Theodore Roosevelt dijo en una ocasión: «Cuanto más se sabe del pasado, mejor preparado se está para el futuro».
Se trata de una reflexión que resulta especialmente aplicable a , un servicio de inteligencia sobre amenazas cibernéticas. El análisis de las amenazas pasadas permite a los profesionales de la ciberseguridad reconocer los patrones, las tácticas, las técnicas y los procedimientos utilizados por los autores de las amenazas y adaptar sus defensas en consecuencia.
Para Nicole Hoffman, investigadora de seguridad de Cisco Talos, la mejora de las defensas y las prácticas de ciberseguridad va más allá de la necesidad de comprender cómo las amenazas del pasado afectan hoy en día a las organizaciones. Además, tiene la mirada puesta en un futuro lejano —es decir, las generaciones futuras de profesionales de la ciberseguridad— a través de una serie de libros infantiles ilustrados. Su objetivo es dar a conocer a los niños funciones específicas de nicho y los tipos de tareas que cada una de ellas conlleva, como la informática forense, el hacking ético y la ingeniería de detección.
Su libro, * * () y *The Mighty Threat Intelligence Warrior* () (), constituye una lectura recomendada para complementar su mesa redonda titulada «: Applying Past Lessons for Intel-Driven Identity Threat Detection» (), que tendrá lugar en la Conferencia RSA de la próxima semana.
Hoffman se unirá a Michael Marriott, vicepresidente de marketing de productos de Harmonic Security, en un debate sobre la gestión de identidades y accesos (IAM) y la inteligencia sobre ciberamenazas, en el que ambos analizarán los principales ataques a la identidad observados en la respuesta a incidentes durante los últimos dos años. (Their 50-minute session will take place on Thursday, May 9, at 12:40 p.m. ET / 9:40 a.m. PT at RSAC 2024, which runs May 6-9 at the Moscone Center in San Francisco.)
La protección de las identidades digitales nunca ha sido tan crucial: el 90 % de los profesionales encuestados afirmó que su organización sufrió al menos una violación de seguridad relacionada con la identidad el año pasado, según el informe « 2023 Tendencias en la protección de las identidades digitales» ( ) , elaborado por la Identity Defined Security Alliance (IDSA).
, de Focal Point, habló con la Sra. Hoffman para conocer su opinión sobre la importancia de analizar los incidentes pasados como un enfoque proactivo para desarrollar la inteligencia sobre amenazas cibernéticas y la detección de amenazas en el futuro.
(Esta entrevista ha sido editada para mayor claridad y extensión.)
Es probable que quienes examinen la lista de sesiones de la RSA se sorprendan al ver la lectura obligatoria para su sesión. ¿Un libro infantil? ¿Qué es la ciberseguridad? ¿Por qué transmitir este mensaje a los niños y, además, en forma de libro ilustrado?
En un principio, mi intención era inspirar a la próxima generación de profesionales de la inteligencia sobre amenazas cibernéticas (CTI) sin renunciar a la narrativa. La serie « : El poderoso guerrero de la inteligencia sobre amenazas» presenta conceptos relacionados con la inteligencia sobre amenazas a través de un divertido cuento medieval. La serie recurre a numerosas metáforas relacionadas con la ciberseguridad para que la historia resulte más accesible para un público joven, que quizá no tenga la capacidad de atención necesaria para aprender sobre conceptos como el ransomware o el cifrado .
«. Aprender del pasado es fundamental para la detección de amenazas, ya que nos permite identificar tendencias, mejorar las defensas y anticiparnos a futuras amenazas.»
En lugar de centrarme en la formación en ciberseguridad, intento destacar el tipo de tareas que desempeñaría una persona si ocupara un puesto en el ámbito de la inteligencia cibernética (CTI), como analizar amenazas complejas —al igual que un detective de que intenta resolver un misterio— o convertirse en un historiador especializado en la actividad de las amenazas para informar a los demás y protegerlos de los dragones más astutos.
La inclusión de la expresión «información sobre amenazas» en el título fue intencionada, con la esperanza de que padres e hijos emprendieran juntos un proceso de aprendizaje en caso de que estuvieran interesados en recabar más información sobre este tema.
[Véase también: ¿Qué es la gestión de identidades y accesos (IAM)?]
En su sesión de RSA se analizarán los incidentes y las lecciones aprendidas en el pasado. ¿Por qué es tan importante aprender del pasado para la detección de amenazas?
Aprender del pasado es fundamental para la detección de amenazas, ya que nos permite identificar tendencias, mejorar las defensas y anticiparnos a las amenazas futuras de forma más eficaz. La colaboración con los equipos de CTI permite a las organizaciones tomar distancia, obtener una visión global del panorama de amenazas y aprovechar información exhaustiva para tomar decisiones fundamentadas.
Las organizaciones también pueden establecer colaboraciones para el intercambio de información con empresas del sector y organismos públicos con el fin de obtener conocimientos similares, al tiempo que invierten en formación continua para sus equipos de seguridad internos con el objetivo de mejorar sus capacidades analíticas y adelantarse a las amenazas en constante evolución.
La gestión de identidades y accesos es fundamental para la ciberseguridad. En su opinión, ¿cuáles son algunos de los principales errores que cometen las organizaciones en su enfoque de la gestión de identidades y accesos (IAM)?
Las dos deficiencias de seguridad más habituales que observo son la falta de una autenticación multifactorial (MFA) adecuada en todas las cuentas, incluido el acceso remoto, y el uso indebido de cuentas con privilegios y de servicio sin los controles de seguridad adecuados.
«. Existe una tendencia creciente de ataques centrados en el agotamiento de la autenticación de dos factores (MFA), en los que los atacantes [envían] una avalancha de notificaciones push de MFA. El adversario espera abrumar a las víctimas para que, finalmente, acepten una de ellas.»
Las cuentas con privilegios y las cuentas de servicio son objetivos prioritarios para los atacantes debido al amplio acceso que proporcionan, ya que ofrecen privilegios elevados, lo que les permite llevar a cabo actividades maliciosas, acceder a datos confidenciales y desplazarse lateralmente por la red con mayor facilidad. Además, las cuentas de servicio suelen tener acceso permanente y están sometidas a una supervisión menos rigurosa, lo que las convierte en objetivos atractivos para los atacantes que buscan mantener su presencia de forma persistente y evitar ser detectados.
La autenticación multifactorial (MFA) puede detener a los atacantes en seco y prevenir una gran cantidad de posibles ataques al añadir una capa adicional de seguridad y verificación. Sin embargo, existe una tendencia creciente de ataques centrados en el agotamiento de la autenticación multifactorial (MFA), en los que los atacantes intentan acceder a cuentas con credenciales comprometidas, lo que provoca una avalancha de notificaciones push de MFA en el dispositivo móvil del titular de la cuenta. En este ataque, el atacante pretende abrumar a las víctimas para que, finalmente, acepten una de las notificaciones push, lo que le otorgaría acceso.
Por lo tanto, a medida que las organizaciones vayan implantando la autenticación multifactorial (MFA), será necesario formar a los usuarios para que puedan identificar y notificar las notificaciones push de MFA no autorizadas.
En la descripción de su sesión se indica que abordará la importancia de la colaboración entre IAM, las operaciones de seguridad y CTI. ¿Podría ofrecernos una breve explicación de por qué es necesaria esta colaboración?
El crecimiento prospera gracias a la colaboración, ya que esta fomenta un entorno en el que las diversas perspectivas de distintos equipos pueden converger, lo que permite comprender mejor los problemas y allana el camino para soluciones innovadoras.
La mentalidad de seguridad no debe limitarse al equipo de operaciones de seguridad; debe impregnar toda la organización , garantizando que la seguridad sea responsabilidad de todos.
La colaboración también fomenta un entorno propicio para el intercambio de conocimientos y el aprendizaje continuo. Por ejemplo, los profesionales de CTI se esfuerzan siempre por mantenerse al día sobre las nuevas amenazas, comprendiendo cómo se producen los ataques y cómo se pueden prevenir. Si un profesional de CTI estuviera investigando ataques de agotamiento de MFA tras un reciente repunte de la actividad, podría ponerse en contacto con el IAM para conocer las recomendaciones de prevención. En este ejemplo, ambas partes están aprendiendo y obteniendo conocimientos gracias a esta colaboración.
Consulte más entrevistas exclusivas con los ponentes que intervienen en la RSA Conference 2024 y en eventos relacionados: Cómo gestionar las vulnerabilidades a gran escala
