En December 2020, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA, por sus siglas en inglés) emitió una advertencia dirigida a los organismos estadounidenses, entre ellos los Departamentos de Seguridad Nacional, de Estado y de Justicia, en la que se indicaba que unos piratas informáticos habían accedido indebidamente a sus sistemas informáticos. Aunque no está claro qué volumen de datos gubernamentales se llevaron los piratas informáticos, la filtración permitió a los atacantes sustraer información, ejecutar archivos y desactivar sistemas informáticos.
Lo que hizo que el ataque fuera especialmente grave no fue tanto su origen —los expertos en ciberseguridad señalan a miembros de un grupo de hackers ruso— como el medio que utilizaron para acceder a los sistemas informáticos. Los piratas informáticos lograron secuestrar una popular herramienta de supervisión y gestión informática, denominada Orion, del proveedor de software de seguridad SolarWinds. Descubrieron una forma de introducir código malicioso en una actualización de Orion, que posteriormente se distribuyó a los clientes de SolarWinds.
El uso de un «agente de confianza» como Orion supone una nueva amenaza significativa para los organismos federales. No solo tendrán que reescribir sus protocolos de ciberseguridad para hacer frente a nuevas amenazas, sino que también deberán reforzar sus prácticas básicas de seguridad para defenderse mejor frente a numerosas amenazas convencionales.
Muchas organizaciones no están perdiendo el tiempo a la hora de introducir cambios: según una encuesta de DomainTools publicada en marzo, el 20 % de las organizaciones, incluidas las agencias gubernamentales, afirman que ya están aumentando sus presupuestos de ciberseguridad a raíz de la filtración de SolarWinds, y que están destinando esos fondos adicionales a herramientas forenses, iniciativas de «cero confianza» y a la contratación de más personal para la detección de amenazas.
Cerrar la brecha de parches
El primer paso para reforzar la ciberdefensa, tras el caso SolarWinds, consiste en comprender mejor los riesgos potenciales que plantean los agentes de confianza a los que se les ha concedido acceso « » a los sistemas informáticos de una organización. La amenaza es tan reciente que las agencias carecen de estimaciones fiables sobre el número de estas herramientas o sistemas con los que cuenta una agencia media. Las empresas deben evaluar los servicios que utilizan para determinar si el valor que aportan compensa el riesgo y eliminar o fusionar aquellos que no lo hagan, afirma Garret Grajek, director ejecutivo de YouAttest, un proveedor de soluciones de cumplimiento normativo en materia de seguridad.
«SolarWinds nos ha demostrado que instalamos estos agentes por nuestra cuenta y riesgo», afirma.
Según los expertos en seguridad, es igualmente importante que las agencias se aseguren de prestar atención a los aspectos fundamentales de la seguridad.
Quizás lo más básico sea corregir las vulnerabilidades una vez identificadas. SolarWinds ya ha publicado un conjunto de parches de software, ha emitido un aviso de seguridad en y ha facilitado a los usuarios un nuevo certificado de firma digital de código, que utiliza el cifrado para garantizar la fiabilidad del software. Huelga decir que los parches deben instalarse y actualizarse. No obstante, las organizaciones también deben asegurarse de contar con un programa de gestión de parches exhaustivo para todos los dispositivos que se conectan a Internet.
[Lea también: ¿Ha llegado el momento de replantearse sus prácticas de gestión de software?]
Sea un mejor agente de tráfico
Una vez que se hayan aplicado los parches a sus sistemas, las organizaciones gubernamentales —especialmente aquellas afectadas por la filtración de Orion— deberían ejecutar herramientas de detección de malware para buscar código malicioso. Además de analizar sus propios sistemas, las agencias también deberían realizar búsquedas en toda la red de Internet para localizar sus propios nombres de host, afirma Bryson Bort, director ejecutivo de Scythe, un proveedor de sistemas de emulación de adversarios. De este modo se identificarían las direcciones IP falsas que se hacen pasar por el propio sitio web de la agencia.
Otro paso consistiría en comprobar el tráfico de red saliente de los sistemas en busca de conexiones que no se ajusten al perfil de tráfico habitual. Dado que el malware utilizado en el ataque a SolarWinds requiere acceso externo a Internet para que los piratas informáticos puedan sustraer datos, una conexión con un tiempo de respuesta prolongado podría indicar que se están enviando archivos a Rusia, afirma Bort.
Algunas agencias tienen que realizar tareas aún más básicas. La CISA afirma que algunas redes se vieron comprometidas porque los piratas informáticos adivinaron sus contraseñas, lo que sugiere la necesidad de establecer políticas que exijan contraseñas más complejas o el uso de la autenticación multifactorial. Dado que los piratas informáticos suelen recurrir a técnicas de «ingeniería social» para convencer a los empleados de que les faciliten sus contraseñas o compartan información confidencial, también resulta imprescindible invertir en formación en materia de ciberseguridad.
Cubra todos los puntos finales
Otro paso importante consiste en volver a evaluar todos los puntos finales en los que los sistemas informáticos son vulnerables a los ataques. Esto incluye una auditoría de todas aquellas personas que disponen de acceso administrativo a los sistemas de red, así como una evaluación de las medidas de seguridad de los sensores u otros dispositivos del Internet de las cosas (IoT) conectados a sus redes, como los sensores ambientales y los de los edificios. Se debe comprobar incluso la seguridad física de las salas que albergan sistemas críticos.
«. Las agencias federales deben reevaluar todos los puntos finales en los que los sistemas informáticos sean vulnerables a los ataques.»
A largo plazo, las agencias deben replantearse la forma en que recopilan, almacenan y clasifican las crecientes cantidades de datos que gestionan. Esto significa segmentar los datos para poder aplicar controles de seguridad más estrictos al acceso a los datos más sensibles.
El Instituto Nacional de Estándares y Tecnología (NIST) ofrece un útil Marco de Ciberseguridad « » ( ) para ayudar a las organizaciones a identificar sus activos de datos más importantes, afirma Adam Nichols, director del departamento de seguridad de software de la empresa de ciberseguridad Grimm. (Una orden ejecutiva A 2017 exige ahora a los organismos federales que elaboren un plan para la aplicación de dicho marco.)
Proteja los activos críticos
Las agencias también pueden utilizar herramientas de modelización de amenazas para identificar activos críticos y riesgos potenciales y «para asegurarse de que los esfuerzos se dediquen primero a lo más importante», afirma Nichols.
Proteger esos activos no es simplemente una cuestión de añadir otra capa de control de acceso, como contraseñas, tarjetas magnéticas o lectores de huellas dactilares, afirma Ani Chaudhuri, director ejecutivo de Dasera, un proveedor de seguridad de datos en la nube. El problema, afirma, es que los empleados o contratistas que tienen acceso a datos confidenciales pueden (de forma involuntaria o intencionada) hacer un uso indebido de dicha información. Para hacer frente a esa amenaza, los organismos deben poder supervisar en tiempo real cómo se utiliza dicha información.
«Muchas organizaciones creen que pueden clasificar los datos en categorías según su nivel de confidencialidad y, a continuación, almacenar los datos más confidenciales en una ubicación física o lógica que cuente con medidas de protección adicionales», afirma. «La única forma en que las organizaciones pueden proteger realmente los datos confidenciales es ir más allá del control de acceso».
Al fin y al cabo, es posible que el mayor cambio que se exija a los organismos públicos sea un cambio de mentalidad. La mejor defensa frente al próximo ataque es saber que se producirá; por lo tanto, los sistemas informáticos de las agencias deben diseñarse, someterse a pruebas y funcionar partiendo de esa premisa. «Partan siempre de la base de que la organización o el organismo sufrirá una brecha de seguridad», afirma Bort, de Scythe. «El perímetro está inactivo».
