Cuando algo no funciona, conviene dar un paso atrás y analizar su situación desde una nueva perspectiva. Esa es la idea, sencilla pero contundente, que expondrá Andy Ellis, un veterano del sector de la ciberseguridad, en la RSA Conference 2022.
Ellis ha trabajado en el ámbito de la seguridad de la información en organizaciones tan diversas como la Fuerza Aérea de los Estados Unidos, ha contribuido a convertir a Akamai Technologies en un gigante de Internet y, en la actualidad, es socio operativo de YL Ventures —empresa que financia y apoya a empresas emergentes dedicadas a la ciberseguridad— y miembro del Salón de la Fama de los CSO.
Por ello, es un experto en ver el panorama general. Aprovechará esa experiencia en una mesa redonda de RSA 2022, titulada «: Las cuatro dimensiones de la creación de un programa de seguridad», para instar a los CISO y a otros responsables de seguridad a dejar de centrarse en cualquier nueva tecnología que esté de moda y, en su lugar, analizar detenidamente los fundamentos de una buena higiene cibernética.
Ellis ofreció a « » Endpoint un adelanto de lo que tratará en su mesa redonda (el miércoles, de las June 8 a las 8:30 a las 9:20 a.m. PT, en el Moscone Center de San Francisco).
Así pues, pasemos directamente al título de esa mesa redonda. ¿Por qué cuatro dimensiones?
¿Cuáles son esas cuatro?
Por supuesto. Pero retrocedamos un poco. Con demasiada frecuencia, abordamos la seguridad basándonos en listas de comprobación. La ISO [Organización Internacional de Normalización] ofrece a los profesionales de la seguridad una lista de 900 medidas que deberíamos adoptar. Al final, simplemente vamos tachando cosas de la lista y nos ponemos manos a la obra para llevarlas a cabo.
«. Esas son las dos únicas métricas que le importan: lo que tiene y lo difícil que resulta averiguarlo.»
Esta charla nos invita a tomar cierta distancia respecto a ello y a reflexionar sobre algunas cuestiones. La primera es: ¿Sabe siquiera qué elementos de su entorno informático deben protegerse? Todo el mundo responde siempre: «Por supuesto, protegemos primero nuestros activos más importantes». Sin embargo, la realidad es que su activo de mayor riesgo rara vez es su activo más importante. El activo más arriesgado es aquel que se encuentra junto a su activo más importante —y que tiene acceso a él—.
Pero nadie presta atención a ese activo. Nadie sabe siquiera que está ahí. Por eso es fundamental plantearse en primer lugar la visibilidad , la y la cobertura, y no se trata únicamente del número y los tipos de activos de los que dispone, sino también del proceso mediante el cual conoce su inventario de activos . Y tendrá que aprender a aceptar lo que desconoce sobre sus activos. ¿Sabe cuántos recursos en la nube de tiene? Vaya a buscar ese número. Fíjese en lo difícil que resulta conseguir esa cifra. Esas son las dos únicas medidas que le importan: lo que tiene y lo difícil que resulta averiguarlo.
Sin embargo, si realiza otro recuento del inventario de activos en 15 minutos, obtendrá una cifra diferente.
Pero no pasa nada; la cifra concreta no importa. Lo que importa es lo difícil que resulta alcanzar esa cifra. Porque si el número de la nube cambia cada 15 minutos, pero usted tarda seis semanas en averiguar cuál es, es evidente que no conoce sus sistemas ni lo que contienen. Al fin y al cabo, si eso es cierto, ni siquiera puede obtener periódicamente una estimación aproximada de sus activos.
A continuación, una vez que disponga de un método para determinar el número de activos, debería poder establecer un orden de prioridad entre los sistemas en función del riesgo. ¿Sabe cuáles son sus sistemas más valiosos? ¿Quiénes tienen acceso a sus tesoros más preciados? Volveremos sobre ese aspecto dentro de un momento. Lo describo en términos de dimensiones. Hemos estado analizando la primera dimensión: el alcance de la cobertura de seguridad.
Esto tiene mucho sentido: en primer lugar, determine qué es lo que necesita gestionar y proteger, y cuantifique su superficie de ataque. ¿Cuál es la siguiente dimensión?
La segunda dimensión es el alcance de sus controles. Para mí, la segunda dimensión corresponde a la altura y a lo que la mayoría de la gente solía llamar «profundidad».
«La Línea Maginot no funciona cuando el adversario se mueve con rapidez. Y, en el ámbito cibernético, los adversarios se mueven a una velocidad infinita.»
Considero que la forma en que la mayoría de las personas utilizan el término «defensa en profundidad» es lamentable. De hecho, comencé la charla hablando de la « » (la Línea Maginot), las defensas que los franceses construyeron a lo largo de la frontera con Alemania en el año 1930s, como ejemplo clásico de defensa en profundidad. Sin embargo, la Línea Maginot no resulta eficaz cuando el adversario actúa con rapidez. Además, en el ámbito cibernético, los adversarios actúan con una rapidez infinita.
La segunda dimensión analiza cómo se apilan sus controles. Tomemos como ejemp a la autenticación multifactorial [MFA]. A menudo se dice que se tienen dos factores y que contar con dos factores es el doble de bueno. Pues bien, si ambos factores implican introducir una contraseña en y, a continuación, el sistema envía un mensaje de texto y usted introduce el número que figura en dicho mensaje en un campo, existen muchas formas en las que esto puede verse comprometido. En primer lugar, el atacante obtiene la contraseña y, a continuación, recurre a la ingeniería social para crear una situación que le permita acceder al mensaje de texto. Esto ha ocurrido en numerosas ocasiones.
Siempre estamos expuestos a amenazas como los ataques de tipo «hombre en medio» y la ingeniería social. Entonces, ¿esa modalidad de máster en bellas artes es quizás un 25 % mejor?
Puede que sea un 25 % mejor, pero el adversario dispone de todo el tiempo del mundo. Por otra parte, tal vez si dispongo de una autenticación multifactorial (MFA) basada en FIDO [Fast Identity Online] y de un certificado X.509 que la active, resulte mucho más difícil para un atacante separar y atacar dichos controles. Así pues, sí que se suman, y tal vez, de hecho, sean un 100 % mejores.
[Lea también: 5 gráficos que explican la crisis de visibilidad de las tecnologías de la información]
Teniendo esto en cuenta, comience a analizar detenidamente todas las áreas de control de su sistema. ¿Sabe qué hay en el sistema? Desde el punto de vista de la gestión de vulnerabilidades, ¿sabe en qué medida se mantiene el sistema? ¿Sabe en qué medida está bien configurado el sistema? ¿Protegen ustedes sus identidades en el sistema? ¿Limitan el número de personas que tienen acceso al sistema? Gran parte de esto se reduce simplemente a los fundamentos. Pero si no sabe que se le aplica esa exhaustividad, tiene un problema.
También hablo un poco sobre el reto que supone la medición. Tomemos como ejemplo , una plataforma de gestión de vulnerabilidades. En definitiva, lo que desea es evaluar algo como un SLA de [acuerdo de nivel de servicio], que mide la eficacia de su proceso, en lugar de cualquier indicador que se limite a mostrar el volumen de trabajo que genera dicho proceso. Creo que estamos enfocando de forma totalmente errónea las métricas de gestión de vulnerabilidades.
¿Recomienda dejar de utilizar métricas como el «tiempo medio» —es decir, el tiempo medio que se tarda en corregir las vulnerabilidades críticas— y otros indicadores clave de rendimiento [KPI] habituales?
Pues bien, me gusta utilizar un SLA. Mientras tanto, se trata de una cuestión táctica. Y el «mientras tanto» viene a decir, básicamente: «Bueno, ¿cuál sería mi mediana si cumpliera ese objetivo el 50 % de las veces?». Eso podría resultar útil, pero lo que debe hacer es elegir un SLA y medir en qué porcentaje de las ocasiones se queda por debajo de él.
Si utiliza el tiempo medio y tiene un elemento que nunca patch, este sigue sumándose al tiempo medio. O quizá nunca se sume al tiempo medio, dependiendo de cómo se calcule. Es la medida métrica estándar más utilizada. Y es una situación terrible, ya que genera efectos secundarios extraños. Si tiene vulnerabilidades corregidas y sin corregir, ¿las evalúa de forma diferente? Ahora dispone de dos métricas diferentes para ellos y, en algún momento, podrá burlar el sistema negándose a trasladarlos de una columna a otra.
Eso es fascinante. Entonces, ¿cuál es la tercera dimensión a la hora de desarrollar un programa de seguridad?
La tercera dimensión se refiere a la profundidad: comprender la estrategia de ataque del adversario. Y puede hacerlo contando historias sobre cómo sus defensas los detienen.
Para tener éxito, debe hacer un par de cosas. Lo primero es crear descripciones que detallen las vías de ataque. Una descripción táctica podría ser algo así: uno de sus equipos conectados a Internet tiene software vulnerable y claves inseguras que permiten el acceso a un equipo más sensible. Vaya, aquí hay una vía de ataque; quizá debería aplicar el parche lo antes posible o solucionar el problema de la clave insegura.
Analicemos la información disponible sobre el ransomware « ». A todo el mundo le preocupa el ransomware. Nadie habla de la explicación muy clara de qué es el ransomware. El ransomware es un tipo de malware que infecta un equipo y, a continuación, se propaga lateralmente, normalmente utilizando credenciales administrativas o aprovechando vulnerabilidades remotas muy extendidas y conocidas en los sistemas operativos más comunes.
[Lea también: Cómo bloquear el movimiento lateral en los ciberataques]
Eso es todo; esa es la historia del ransomware. Acaba de explicar toda la historia en profundidad, por lo que ahora puede hablar de las defensas que rompen esa cadena. Esto le permite revisar el nivel de sus defensas y plantearse si dispone de algún medio para impedir el movimiento lateral de los administradores. ¿Ha implementado una administración de Active Directory de tres niveles? De no ser así, quizá debería deshacerse de [el servicio de] Active Directory de Microsoft. Eso se debe a que usted no es tan brillante como cree.
He visto encuestas en las que alrededor del 80 % de los encuestados que sufrieron un ataque de ransomware afirman que los atacantes se centraron en Active Directory, que permite al departamento de TI gestionar usuarios, aplicaciones, datos y demás. Esas mismas encuestas revelaron que alrededor del 90 % de las organizaciones no podían gestionar de forma eficaz Active Directory.
De acuerdo. El 10 % de las empresas que utilizan Active Directory cuentan con los conocimientos técnicos suficientes para gestionarlo de forma segura. Y me estoy inventando esa cifra sin más. Creo que, en realidad, es inferior a esa cifra.
«Utilice ambos: los servicios de MFA y los servicios antiphishing. Acaba de complicar mucho más la vida a la mayoría de los autores de amenazas persistentes avanzadas.»
En la actualidad, debido a la forma en que Active Directory gestiona la administración de dominios de forma predeterminada, se acaba almacenando credenciales administrativas de forma efímera en los equipos periféricos. Aun así, el malware sabe cómo leerlos. Eso es lo que hace [la herramienta de hackers] Mimikatz . Analiza e identifica las credenciales de administrador. Cuando encuentra uno, estupendo: ahora controla toda su red.
Si desea eliminar el ransomware, resuelva el problema de los privilegios de administrador e implemente la autenticación multifactorial (MFA) en todos sus sistemas de administración. Es similar a lo que ocurre cuando se trata de resolver un caso de phishing en : no se trata de que deba adquirir más servicios antiphishing. Lo que debe hacer es implementar un buen sistema de autenticación multifactorial (MFA).
Y, por cierto, utilice ambas cosas: los servicios de autenticación multifactorial (MFA) y los servicios contra el phishing. Acaba de complicar mucho más la vida a la mayoría de los autores de amenazas persistentes avanzadas. E incluso han facilitado la vida a sus usuarios en algunos aspectos. Esa es su tercera dimensión.
Y, por último, la cuarta dimensión es el tiempo. Los controles de seguridad son como las empresas. Si una empresa no crece, está en declive. Si un control de seguridad no evoluciona, se está deteriorando. ¿Cuál es su relato sobre cómo está mejorando? Si está evaluando el cumplimiento del SLA en materia de gestión de vulnerabilidades, ¿esta cifra va en aumento o en descenso con el paso del tiempo? ¿Es necesaria la participación de la dirección para mantener esto o no? ¿Está mejorando
o está en declive?
¿En qué aspectos cree usted que las empresas cometen los mayores errores a la hora de desarrollar un programa de seguridad? ¿Y por qué es importante ahora la conferencia que va a impartir?
Todos acudimos a la RSA, ¿y qué compramos? Compramos todo lo que esté en oferta en RSA. Eso suele ser lo que ocurre.
Pero debemos tomar distancia y preguntarnos: ¿qué necesitamos para proteger nuestras empresas? ¿Cuál es el siguiente paso adecuado? Y, a continuación, desarrolle eso partiendo de los principios fundamentales. No estoy sugiriendo que las personas se queden paralizadas y no hagan nada hasta que tengan un plan perfecto.
Considere la identificación de activos. La forma más sencilla de gestionar la identificación de activos es mediante una hoja de cálculo. Solo tiene que abrir una y introducir sus servidores en la nube pública, indicando en el campo correspondiente cuántos tiene. Supongamos que, por el momento, no lo sabe. No pasa nada, estupendo. ¿Qué más tiene? ¿Dispone de ordenadores de sobremesa para empresas? Póngalo ahí. ¿Servicios para empresas? Empiece simplemente a enumerarlas todas y, a medida que vaya obteniendo respuestas, añádalas a la lista. Preocúpese por cómo sistematizar esto.
Creo que uno de los grandes retos es que, como profesión, aún estamos en proceso de maduración, pero la primera forma en que estamos madurando es a través de una mentalidad de «culto a la carga». Y no lo digo en un sentido totalmente negativo. Contamos con numerosos profesionales de la seguridad de gran talento. Sin embargo, nosotros, como sector, debemos alejarnos de las modas y centrarnos en lo que permita reducir el riesgo.
