Las brechas de seguridad son inevitables si su organización cuenta con dispositivos finales conectados a la red pública de Internet. Los responsables de seguridad de la información (CISO) recurren cada vez más a soluciones y estrategias que reducen el tiempo medio de detección (MTTD) y el tiempo medio de reparación (MTTR). En la actualidad, los equipos de respuesta ante incidentes y de análisis forense reconocen la necesidad de colaborar de forma más eficaz para garantizar que los terminales, tanto los locales como los remotos, estén correctamente configurados, controlados y protegidos.
Un nuevo estudio de la analista Alissa Knight, titulado «Isolated Castles: Incident Response in the New Work-From-Home Economy» (Castillos aislados: respuesta ante incidentes en la nueva economía del teletrabajo), recomienda encarecidamente que los CISO se centren en encontrar las soluciones de gestión de terminales mejor integradas y una plataforma de seguridad en la que se puedan implementar con rapidez y a gran escala la gestión de activos y parches, la búsqueda de artefactos, el aislamiento de activos y la recopilación de datos forenses.
Repercusiones de la pandemia
El año pasado, cuando el mundo se vio obligado a quedarse en casa durante la pandemia, los ciberdelincuentes descubrieron rápidamente nuevas brechas de seguridad que podían aprovechar. Muchos empleados que trabajaban a distancia carecían desde el principio tanto de las licencias como del ancho de banda necesarios para utilizar redes VPN y, en consecuencia, no tuvieron más remedio que recurrir a servidores del Protocolo de Escritorio Remoto (RDP). Otros problemas de seguridad relacionados con el teletrabajo (WFH) son, entre otros:
- Contraseñas predeterminadas de administrador en routers domésticos y puntos de acceso Wi-Fi
- Ausencia de un sistema de detección de intrusiones en la red (IDS)
- Ausencia de un filtro web para detectar descargas no deseadas
- Ausencia de agentes de detección y respuesta en los puntos finales (EDR) de
- Uso generalizado de ordenadores portátiles personales poco seguros
La respuesta ante incidentes en un mundo en el que se trabaja desde casa
Para los equipos forenses, es fundamental disponer de datos de alta calidad y en tiempo real. Tras un incidente, ¿cómo se transfieren los datos de un disco duro 1TB situado en la oficina en casa de un usuario remoto a una unidad de almacenamiento en la nube? Subir la imagen de forma remota a través de una conexión DSL o por cable llevaría demasiado tiempo.
Una opción es apagar el ordenador portátil y enviarlo a un perito forense. Sin embargo, esto puede generar problemas adicionales, entre los que se incluyen:
- Pérdida de datos forenses potencialmente importantes almacenados en la memoria volátil tras el apagado del dispositivo
- La falta de información sobre si la red doméstica también se había visto comprometida
- El teletrabajador se vería obligado a utilizar un dispositivo personal que podría no ser seguro o a esperar a que se le sustituyera, lo que afectaría a su productividad
Según Knight Ink, los incidentes relacionados con las cargas de trabajo en la nube y las unidades de almacenamiento pueden acarrear complicaciones adicionales. Debido a las políticas de algunos proveedores de servicios en la nube (CSP) de menor tamaño y a sus entornos multitenant, es posible que a los equipos forenses ni siquiera se les permita acceder a los registros, las alertas y otros datos clave. En función del tipo de servidor en la nube que se utilice, un proveedor de servicios en la nube (CSP) también puede impedir que el equipo forense recupere las unidades que deben analizarse.
Dos consejos para mejorar la respuesta ante incidentes
Para mejorar la respuesta ante incidentes en el contexto actual del teletrabajo y la prioridad de la nube, Knight Ink afirma que los CISO deberían adoptar dos medidas clave:
- Asegúrese de conocer la cantidad de datos que su proveedor de servicios en la nube (CSP) le permite recopilar en caso de que se produzca un incidente de seguridad grave. Además, asegúrese de comprender todos los detalles del proceso para hacerlo. (Estas prácticas también deben tenerse en cuenta a la hora de evaluar y seleccionar un proveedor de servicios en la nube.)
- A la hora de seleccionar una plataforma de gestión y seguridad de terminales, opte por una que ofrezca las siguientes características:
- de gestión de activos: No se puede proteger lo que no se ve. Las funciones de gestión de activos también pueden combinarse con la gestión de parches para reducir aún más los riesgos de sus terminales.
- Búsqueda de artefactos: Es necesario disponer de la capacidad de buscar artefactos maliciosos en los activos, ya sea en las instalaciones de la empresa, en los domicilios de los empleados o en la nube. Esto resulta fundamental para determinar hasta dónde se ha extendido el movimiento lateral de un ataque.
- Recopilación de datos forenses: Debe incluir los registros de Syslog en sistemas basados en *nix, el registro de eventos de Windows y los dispositivos de red, como routers y conmutadores.
- de aislamiento de activos: una vez que un activo informático se ve comprometido, es necesario aislarlo o microsegmentarlo para evitar que se produzca un movimiento lateral adicional. En resumen, si dispone de activos empresariales conectados a Internet, sufrirá una intrusión. En la era actual, en la que se trabaja desde cualquier lugar, toda organización debe contar con un plan de respuesta ante incidentes bien definido y un conjunto de guías operativas para estar preparada ante cualquier eventualidad. Al fin y al cabo, lo que importa es proteger los dispositivos finales, y ha llegado el momento de estar mejor preparados para lo imprevisto, ya que este puede producirse en cualquier momento.
Tanium ofrece los módulos de detección de activos e inventario (se abre en una nueva pestaña), gestión de parches (se abre en una nueva pestaña) y respuesta a incidentes (se abre en una nueva pestaña) que dan respuesta a todos estos requisitos. La plataforma única de Tanium le permite tanto responder con rapidez a los incidentes como llevar a cabo análisis forenses exhaustivos con rapidez y a gran escala, independientemente de dónde se encuentren sus activos.
