Las organizaciones necesitan una visión más amplia de la seguridad para protegerse frente a las amenazas actuales.
En una entrada anterior del blog, escribí sobre el delicado equilibrio al que se enfrentan los directores de sistemas de información (CIO) a la hora de proteger la superficie de ataque de las TI y, al mismo tiempo, impulsar la transformación digital.
También he escrito sobre las estrategias de defensa que pueden utilizar las organizaciones del sector de la « » para proteger su superficie de ataque.
En esta última entrada del blog de la serie, explico cómo los equipos de seguridad pueden utilizar las cadenas de ataque cibernético para reforzar la superficie de ataque de su red. Los resultados deseados se centran en identificar, reducir o eliminar los puntos débiles de la red mediante el refuerzo de las superficies de ataque a través de datos o de los efectos combinados de múltiples capacidades cibernéticas.
Este enfoque tiene por objeto contrarrestar las cadenas de ataque cibernético que utilizan los adversarios. Recordemos que una «cadena de ataque» es una secuencia de actividades interrelacionadas necesarias para alcanzar un resultado deseado. El uso de la cadena de ataque como herramienta de planificación defensiva implica analizar cada eslabón de la cadena de ataque cibernético para diseñar estrategias de protección que rompan dicho eslabón.
Los defensores de la red deben actuar de forma impecable cada minuto de cada día, mientras que los actores malintencionados solo necesitan encontrar un vector de ataque para llevar a cabo con éxito uno o varios eslabones de la cadena de ataque cibernético y comprometer así una red. La aplicación defensiva de las cadenas de ataque cibernético constituye un enfoque para identificar las carencias en las capacidades o los puntos ciegos de su ecosistema de ciberseguridad.
El objetivo de esta publicación es aplicar los conceptos de la cadena de ataque cibernético para ayudar a los directores de sistemas de información (CIO) y a los directores de seguridad de la información (CISO) a mejorar su nivel de ciberseguridad y, en última instancia, a aumentar su preparación en materia de ciberseguridad. Las cadenas de ataque resultan útiles para desglosar problemas complejos en problemas más pequeños y más manejables.
Al centrarse en cada eslabón de la cadena de ataque cibernético, los responsables de la seguridad de las redes pueden lograr resultados sinérgicos que mejoren la eficacia de las herramientas de seguridad, así como los niveles generales de preparación y protección de sus redes. Por el contrario, romper un eslabón de la cadena de ataque bloquea un ataque. Este análisis se centrará en las estrategias para bloquear cada eslabón de la cadena de ataque cibernético de Lockheed Martin.
Defensa frente al reconocimiento
El reconocimiento consiste en obtener información sobre un entorno objetivo. Desde el punto de vista físico, esto implica identificar elementos clave del terreno, como colinas que permiten la visibilidad o valles que ocultan los movimientos. Desde la perspectiva de los terminales, la red presenta un ciberterreno clave en el que los adversarios pueden obtener ventaja. Dos categorías de ciberterreno clave serían:
- Servicios que publican información sobre aplicaciones
- Interfaces de programación de aplicaciones (API) que permiten el acceso remoto
Windows Management Instrumentation (WMI) es un ejemplo de terreno cibernético clave. La defensa frente a las actividades de reconocimiento, desde la perspectiva de la cadena de ataque cibernético, implicaría la detección de nuevas suscripciones a WMI. Otro ejemplo de ámbito cibernético clave serían servicios como «sendmail» o la información MIB de SNMP.
Denegar el acceso a la información de estas aplicaciones ha sido una práctica recomendada desde hace muchos años. La defensa frente al reconocimiento consiste en identificar los puntos clave del ciberterreno y, a continuación, emplear técnicas de detección, denegación o defensa para obstaculizar o detener la actividad de reconocimiento del adversario. El resultado deseado es una combinación de denegación de información y detección de actividades de reconocimiento.
Defensa frente a la instrumentalización
La fase de «armamento» dentro de la cadena de ataque cibernético se basa en la información obtenida en la fase de reconocimiento y está limitada por la tercera fase de la cadena de ataque cibernético (la ejecución).
La «weaponización» puede consistir en la secuencia de acciones destinadas a aprovechar una vulnerabilidad, en el desarrollo de artefactos de software para corromper una cadena de suministro de software o en la introducción de software malicioso en la red «azul». Aunque el acto o proceso de «armamento» suele tener lugar en redes rojas o grises, la actividad se adapta a la red azul a la que va dirigida.
La defensa frente a la instrumentalización de datos como arma se centra en la gestión de la superficie de ataque, concretamente en reducirla y reforzarla. En otras palabras, esta fase de la cadena de ataque cibernético consiste en privar a los adversarios de cualquier oportunidad.
La eliminación de las vulnerabilidades conocidas del panorama general aumentará el coste para el adversario, al tiempo que reducirá el riesgo para la red azul. Casi el 60 % de las filtraciones de datos que se han producido aprovechan vulnerabilidades en los sistemas operativos y las aplicaciones que las organizaciones de TI conocían, pero a las que no aplicaron los parches a tiempo.
Una de las mejores formas de defenderse contra la fase de «weaponization» de la cadena de ataque cibernético consiste en llevar a cabo operaciones de aplicación de parches eficaces y eficientes que permitan alcanzar un alto nivel de preparación cibernética mediante la higiene cibernética.
Defensa contra el «Delivery»
La reciente vulnerabilidad Log4j ilustra cómo se puede llevar a cabo la ejecución remota de código (RCE) utilizando una interfaz web para acceder a una vulnerabilidad. Los actores malintencionados disponen de otras herramientas que pueden utilizar para distribuir código malicioso o llevar a cabo acciones maliciosas.
Los cortafuegos y la segmentación de la red pueden contribuir a canalizar a los atacantes, lo que ayuda a centrar los esfuerzos de los defensores de la red a la hora de emplear herramientas para bloquear y detectar las acciones de transmisión de datos en tránsito. La protección frente a la difusión de código malicioso es una necesidad imperiosa que requiere la participación activa de los usuarios finales, los especialistas en seguridad informática y los profesionales de la seguridad física.
Desde memorias USB infectadas hasta solicitudes de navegador malformadas, pasando por la visita involuntaria a un sitio web comprometido, la defensa contra la propagación de código malicioso es un trabajo en equipo que implica la formación de los usuarios, prácticas de seguridad física basadas en el conocimiento de las amenazas y la gestión del riesgo y la resiliencia.
La lucha contra la explotación
La defensa contra la explotación se centra en identificar el software malicioso, impedir que se ejecute y/o subsanar las vulnerabilidades para limitar el impacto que dicho software puede tener en el sistema. Estos conceptos se resumen en servicios de reputación, controles de aplicaciones e higiene cibernética.
La ciberhigiene (aplicación de parches, mantenimiento del software actualizado y configuración adecuada del mismo) constituye el mejor enfoque para prevenir los « » (lo que se sabe que se sabe) que forman parte del arsenal del atacante. Los directores de sistemas de información (CIO) y los directores de seguridad de la información (CISO) pueden gestionar las prácticas de ciberhigiene en su organización mediante el seguimiento de los indicadores adecuados, como el tiempo medio de aplicación de parches o la duración del ciclo de aplicación de parches.
La visibilidad y el control de los dispositivos finales a gran escala y con rapidez son fundamentales para obtener datos puntuales, precisos y veraces que caractericen la higiene cibernética. El uso de servicios de reputación y de software antivirus complementa una ciberhigiene eficaz. Igualmente importante es la capacidad de identificar desviaciones respecto a los comportamientos normales, incidentes de riesgo e indicadores de vulnerabilidad.
Mientras que lo primero (la ciberhigiene) tiene que ver con la madurez y la optimización del rendimiento, lo segundo (la búsqueda de hash y la detección de IOC) implica agilidad y adaptabilidad.
Medidas de protección contra la instalación
Los equipos de seguridad necesitan disponer de visibilidad en tiempo real sobre las instalaciones de software y los cambios de configuración en todos los terminales, independientemente de su ubicación. La defensa frente a la fase de instalación dentro de la cadena de ataque cibernético se centra en impedir la ejecución remota de código (RCE).
Detener todos los ataques de ejecución remota de código (RCE) puede ser muy similar a detener toda la delincuencia. La gama de medidas disponibles para prevenir o dificultar la detección de ataques de RCE abarca todo el espectro de herramientas antivirus y de detección de malware que identifican las firmas de software malicioso y alertan sobre anomalías que indican un riesgo de compromiso.
A la hora de abordar la fase de instalación de los ataques de la «cadena de eliminación», se debe prestar especial atención a los «desconocidos desconocidos» ( ), que abarcan el malware desconocido (incluido el malware potencialmente polimórfico), los ataques mediante archivos desconocidos o los «puntos ciegos cibernéticos» (aquello que no sabemos que desconocemos).
Un aspecto que los directores de sistemas de información (CIO) y los responsables de seguridad de la información (CISO) pueden tener en cuenta es la elaboración de una lista de software autorizado que aproveche las herramientas nativas del sistema operativo, como AppLocker de Microsoft. Además, los servicios de reputación pueden utilizarse para detectar de forma exhaustiva el software malicioso.
Al combinar la tecnología con el talento y las técnicas, los directores de sistemas de información (CIO) y los directores de seguridad de la información (CISO) pueden aprovechar los enfoques de desarrollo en espiral para configurar las capacidades de ciberseguridad con el fin de detectar, alertar o contrarrestar anomalías que indiquen incidentes de riesgo o que caractericen un compromiso de seguridad. El aprovechamiento de fuentes de inteligencia comerciales o de código abierto para probar, personalizar y ajustar las alertas también aportará un elemento de adaptabilidad y agilidad a los esfuerzos de la organización por defenderse contra la fase de instalación de la cadena de ataque cibernético.
Cómo defenderse frente a C2 Communications
Los equipos de seguridad disponen de diversas formas de detectar y bloquear las comunicaciones de mando y control. Los cortafuegos y las herramientas de supervisión de redes pueden detectar actividades sospechosas en la red, como comunicaciones con un servidor DNS desconocido o un host remoto inusual. Los equipos de seguridad pueden bloquear muchas de estas comunicaciones de forma proactiva mediante la implantación de controles de «Zero Trust» que bloquean, por defecto, todas las comunicaciones no autorizadas.
Defensa frente a acciones dirigidas contra objetivos
La defensa frente a las acciones dirigidas contra los objetivos se centra en limitar el acceso y en impedir que un agente malintencionado logre los resultados que persigue. En términos sencillos, el objetivo es cerrar todas las puertas y hacer que el atacante tenga que esforzarse mucho para lograr cada pequeño avance.
Se da por sentado que, cuanto más trabajo realice un actor, mayores serán las posibilidades de que se le descubra. La notificación de actividades anómalas puede suponer un reto si las alertas no se basan en información sobre amenazas ni se fundamentan en datos de inteligencia. Le recomendamos que utilice , MITRE ATT&CK o , así como la iniciativa «Shields Up» de la CISA , como fuentes de información para orientar las reuniones del equipo de seguridad en la elaboración de alertas pertinentes. La seguridad de los terminales ofrece una defensa final y fundamental frente a la cadena de ataque.
Para aumentar la eficacia, es recomendable asegurarse de que todas las herramientas de seguridad que proporcionan estas defensas funcionen en perfecta armonía. Las herramientas que se complementan entre sí pueden resultar fundamentales para contrarrestar uno o varios eslabones de la cadena de ataque cibernético. Los datos son un factor clave para obtener una ventaja a la hora de tomar decisiones; una plataforma preparada para gestionar datos que complemente otras herramientas y que, al mismo tiempo, permita la visibilidad y el control a gran escala con rapidez, aportará conocimiento, seguridad y confianza.
La plataforma Tanium para la defensa frente a ataques de la cadena de ataque
En Tanium, ofrecemos una plataforma única de seguridad para terminales basada en el « » ( ) que proporciona datos completos, precisos y en tiempo real sobre los terminales, independientemente de su escala y complejidad. Nuestra plataforma, disponible como un servicio en la nube rápido, flexible y escalable, incluye módulos para:
- para la detección y el inventario de activos, que ayuda a los equipos de TI a localizar y realizar un seguimiento de los dispositivos finales en todas las ubicaciones
- Gestión de riesgos y cumplimiento normativo, incluida la gestión de parches de
- de detección de amenazas, que incluye herramientas para investigar y subsanar las amenazas antes de que afecten a las operaciones
- Gestión de clientes, que incluye controles para gestionar y resolver problemas en los dispositivos finales en tiempo real
- Supervisión de datos sensibles, incluyendo la auditoría y la automatización de los controles de acceso
Para descubrir cómo la plataforma Tanium puede ayudar a su organización a defenderse de los ataques de tipo «kill chain», visite o solicite una demostración en.
Póngase al día con toda esta serie para obtener más información sobre cómo proteger la superficie de ataque informática de su organización aquí:
