ciencias por la Universidad de Florida.