Los gestores técnicos de cuentas de Tanium están colaborando estrechamente con nuestros clientes para hacer frente a las vulnerabilidades de los microprocesadores «Meltdown» y «Spectre». A continuación, le ofrecemos un resumen de algunas de las medidas que hemos puesto en marcha para mejorar la visibilidad, la aplicación de parches, la supervisión del rendimiento y la detección y respuesta.
(Imagen: Geralt / Pixabay)
Dos graves fallos de seguridad en el hardware de los procesadores modernos —denominados «Meltdown» y «Spectre»— han llevado a los profesionales de la ciberseguridad y de las tecnologías de la información a tomar medidas urgentes para reforzar la seguridad de los dispositivos. Los microprocesadores afectados se encuentran en prácticamente todos los ordenadores del mundo, desde ordenadores de sobremesa hasta servidores e incluso en infraestructuras alojadas en la nube. Dado que Meltdown y Spectre abarcan un conjunto complejo de vulnerabilidades de hardware, no es posible solucionarlas fácilmente con una única solución. Para resolverlos, es necesario un esfuerzo en varias fases en el que participen los equipos de TI y de seguridad, con el fin de llevar a cabo las siguientes acciones:
- Identificar y realizar un inventario del hardware y otros activos;
- Compruebe la compatibilidad;
- Aplique los parches al hardware, los sistemas operativos y las aplicaciones afectados; y
- Supervise el rendimiento del sistema.
Los gestores técnicos de cuentas (TAM) de Tanium colaboran con nuestros clientes para aplicar la plataforma de Tanium con el fin de hacer frente a estos retos. A continuación, le ofrecemos un resumen de algunas de las medidas que hemos puesto en marcha para mejorar la visibilidad, la gestión de parches, la supervisión del rendimiento y la detección y respuesta ante amenazas.
Visibilidad
Las organizaciones deberán recopilar una lista completa de todos los sistemas cuyo hardware se vea afectado por estas vulnerabilidades. Spectre afecta a los procesadores Intel, AMD y ARM, mientras que Meltdown solo afecta a los procesadores Intel. El contenido básico de Tanium permite recopilar información exhaustiva sobre el hardware, incluidos el fabricante de la CPU y los detalles del procesador, mediante preguntas sencillas como «Obtener detalles de la CPU». Esto puede ayudar a identificar los sistemas que utilizan hardware de Intel y que son especialmente vulnerables a Meltdown.
Tanium Asset amplía esta información mediante la recopilación y consolidación de docenas de atributos de los terminales —entre los que se incluyen el hardware, el sistema operativo, el software, los parches y los datos de los usuarios— en informes de inventario precisos y completos.
La necesidad de disponer de estos datos va mucho más allá de los simples datos de la CPU; muchas aplicaciones de terceros, como los navegadores web, se ven afectadas por Spectre y necesitarán actualizaciones en un futuro próximo. Debido a la magnitud del problema, las organizaciones deberán mantener con seguridad la visibilidad y el control sobre las versiones del software vulnerable instaladas en sus entornos durante meses.
Aplicación de parches
Para hacer frente a la vulnerabilidad «Meltdown», las organizaciones tendrán que gestionar una combinación de parches para el sistema operativo y el hardware proporcionados por los fabricantes de equipos originales. La página web de Meltdown y Spectre mantiene una lista de enlaces a las últimas notificaciones y actualizaciones de los fabricantes. Sin embargo, al igual que ocurre con cualquier proceso de aplicación de parches, puede resultar complicado implementar rápidamente los archivos a gran escala, verificar su instalación y adoptar medidas correctivas en caso de que se produzcan resultados inesperados.
La arquitectura de Tanium se diseñó para permitir que un único servidor de Tanium distribuya e instale de manera eficiente parches y archivos complementarios, incluso en cientos de miles de sistemas. Tanium Patch amplía estas funciones con potentes capacidades para la gestión y el despliegue de parches de Windows , entre las que se incluyen la programación, las listas negras y los flujos de trabajo personalizados. El contenido adicional de Tanium permite implementar parches y otros paquetes personalizables en plataformas Linux, OS X, Solaris y AIX. A lo largo del último año, los gestores técnicos de cuentas de Tanium han colaborado con los clientes a raíz de incidentes anteriores (como el de WannaCry) para ayudarles a mejorar la rapidez y la eficacia de sus programas de aplicación de parches.
Para complicar aún más estos retos, Microsoft ha señalado que algunos programas antivirus podrían tener problemas de compatibilidad con los parches de Windows, lo que provocaría pantallas azules y otros errores. Para reducir el riesgo de que una actualización automática deje los sistemas inoperativos, Microsoft ha exigido que el software antivirus establezca un valor específico del Registro (es decir, durante una actualización de compatibilidad o una corrección) para certificar que puede funcionar con el parche.
Los clientes de Tanium lo sabrán en cuestión de segundos, utilizando un sensor como «Existe el valor de la clave del Registro», para determinar qué sistemas tienen configurado este valor y cuáles no. En combinación con las preguntas y los sensores que proporcionan información sobre las aplicaciones instaladas, una organización puede realizar un seguimiento del estado de las actualizaciones antivirus y confirmar que se han producido los cambios necesarios en el registro.
Supervisión del rendimiento
Las medidas de mitigación aplicadas por estos parches pueden afectar negativamente al rendimiento del procesador en determinadas cargas de trabajo. El grado exacto de sobrecarga parece variar considerablemente en función de los tipos de software y hardware que se utilicen. Esta incertidumbre planteará retos a las organizaciones que gestionan sistemas en los que el rendimiento es fundamental, que cuentan con máquinas virtuales en hardware sobresuscrito o que deben elaborar presupuestos precisos para entornos alojados en la nube.
Tanium permite obtener métricas detalladas de rendimiento, incluido el consumo de CPU por proceso y el uso de las aplicaciones, en sistemas Windows, Linux, OS X y Unix. Al analizar las tendencias de estos datos, las organizaciones pueden visualizar y realizar un seguimiento con facilidad del rendimiento (así como de cualquier otro conjunto de datos o métrica de los terminales) a lo largo del tiempo. Hacerlo antes de aplicar los parches puede ayudar a establecer una referencia de la utilización actual de los recursos en cada grupo de sistemas afectados. Tras la aplicación de los parches, esto puede ayudar a evaluar el alcance de los cambios en el comportamiento del procesador y a identificar rápidamente los sistemas que presentan un rendimiento deficiente o que requieren modificaciones.
Detección y respuesta
Según los investigadores, las técnicas que aprovechan las vulnerabilidades Spectre y Meltdown pueden resultar difíciles de distinguir del comportamiento normal de las aplicaciones. Las organizaciones no deben esperar que sus herramientas de EDR o antimalware detecten este tipo de ataques. No obstante, para aprovechar estas vulnerabilidades, un atacante debe, en primer lugar, conseguir la capacidad de ejecutar código malicioso en un terminal objetivo. Debido a esta condición previa, los equipos tienen la oportunidad de mitigar los ataques antes de que estos lancen cargas útiles posteriores a la intrusión utilizando Spectre o Meltdown. Las organizaciones deben seguir centrándose en eliminar las tácticas del «mínimo común denominador» que permiten a los atacantes obtener acceso inicial, establecer puntos de apoyo y desplazarse por el entorno al que se dirigen.
Tanium Threat Response ofrece una solución completa para la detección y la investigación de actividades maliciosas, incluidas las fases de las técnicas de los atacantes clasificadas según el marco MITRE ATT&CK. El equipo de Detección y Respuesta en Terminales (EDR) de Tanium proporciona a los clientes un flujo de «Signals» actualizado periódicamente, que permite generar alertas en tiempo real y llevar a cabo flujos de trabajo de «Enterprise Hunting» para ayudar a identificar anomalías. Threat Response también ofrece una amplia compatibilidad con fuentes de indicadores de amenazas (IOC) y proveedores de información sobre reputación de terceros.
La notable labor de investigación que ha permitido descubrir Meltdown y Spectre, junto con la enorme variedad de dispositivos afectados, justifican con creces su calificación como vulnerabilidades «históricas». No obstante, los principios básicos de las operaciones de seguridad necesarios para responder y mitigar los riesgos —desde la identificación de los activos afectados hasta la aplicación de medidas correctivas y el seguimiento de los resultados— siguen siendo los mismos. Anteriormente, hemos descrito varios métodos y componentes de la plataforma Tanium que ya están ayudando a nuestros clientes a reaccionar ante esta revelación repentina. A medida que esta noticia vaya desarrollándose, continuaremos con nuestra labor y le mantendremos informado al respecto.
Únase a la conversación en la comunidad de Tanium para obtener más información sobre cómo podemos ayudarle a protegerse contra Meltdown y Spectre.
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
