Cuando salió a la luz la vulnerabilidad de seguridad « Log4j » (se abre en una nueva pestaña) —que permitía a los ciberdelincuentes penetrar en redes informáticas vulnerables con una sola línea de código—, parecía tratarse de una amenaza para la ciberseguridad que se da una vez cada mil años, una vulnerabilidad «zero-day» de gravedad extrema que debía corregirse de inmediato.
But then, before you could say déjà vu, the Spring4Shell (opens in a new tab) zero-day came along, capturing more headlines, panicking senior executives, and sending security teams into 24/7 overdrive.
Sin duda, los tiempos han cambiado. Antes, los piratas informáticos solían aprovechar de forma sistemática este tipo de vulnerabilidades de «día cero» (fallos en el código cuya existencia desconoce el creador o el proveedor del software hasta que se detectan o se explotan) cada pocos años aproximadamente.
En la actualidad, dado que las empresas y los gobiernos dependen cada vez más de software de terceros para gestionar sus redes y aplicaciones organizativas, estas vulnerabilidades de «día cero» son cada vez más frecuentes y graves.
¡No pierda el hilo!
Sin embargo, los profesionales de la seguridad informática —así como los directivos y los consejos de administración a los que rinden cuentas— se preguntan: ¿Están aumentando realmente las vulnerabilidades de día cero y se están agravando? ¿O es que los investigadores de seguridad y los cazadores de recompensas por errores que descubren estas vulnerabilidades simplemente están mejorando en su trabajo?
«. No todos los «zero-day» suponen una situación crítica que requiera la intervención de todo el equipo.»Melissa Bischoping, directora de investigación en seguridad de dispositivos finales de Tanium
Melissa Bischoping, directora de investigación en seguridad de dispositivos finales en Tanium, considera que se trata de esta última opción. «Están apareciendo cada vez más vulnerabilidades de día cero, en parte porque ahora hay mucha gente buscándolas», afirma Bischoping, quien también imparte talleres sobre la detección de amenazas. «No todas las vulnerabilidades de día cero suponen una situación crítica que requiera la intervención de todo el personal». La amenaza inminente de los «grandes» le quita el sueño, pero esos no son más que una pequeña parte de los «zero-day» que detectamos. «Aconsejo a las personas que evalúen la situación y actúen en consecuencia en función de la gravedad, y no únicamente por el hecho de que se trate de una vulnerabilidad de día cero».
Dicho esto, advierte de que es fundamental que los profesionales de la seguridad se mantengan al día. Dada la capacidad que tienen los piratas informáticos malintencionados para aprovechar una sola vulnerabilidad con el fin de causar estragos a gran escala (véase el caso de el ataque a SolarWinds y su impacto en empresas y gobiernos), mantenerse al día de las vulnerabilidades de día cero es fundamental para la seguridad de la red.
Los ataques de «día cero» son cada vez más graves
Steve Wilson, director de producto de Contrast Security —empresa que ofrece una plataforma unificada para ayudar a los desarrolladores a programar de forma más segura—, observa un aumento en el número y la gravedad de los exploits de día cero en la capa de aplicaciones, ámbito en el que Contrast centra su labor. Según él, una de las razones principales es que gran parte del código de software que utilizan hoy en día las empresas se escribió, en realidad, hace muchos años o incluso décadas. Apache Log4j, una biblioteca de Java, cuenta con una trayectoria de 20 años y su mantenimiento corre, en gran medida, a cargo de voluntarios (se abre en una nueva pestaña), señala Wilson.
«Muchas de las hipótesis fundamentales de estas bibliotecas se formularon en una época en la que los desarrolladores tenían menos conocimientos sobre cómo crear código seguro», afirma Wilson. «Es evidente que los piratas informáticos están poniendo ahora el punto de mira en estos ecosistemas más antiguos y ampliamente implantados, en los que cualquier punto débil puede tener repercusiones enormes».
Una superficie de ataque cada vez mayor
Tony Lauro, director de tecnología y estrategia de seguridad de Akamai Technologies, coincide en que las amenazas de día cero persistirán en un futuro previsible, en gran parte debido a que son muchas las empresas que se están digitalizando, migrando a la nube (se abre en una nueva pestaña), y permitiendo a sus empleados trabajar a distancia (se abre en una nueva pestaña) desde diversos dispositivos finales.
«Lamentablemente, este problema se agravará antes de que mejore, ya que habrá más superficies de ataque disponibles a las que los atacantes podrán dirigirse», afirma Lauro. «Y, sin duda, con todas las nuevas generaciones que se incorporan a Internet, es inevitable que también haya un mayor número de víctimas».
Es más, los ataques de «día cero» podrían aumentar, ya que se están convirtiendo en una fuente de ingresos para el mundo del cibercrimen. El director de ciberseguridad de la NSA, Rob Joyce, declaró en una mesa redonda celebrada en la Conferencia RSA de este año que las bandas de ransomware están utilizando sus beneficios para adquirir exploits de día cero, y que a su agencia le preocupa la rapidez con la que los delincuentes pueden aprovecharse de las vulnerabilidades de software recién reveladas.
El cielo no se está cayendo… hasta que lo haga
Aunque algunas vulnerabilidades de «día cero» puedan parecer más peligrosas de lo que realmente son, los departamentos de seguridad informática deben tomárselas todas en serio y hacer todo lo posible para defenderse de ellas.
«Están recibiendo 150,000 avisos diferentes sobre diversas vulnerabilidades, y eso puede resultar casi abrumador.»Frank Dickson, vicepresidente del grupo IDC
Algunos equipos de seguridad se mostrarán reacios a adoptar este enfoque. Llevan años escuchando a proveedores, investigadores y desarrolladores de software que alertan de nuevas vulnerabilidades «zero-day» que al final no son más que un gran revuelo para nada. Además, la mayoría de los equipos de seguridad están sobrecargados de trabajo, carecen de personal suficiente y cuentan con una financiación insuficiente. Por ello, suelen ignorar las alarmas que no son urgentes.
«Se trata de la “fatigue (se abre en una nueva pestaña)’», afirma Frank Dickson, vicepresidente de grupo de IDC. «Están recibiendo 150,000 avisos distintos sobre diversas vulnerabilidades, y eso puede resultar casi abrumador».
Dickson afirma que las empresas deben abordar en primer lugar este tipo de frustraciones. Asimismo, deben hacer frente a la amenaza que suponen los «zero-day» introduciendo algunos cambios, tanto evidentes como menos evidentes, en sus prácticas de ciberseguridad (se abre en una nueva pestaña), tales como:
- Ofrecer parches eficaces desde el primer momento. En este caso, la responsabilidad recae en los proveedores de software. De hecho, muchas de las vulnerabilidades de «día cero» de Google suelen ser vulnerabilidades que ya han sido corregidas previamente (se abre en una nueva pestaña) , según escribió Maddie Stone, investigadora de seguridad de Project Zero (se abre en una nueva pestaña). ¿Y en cuanto a la prevención? Stone señaló que al menos la mitad de las vulnerabilidades de día cero que estudió «se podrían haber evitado con unas pruebas de corrección y de regresión más exhaustivas». Es un poco como si un equipo de bomberos extinguiera un incendio, pero se le pasaran por alto algunas brasas que, con el tiempo, podrían avivarse con el viento y convertirse en una tormenta de fuego completamente nueva. «Aplicar los parches de forma correcta y exhaustiva no es tan sencillo como pulsar un botón: requiere inversión, establecimiento de prioridades y planificación». «Además, es necesario desarrollar un proceso de aplicación de parches que concilie la necesidad de proteger a los usuarios con rapidez y la de garantizar que la protección sea exhaustiva».
- Sepa lo que tiene. No se puede proteger ni aplicar parches a lo que no se ve, y los estudios han demostrado que muchos directores de sistemas de información (CIO) carecen de visibilidad (se abre en una nueva pestaña) sobre todos sus activos, tanto locales como en la nube. Lo primero que un alto directivo, visiblemente inquieto, le preguntará a un CISO o a un CIO cuando surja una vulnerabilidad de día cero es: «¿Hasta qué punto debo preocuparme por esto?». y «¿Es este el fin del mundo para nosotros o no?» afirma el Sr. Bischoping, de Tanium. Es aquí donde pueden resultar cruciales unas plataformas sólidas de observabilidad de datos y de gestión de puntos finales (se abre en una nueva pestaña) . Pueden ayudar a los directores de sistemas de información (CIO) y a sus equipos a salvar las barreras entre los silos de datos, conocer la situación de los terminales y determinar con mayor rapidez los niveles de exposición a vulnerabilidades de día cero.
Por cierto, existen numerosas herramientas de gestión de activos de clase empresarial que pueden resultar de gran utilidad en este sentido; sin embargo, es igualmente importante abordar la cultura que lleva a restar prioridad a la ciberseguridad y a las prácticas de seguridad en aras de la rapidez.
- Dejen de echarse la culpa mutuamente por los errores de programación. Las vulnerabilidades son algo que ocurre. Siempre lo harán. Sin embargo, estos incidentes se producen con mayor frecuencia cuando los responsables de producto o los profesionales del marketing presionan a los desarrolladores para que escriban código a un ritmo tan acelerado que no hay tiempo para realizar revisiones de seguridad ni aplicar medidas correctivas. Los plazos de desarrollo de los productos se establecen con el objetivo de lanzar el producto al mercado. La ciberseguridad suele ser un requisito más que hay que marcar al final de ese proceso.
«Todos tendremos que seguir luchando contra las vulnerabilidades de día cero. «El único día fácil fue ayer.»Tony Lauro, director de tecnología y estrategia de seguridad de Akamai Technologies
Dickson afirma que eso tiene que cambiar. Las organizaciones deben incentivar a los desarrolladores de software para que cumplan unos objetivos de seguridad exigentes. «Hoy en día, a los desarrolladores se les remunera por su capacidad para entregar productos dentro de los plazos establecidos y generar ingresos, pero no necesariamente se les remunera por programar de forma segura», afirma. «Deberíamos. «Es sumamente importante impulsar un paradigma de seguridad de arriba abajo en las organizaciones».
Bischoping añade que también es fundamental evitar castigar a los desarrolladores cuando surgen vulnerabilidades ocasionales que se convierten en «zero-day». «Debemos poner fin a esta cultura de buscar culpables cuando se produce una infracción», afirma. «Sí, es importante poder revisar el código para determinar si se ha escrito de forma deficiente y comprobar si se han seguido los procesos correspondientes.» Sin embargo, adoptar un enfoque punitivo resulta contraproducente y, en realidad, no resuelve nada. «Debe centrarse, en cambio, en comprender las deficiencias que dieron lugar a la vulnerabilidad y en cómo mejorar continuamente con cada análisis de las causas fundamentales».
- Considere la gestión de la superficie de ataque. Los directores de sistemas de información ( ) amplían la superficie de ataque (se abre en una nueva pestaña) cada vez que adoptan un nuevo servicio en la nube o habilitan más terminales para respaldar el crecimiento empresarial y la transformación digital. Dickson, de IDC, afirma que uno de los enfoques más recientes que hay que tener en cuenta a la hora de hacer frente a las vulnerabilidades de día cero es la gestión de la superficie de ataque (ASM). Se define como el proceso continuo de identificación, inventario, clasificación y supervisión de la infraestructura informática de una organización. Su objetivo es analizar estas tareas de seguridad desde la perspectiva de un atacante. Estas herramientas realizan pruebas de ping en las redes de forma constante y automática, tal y como haría un pirata informático, en busca de posibles vectores de ataque.
- Elabore un manual de actuación para incidentes de «día cero» que se actualice constantemente. Hoy en día, muchas organizaciones cuentan con manuales de actuación sobre cómo actuar en caso de sufrir un ataque de ransomware de tipo « » (se abre en una nueva pestaña) . A menudo son fruto de la colaboración entre el personal de los departamentos comercial, financiero, jurídico, de recursos humanos y técnico. Asimismo, necesitan un plan específico de respuesta ante incidentes (se abre en una nueva pestaña) para las vulnerabilidades de día cero.
Esto se debe principalmente al carácter imprevisto de las vulnerabilidades de día cero, que a menudo pueden pasar de ser meras vulnerabilidades a convertirse en exploits y ataques en cuestión de días. Además, dado que los proveedores suelen tener conocimiento de las vulnerabilidades mucho tiempo después de que se hayan producido, no siempre disponen de un parche eficaz listo para su aplicación. Muchas veces, lo máximo que pueden hacer es ofrecer sugerencias para ajustar temporalmente la configuración, a la espera de que
publique una actualización.
Bischoping recomienda elaborar y actualizar constantemente un manual de procedimientos que abarque cuestiones tales como:
- Cómo se priorizarán las distintas alertas de «día cero» para la toma de medidas
- ¿A quién se le notificará , y cuándo —tanto dentro como fuera de la organización—?
- ¿Qué medidas técnicas de se adoptarán para obtener más información y resolver cada nivel de amenaza?
- ¿Qué sistemas informáticos de se abordarán en primer lugar en función de su importancia para la empresa?
- ¿Qué medidas de auditoría de se adoptarán para demostrar a los directivos de la empresa, a los inversores y a las autoridades reguladoras que se tomaron las medidas adecuadas para abordar el problema?
«Si se esfuerza al máximo ahora, cuando suenen las alarmas de incendio de nivel cinco, tendrá la seguridad de saber que la mayor parte de lo que tendrá que hacer ya figura en su manual de estrategias», afirma Bischoping.
Los ataques de día cero no son algo inevitable. Puede que no afecten a la mayoría de las organizaciones, pero no van a desaparecer.
«La batalla aún no ha terminado. «Todos vamos a tener que seguir luchando contra las vulnerabilidades de día cero», afirma Lauro, de Akamai. «En realidad, el único día fácil fue ayer».
