Las violaciones son inevitables si su organización tiene dispositivos de endpoint conectados a Internet de cara al público. Los directores de seguridad de la información (Chief Information Security Officers, CISO) recurren cada vez más a soluciones y estrategias que reducen el tiempo medio de detección (Mean Time To Detect, MTTD) y el tiempo medio de reparación (Mean Time To Repair, MTTR). Los equipos de respuesta a incidentes y forenses reconocen hoy la necesidad de colaborar de manera más efectiva para garantizar que los puntos finales locales y remotos estén configurados, controlados y protegidos.
Un nuevo estudio de la analista Alissa Knight, titulado Isolated Castles: Incident Response in the New Work-From-Home Economy, recomienda enfáticamente que los CISO se enfoquen en encontrar la plataforma de seguridad y la solución de gestión de endpoint mejor integrada donde se pueda implementar la gestión de dispositivos y parches, la búsqueda de artefactos, el aislamiento de dispositivos y la recopilación de datos forenses a velocidad y escala.
Impacto de la pandemia
El año pasado, cuando el mundo se vio obligado a quedarse en casa durante la pandemia, los actores de amenazas descubrieron rápidamente nuevas brechas de seguridad para explotar. Muchos trabajadores remotos inmediatamente carecían de la licencia y el ancho de banda para admitir VPN y, por lo tanto, no tenían más remedio que confiar en el Protocolo de Escritorio Remoto (Remote Desktop Protocol, RDP). Otros problemas de seguridad del trabajo desde casa (work-from-home, WWFH) incluyen:
- Contraseñas de administrador predeterminadas en enrutadores domésticos y puntos de acceso Wi-Fi
- Falta de detección de intrusos en la red (IDS)
- Ausencia de filtrado web para verificar si hay descargas de drive-by
- Falta de agentes de detección y respuesta de endpoint (EDR)
- Uso generalizado de computadoras portátiles personales inseguras
Respuesta a incidentes en un mundo de WFH
Para los equipos forenses, los datos de alta calidad y en tiempo real son vitales. Después de un incidente, ¿cómo transfiere la información de un disco duro 1TB en la oficina central de un usuario remoto a una unidad de almacenamiento basada en la nube? Cargar la imagen de forma remota a través de una conexión DSL o de cable llevaría demasiado tiempo.
Una opción es apagar la computadora portátil y enviarla a un examinador forense. Sin embargo, esto puede crear problemas adicionales, incluidos los siguientes:
- Pérdida de datos forenses potencialmente importantes en la memoria volátil después de apagar
- Falta de conocimiento sobre si la red doméstica también se vio comprometida
- El trabajador doméstico se vería obligado a confiar en un dispositivo personal potencialmente inseguro o esperar un reemplazo que afecte la productividad
Incidentes que involucran cargas de trabajo y unidades en la nube pueden conducir a complicaciones adicionales, según Knight Ink. Debido a las políticas de algunos proveedores de servicio en la nube (Cloud Service Providers, CSP) más pequeños y sus entornos multiusuario, es posible que ni siquiera se permita al equipo forense acceder a registros, alertas y otros datos clave. Según el tipo de servidor en la nube en uso, un CSP también puede prohibir que el equipo forense adquiera las unidades que deben analizarse.
Dos consejos para una mejor respuesta a incidentes
Para mejorar la respuesta a incidentes en el entorno actual de WFH y la nube, Knight Ink dice que los CISO deben tomar dos medidas claves:
- Asegúrese de entender cuántos datos le permite adquirir su CSP en caso de un incidente de seguridad importante. Además, asegúrese de entender todos los detalles del proceso para hacerlo. (Estas prácticas también deben tenerse en cuenta al evaluar y seleccionar un CSP).
- Al seleccionar una plataforma de seguridad y gestión de endpoint, favorezca una que ofrezca las siguientes funciones:
- Gestión de activos: No puede proteger lo que no puede ver. Las capacidades de Asset también se pueden combinar con la gestión de parches para reducir aún más los riesgos de sus endpoint.
- Búsqueda de artefactos: Necesita la capacidad de buscar artefactos maliciosos en los activos, ya sean locales, en los hogares de los empleados o en la nube. Eso es crucial para detectar cuánto se ha extendido el movimiento lateral de un ataque.
- Recopilación de datos forenses: Esto debe incluir registros de Syslog en *nix sistemas basados en , Registro de eventos de Windows y dispositivos de red como enrutadores e conmutadores.
- Aislamiento de activos: Una vez que un activo de TI se ve comprometido, debe aislarse o microsegmentarse para evitar un mayor movimiento lateral. En resumen, si tiene activos empresariales conectados a Internet, se verá vulnerado. Cada organización en la era actual del trabajo desde cualquier lugar debe tener un plan de respuesta a incidentes establecido y un conjunto de manuales para estar lista para lo que suceda. Al final, proteger el endpoint es lo que importa y es momento de estar mejor preparado para lo inesperado porque lo inesperado puede ocurrir en cualquier momento.
Tanium ofrece los módulos Descubrimiento e inventario de activos (se abre en una nueva pestaña), Gestión de parches (se abre en una nueva pestaña) y Respuesta a incidentes (se abre en una nueva pestaña) que admiten todos estos requisitos. La plataforma única de Tanium le brinda la capacidad de responder rápidamente a los accidentes y realizar análisis forenses integrales a velocidad y escala, sin importar dónde se encuentren sus activos.
