El mundo de la seguridad está en plena ebullición, y el origen de esta crisis no es únicamente la mortal variante Ómicron. Las empresas se apresuran a solucionar lo que se ha calificado como el peor ciberataque de la historia: la vulnerabilidad de día cero conocida como « » Log4j. Según han advertido funcionarios del Gobierno, podrían estar en peligro cientos de millones de ordenadores , y unos atacantes sofisticados, respaldados por Estados, se apresuran a aprovechar estas vulnerabilidades recién descubiertas.
La carrera por aplicar parches a los sistemas y eludir una oleada de atacantes no podría llegar en peor momento. El enorme cambio hacia el teletrabajo durante la pandemia de COVID-19 ha aumentado la complejidad de la gestión de parches de software y de la gestión de parches. Y en un tiempo récord.
«Ha resultado más difícil aplicar los parches debido a que la gente se encuentra en casa», afirma Nicole Ford, directora de seguridad de la información (CISO) de Carrier, el gigante del aire acondicionado con sede en Palm Beach Gardens, Florida. «En la actualidad, con el teletrabajo, se ha producido una proliferación de dispositivos que utilizan las personas». «Necesitamos una mayor visibilidad de estos dispositivos».
En el entorno de trabajo a distancia, los empleados colaboran a veces desde lugares muy alejados entre sí y acceden a las redes, los datos y los servicios de la empresa mediante diversos dispositivos, muchos de los cuales no son seguros. Como resultado, el 57 % de los profesionales de TI y seguridad afirmaron que el teletrabajo complica la aplicación de parches, según reveló una encuesta de « » realizada en octubre por Ivanti . En general, el 71 % considera que la aplicación de parches es un proceso excesivamente complejo y que requiere mucho tiempo.
Así pues, aunque el Gobierno está pidiendo a las organizaciones que se pongan manos a la obra con la aplicación de parches a toda velocidad, la realidad es que —debido a la COVID y a que muchos de nosotros trabajamos desde casa— numerosas empresas y organismos públicos están encontrando este proceso más difícil que nunca. La emergencia Log4j pone de manifiesto la necesidad fundamental de que las organizaciones no se limiten a aplicar parches, sino que cuenten con una estrategia de aplicación de parches bien definida, que incorpore tanto rutinas mensuales de protección como la gestión de tareas de emergencia.
Los problemas con los parches
La necesidad de una visión renovada de la aplicación de parches es relativamente reciente.
«La aplicación de parches se ha vuelto considerablemente más compleja debido a que la superficie de ataque ha aumentado enormemente», afirma Phil Reitinger, presidente y director ejecutivo de la Global Cyber Alliance, antiguo director de seguridad de la información (CISO) de Sony y alto cargo en materia de ciberseguridad durante la administración Obama. Afirma que el antiguo paradigma consistía en que todo el mundo acudía al trabajo, encendía su ordenador de sobremesa y permanecía dentro del perímetro de la empresa en todo momento. «Eso se ha esfumado por completo», afirma. «La pandemia aceleró el abandono de una red parametrizada en un orden de magnitud significativo».
«La aplicación de parches se ha vuelto mucho más compleja debido al enorme aumento de la superficie de ataque.»Phil Reitinger, presidente y director ejecutivo de Global Cyber Alliance
Serguei Sviatyi, administrador de la nube en IPS-Integrated Project Services, una empresa de consultoría tecnológica con sede en Pensilvania, está de acuerdo.
«El teletrabajo y el trabajo a distancia han supuesto un cambio real y significativo en la forma en que las empresas medianas y grandes deben plantearse y llevar a cabo la aplicación de parches», afirma. «Casi todos nuestros dispositivos finales y estaciones de trabajo se encuentran ahora fuera del ámbito de protección que ofrecían las redes corporativas . «Esto dificulta el acceso a los ordenadores y la comprobación de que se les hayan aplicado los parches».
La aplicación de parches suele considerarse una de las armas más sencillas y eficaces para luchar contra los ciberdelincuentes. Sin embargo, en la práctica puede resultar complicado. Los piratas informáticos se aprovechan al máximo de los sistemas de gestión de parches que funcionan con lentitud. Por otra parte, la automatización total de los sistemas de aplicación de parches puede parecer una buena idea en cuanto a rapidez, pero puede presentar inconvenientes.
En ocasiones, las actualizaciones que lanzan las empresas de software plantean problemas en sí mismas, y puede resultar difícil mitigar sus efectos secundarios negativos de manera eficaz mediante procesos totalmente automatizados. La solución intermedia más recomendable consiste en automatizar la mayoría de los aspectos de la aplicación mensual de parches, sin dejar de realizar pruebas exhaustivas antes de su implementación.
Cómo resolver la crisis de las actualizaciones
Para hacer frente a estos retos, las empresas pueden abordar la aplicación de parches de tres maneras, según Sviatyi. Cada una de ellas presenta aspectos positivos y negativos.
El primer enfoque: «Implemente su propia infraestructura y gestione la aplicación de parches», afirma Sviatyi. La ventaja es que no depende de terceros y dispone de un control total sobre la aplicación de parches. «El inconveniente es que se requiere una inversión considerable en infraestructuras y personal de ingeniería cualificado para llevar esto a buen término», afirma. «Esto resulta aún más complicado al tener que aplicar parches cada mes o incluso cada semana».
Una segunda opción: externalizar la tarea de aplicación de parches a proveedores externos. Esta estrategia resulta útil si la organización no dispone de recursos internos para configurar y mantener adecuadamente la infraestructura.
Pero eso también implica que la organización debe conceder importantes privilegios de acceso a un tercero. Esto puede dar lugar a filtraciones. «Como demuestran los incidentes relacionados con , SolarWinds , y Kaseya , esa dependencia y confianza podrían ser aprovechadas por los autores de amenazas con efectos devastadores», afirma Sviatyi.
El tercer enfoque, y el más eficaz: gestión automatizada de parches . Aplicar un parche a un programa es un proceso relativamente sencillo. Sin embargo, cuando su entorno incluye cientos o miles de dispositivos con software y sistemas físicos, virtuales y basados en la nube, necesita algo más eficaz.
[Véase también: Una carta a los directores generales sobre la vulnerabilidad Log4j ]
La gestión automatizada de parches permite a las empresas analizar sus entornos de red en busca de dispositivos y aplicaciones que carezcan de parches, descargar automáticamente los parches publicados por los proveedores de aplicaciones e implementar otros parches según diversas políticas de implementación. Estas capacidades permiten a las organizaciones aplicar parches rápidamente en entornos completos, reducir el plazo de aplicación de los parches y minimizar la exposición al riesgo.
Aunque estos procesos pueden realizarse manualmente, no es recomendable. Los procesos manuales no solo suponen una carga adicional para un equipo de TI ya de por sí sobrecargado , sino que, además, suelen generar errores y suponen un uso ineficaz del tiempo. De hecho, el 60 % de las empresas señalan que los equipos de seguridad informática dedican más tiempo a gestionar procesos manuales que a responder a las vulnerabilidades, lo que da lugar a un retraso insuperable en las respuestas.
La gestión de parches es fundamental para garantizar que no queden vulnerabilidades sin resolver. Si bien un entorno más seguro es la razón principal por la que muchas organizaciones adoptan una solución de gestión de parches, esta también ofrece otras ventajas. Entre ellos se incluyen:
- Mayor productividad. La aplicación de parches garantiza que su software funcione de forma correcta y eficiente.
- Cumplimiento normativo. La implementación de la gestión de parches suele ser un requisito de diversos marcos o normas de seguridad. Si una organización no aplica los parches necesarios, podría verse sometida a multas e es por parte de las autoridades reguladoras.
- Innovación acelerada. La aplicación de parches ofrece a las organizaciones una forma de implementar actualizaciones para mejorar las características y la funcionalidad de su propio software. En un entorno empresarial competitivo, cualquier ventaja en materia de innovación supone un valor añadido.
Se necesita un equipo
J. Michael Daniel, quien fue responsable de ciberseguridad del presidente Obama y actualmente es director ejecutivo de la Cyber Threat Alliance, afirma que las organizaciones deberían poner en marcha un plan de formación para conseguir que todo el mundo comprenda la importancia de la gestión de parches. «Se debería animar a los socios y a los empleados a actualizar sus dispositivos», afirma. «Los dispositivos deben actualizarse si se van a conectar al sistema».
«Muchas grandes empresas acaban, inevitablemente, escribiendo «código de enlace» para transferir datos entre diferentes proveedores de software.»Serguei Sviatyi, administrador de la nube, IPS (Integrated Project Services)
Al mismo tiempo, los responsables tecnológicos de las organizaciones deben evaluar cuál es el momento óptimo para aplicar los parches. «No puede llegar una notificación en pleno día, durante reuniones importantes con los clientes», afirma Daniel. «No puede interferir en las operaciones empresariales».
Según Sviatyi, para las organizaciones más pequeñas, el paso a un ciclo continuo de actualizaciones y parches se traducirá en una mayor protección general de los sistemas. «Por lo general, esas empresas no cuentan con personal ni recursos que puedan dedicar a la implementación de actualizaciones».
Las nuevas estrategias de aplicación de parches también pueden reducir la carga de trabajo de los proveedores que prestan apoyo a las pequeñas empresas de . Esto les permite limitarse a comprobar el estado de las actualizaciones, en lugar de tener que instalar parches y correcciones. En el caso de las grandes organizaciones, la situación puede ser diferente.
«Muchas grandes empresas acaban, inevitablemente, escribiendo “código de enlace” para transferir datos entre diferentes proveedores de software», afirma Sviatyi. Dicho código puede basarse en una API y en tareas programadas para evitar la duplicación de datos o incluso para llevar a cabo funciones críticas. Esto significa que las grandes empresas podrían mostrarse reticentes a actualizar sus sistemas.
Si las organizaciones utilizan un software en el que cada mes se detecta una vulnerabilidad, pero la solución solo se ofrece en una nueva versión, es posible que tengan que reescribir su código digital para garantizar la protección más actualizada.
«Las empresas acaban viéndose obligadas a seguir utilizando software inseguro debido a la falta de recursos disponibles para cambiar los procesos y las técnicas internas», afirma Sviatyi. «El teletrabajo ha complicado aún más la protección [del software]».
