Cuando los atacantes se hacen con el control de un terminal, la alegría no dura mucho. Al igual que en una partida de ajedrez, los piratas informáticos se posicionan para su siguiente jugada: comprometer otros terminales que puedan utilizar para adentrarse aún más en los sistemas de una empresa y acceder a las personas y los datos que, en última instancia, buscan.
Después de que el proveedor internacional de transporte marítimo y logística Maersk sufriera el compromiso de un único terminal de los 2017, los atacantes lograron, finalmente, comprometer todos los terminales de la empresa. A continuación, los ciberdelincuentes lanzaron un ataque de ransomware para bloquear el acceso a la mayoría de los terminales de Maersk. Esto le supuso a Maersk unos 300 millones de dólares, dos semanas de interrupción de las operaciones y la obligó a reinstalar 4,000 servidores.
Esto parece insignificante si se compara con el reciente ataque informático a SolarWinds, del que se ha hablado en , y que sigue causando estragos en las empresas y la administración pública estadounidenses. El denominado ataque a la «cadena de suministro» de software se basó en que decenas de miles de organizaciones actualizaran el mismo software de terceros que utilizan para la gestión de las tecnologías de la información.
Unos piratas informáticos, que se cree que pertenecen a los servicios de inteligencia rusos, atacaron a SolarWinds y utilizaron malware para robar y falsificar credenciales digitales que les permitieron, tanto a ellos como a otros ciberdelincuentes, desplazarse de un terminal a otro y acceder a unas 18,000 entidades que descargaron el software infectado.
«. Con las credenciales adecuadas, los atacantes pueden acceder a cualquier lugar que deseen.»Ben Rothke, director sénior de seguridad de la información en Tapad, proveedor de servicios de publicidad y distribución de contenidos
Entre las víctimas se encuentran las principales empresas del sector tecnológico, del ámbito sanitario y del Gobierno federal. El coste estimado tanto para las empresas estadounidenses como para el Gobierno: 100 000 millones de dólares. Dado lo mucho que está en juego, detectar y bloquear este tipo de «movimiento lateral» en una red que ha sufrido una brecha sigue siendo fundamental para la defensa de cualquier empresa.
«Los atacantes siempre buscarán credenciales, ya que, con las credenciales adecuadas, pueden acceder a cualquier lugar al que deseen», afirma Ben Rothke, director sénior de seguridad de la información en Tapad, proveedor de servicios de publicidad y distribución de contenidos.
Para ello, los piratas informáticos suelen obtener las credenciales de acceso de los usuarios mediante el registro de pulsaciones de teclas u otras herramientas especializadas. «Imagínese poder crear un billete de avión que le lleve a cualquier lugar al que desee ir», afirma Rothke. «Eso es lo que hacen los atacantes con las credenciales, solo que ellos consiguen acceder a redes, aplicaciones o, tal vez, a la consola en la nube que utiliza un administrador».
[Lea también: Cómo ayuda Tanium a protegerse contra el movimiento lateral en los ciberataques]
Las credenciales no son lo único que buscan los atacantes. Utilizan herramientas para conectarse a otros servidores de la misma red y a los dispositivos finales. Cualquier dispositivo que utilice software obsoleto también constituye un objetivo prioritario. Afortunadamente, hay varias medidas que puede tomar para evitar el movimiento lateral o para detectarlo y detenerlo cuando se produzca.
Aumente el coste del éxito
«La clave para proteger su entorno informático consiste en dificultar al máximo que un atacante se desplace lateralmente», afirma Chris Blow, director de seguridad ofensiva de Liberty Mutual, una empresa incluida en la lista Fortune 100 . Su equipo realiza simulaciones periódicas en los dispositivos finales para comprobar si es posible el movimiento lateral. «Siempre nos centramos en garantizar la protección de nuestros dispositivos finales», afirma Blow.
«La mejor defensa consiste en alterar la rentabilidad de un ataque», afirma Fernando Montenegro, analista principal del equipo de seguridad empresarial de 451 Research, que forma parte de S&P Global Market Intelligence. «La idea es aumentar el coste que supone para el atacante lograr su objetivo», afirma. «Lo que se pretende es diseñar medidas de seguridad que compliquen enormemente la tarea a un atacante».
Para ello, los expertos en seguridad recomiendan lo siguiente:
Mantenga una buena higiene de los dispositivos finales. Las prácticas eficaces comienzan por lo esencial, lo que incluye una gestión sólida de los activos, las configuraciones y los parches. «Una buena higiene por sí sola no detendrá a adversarios decididos, pero les complicará mucho más la tarea», afirma Montenegro.
Gestionar identidades. Es fundamental saber quién dispone de las credenciales necesarias para acceder a aplicaciones específicas y a recursos en red. El principio del «privilegio mínimo» reduce la superficie de ataque, al conceder a los usuarios acceso únicamente a los recursos que necesitan de forma imprescindible para desempeñar su trabajo. También es fundamental limitar el número de cuentas de administrador. «Su identidad es el nuevo cortafuegos, y debe gestionar las identidades de forma eficaz, especialmente las cuentas con privilegios», afirma Blow.
«: Su identidad es el nuevo cortafuegos.»Chris Blow, director de seguridad ofensiva de Liberty Mutual
Implemente un sistema de autenticación robusto. La autenticación garantiza que solo las personas autorizadas puedan acceder a las aplicaciones adecuadas. «Aunque no es infalible, exigir la autenticación multifactorial puede resultar eficaz para frenar el movimiento lateral», afirma Rothke. En caso de que un pirata informático consiga unas credenciales mediante un ataque de phishing de tipo « », una sesión de usuario o un volcado de memoria (cuando se realiza una copia de seguridad de la memoria durante un fallo de la aplicación), las técnicas de autenticación reforzada pueden dificultar que los ciberdelincuentes utilicen dichas credenciales para desplazarse lateralmente hacia otros recursos de la red.
Segmente el tráfico de red. Para reforzar aún más la seguridad, divida las redes en zonas diferenciadas. Por ejemplo, todo el equipamiento de oficina y los dispositivos asociados pueden integrarse en una única red, y determinados grupos de usuarios pueden dividirse en sus propios segmentos de red. Según Rothke, aplicar las medidas de seguridad adecuadas a cada zona puede limitar considerablemente el alcance de los movimientos laterales de un atacante.
Desarrolle una arquitectura de confianza cero. Gracias a unos controles de identidad rigurosos, a las técnicas de autenticación y a la segmentación de la red, una organización ya se encuentra en el buen camino para desarrollar una arquitectura de confianza cero. «Una buena arquitectura de confianza cero contribuirá en gran medida a impedir que los atacantes se desplacen por el sistema», afirma Blow. «El problema es que la mayoría de las empresas no tienen el modelo de confianza cero tan bien implantado como deberían».
Detectar anomalías. Los atacantes harán todo lo que esté en su mano para evitar ser detectados. Con credenciales falsas, pueden hacerse pasar por usuarios legítimos. Los responsables de seguridad pueden aprender a detectar actividades inusuales en las redes y las aplicaciones, pero lograrlo resulta mucho más complicado de lo que parece. «Es muy difícil porque los atacantes harán todo lo que esté en su mano para pasar desapercibidos», afirma Rothke.
Adopte una solución de detección y respuesta en los termin :. Cuando las empresas detecten cualquier indicio de que los terminales se han visto comprometidos, se deberán recopilar todos los datos pertinentes y enviarlos a los equipos de seguridad para su análisis y respuesta. Detener los ataques en el momento en que se producen puede limitar las filtraciones de datos y los daños en los sistemas, así como frenar de raíz el movimiento lateral. «En los últimos dos años, la detección y respuesta en terminales se ha vuelto mucho más eficaz de lo que era antes», afirma Blow. «Las organizaciones que cuenten con sistemas eficaces dificultarán enormemente la labor de los atacantes y, en definitiva, ese es el objetivo de estas capas de defensa».
Con estas prácticas en marcha, una organización puede garantizar que la empresa siga siendo un entorno hostil para los piratas informáticos que buscan puntos débiles que puedan aprovechar para abrirse paso a través de los sistemas de la empresa.
