Dada la reciente avalancha de actividades cibernéticas maliciosas, la mesa redonda de la Conferencia RSA de este año sobre « : Las cinco nuevas técnicas de ataque más peligrosas» ( ) bien podría dar lugar a un debate que durara todo el día.
Katie Nickels, que forma parte del panel y contribuirá a ofrecer una exposición fidedigna sobre el tema, tiene mucho que decir sobre lo que pueden hacer las organizaciones para prepararse para lo que está por venir. El currículum de Nickels es extenso e impresionante. Es instructora certificada por el SANS Institute. Es la directora de inteligencia de Red Canary, una empresa proveedora de soluciones para operaciones de seguridad. Ha trabajado en la administración pública (en el Departamento de Defensa de los Estados Unidos) y en el sector privado, en empresas como Mitre, Raytheon y ManTech.
Por ello, Nickels considera que el modelo de referencia para la protección cibernética en EE. UU. radica en la solidez de la colaboración entre el sector público y el privado. Además, se encuentra en primera línea a la hora de impulsar ese objetivo y lo ha destacado en su curso de SANS sobre inteligencia de amenazas cibernéticas « » ( ), así como en su webcast mensual «» de SANS Threat Analysis Rundown (STAR) ().
[Lea también: Conozca al hombre que podría ayudar a evitar un desastre cibernético]
La Sra. Nickels se tomó un tiempo para hablar conmigo antes de su mesa redonda en la conferencia y compartir su perspectiva única sobre cuestiones fundamentales como la inteligencia sobre amenazas cibernéticas, la defensa de redes y la respuesta ante incidentes.
Con tantas amenazas entre las que elegir, ¿qué técnicas le han llamado la atención este año?
Lo que más me llamó la atención de las técnicas más peligrosas de este año fue lo variadas que eran. Al reflexionar sobre todas las amenazas a las que nos hemos enfrentado, desde los ataques a Microsoft Exchange hasta el caso SolarWinds, no dejaba de pensar en el ransomware.
«. La gente debe ser consciente de las amenazas de extorsión y replantearse su forma de actuar.»
No es nada nuevo, y se supone que el panel debe centrarse en amenazas nuevas y con perspectiva de futuro. Sin embargo, lo nuevo es la incorporación de la extorsión al panorama del ransomware. Hemos observado un cambio significativo por el que incluso los grupos de ciberdelincuentes más pequeños no solo cifran los datos, sino que también los sustraen y extorsionan a sus víctimas amenazándolas con hacerlos públicos a menos que se les pague.
¿Qué significa eso para los defensores?
No todo el mundo se ha planteado el tema de la extorsión. Sin embargo, es fundamental ser consciente de ello para que pueda adaptar sus medidas de prevención, detección y respuesta ante incidentes de ransomware. La gente debe cambiar su forma de pensar.
Para hacer frente a estos ataques es fundamental comprender qué es lo que debe proteger. ¿Por qué siguen teniendo dificultades las organizaciones con eso?
Disponer de visibilidad y de un inventario de activos constituye siempre la base de un buen programa de seguridad. Esto resulta cada vez más complicado, ya que las organizaciones recurren cada vez más a soluciones de terceros para gestionar sus redes. Por ejemplo, tal y como vimos con la filtración de SolarWinds, muchas organizaciones utilizan SolarWinds Orion para supervisar el rendimiento de la red.
«. Muchas organizaciones cuentan con visibilidad... pero un reto casi mayor es detectar lo que no funciona en esa visibilidad.»
Muchas organizaciones disponen de visibilidad y recopilan registros de gran parte de su red. Sin embargo, un reto casi mayor consiste en detectar qué aspectos negativos entraña esa visibilidad. Muchas organizaciones utilizan un producto para dispositivos finales y reciben todas estas alertas de amenazas. Pero no saben qué es lo bueno ni lo malo. Muchas herramientas de seguridad presentan un número abrumador de falsos positivos. Una vez que se dispone de visibilidad, se requiere mucho trabajo para determinar qué es lo que no funciona.
¿En qué medida complica la nube la visibilidad?
Esto resulta especialmente complicado porque algunos productos en la nube le obligan a pagar por distintos niveles de registro. El registro de eventos es fundamental para la seguridad, ya que permite detectar sucesos y actividades en las redes y los sistemas que podrían resultar sospechosos o peligrosos.
He observado que hay organizaciones que están trasladando sus activos a la nube, pero que no incluyen en sus contratos los niveles de registro adecuados. Así pues, las organizaciones implementan una infraestructura en la nube, pero no comprenden cómo funcionan la visibilidad ni el registro de eventos, y luego se ven obligadas a cumplir un contrato que les obliga a pagar más por un registro de eventos adicional.
Otro reto consiste en asegurarse de que dispone de visibilidad sobre los activos en la nube y en saber cómo actuar en caso de que se produzca algún incidente en dichos activos. Existen muchos niveles de servicios en la nube, desde la infraestructura como servicio (IaaS) hasta el software como servicio (SaaS), y cada uno de ellos requiere un nivel distinto de supervisión por parte de los clientes frente a los proveedores de servicios en la nube. ¿De quién es la responsabilidad de responder? Esa responsabilidad compartida supone otro reto en lo que respecta a la respuesta ante incidentes.
¿Están recurriendo las organizaciones a la automatización para hacer frente a ese reto?
La automatización se está convirtiendo en un pilar fundamental de cualquier programa de operaciones de seguridad. Creo que es algo positivo porque, durante años, los analistas de operaciones de seguridad se han visto abatidos por tener que hacer siempre lo mismo: «Hago clic en esto de mi SIEM [herramienta de gestión de eventos e información de seguridad], hago clic en esta fuente de registros y lo exporto aquí».
Los programas de seguridad inteligentes van a automatizar siempre que sea posible. Hemos sido testigos del auge de las herramientas de orquestación de la seguridad y automatización de la respuesta (SOAR), pero el reto que plantean todas estas herramientas es que primero es necesario que una persona les indique qué es lo que deben automatizar. Mucha gente pierde de vista eso.
A menudo también me preguntan si es posible automatizar la inteligencia. La inteligencia sobre amenazas es una disciplina humana, en la que son los analistas humanos quienes toman las decisiones. Por supuesto, podemos utilizar herramientas para automatizar la recopilación y la recogida de datos. La automatización es un aspecto que cualquier programa de operaciones de seguridad debería tener en cuenta, pero debe llevarse a cabo de forma inteligente.
«Cualquier programa de operaciones de seguridad debería plantearse la automatización, pero las organizaciones deben automatizar de forma inteligente.»
Podría disponer de las mejores herramientas del mundo, pero es imprescindible contar con personas que las ajusten y las manejen. Cada entorno es diferente. El hecho de que un producto estándar de un proveedor funcione en su entorno no significa que vaya a funcionar en el suyo. Es necesario realizar muchos ajustes.
¿Cómo se pueden ampliar los canales informales de intercambio de información para que alcancen una escala mucho mayor?
Ese es el reto. Lo que está funcionando en este momento es de carácter informal. Se trata de personas del sector público y del privado que se conocen entre sí y pueden decir: «Le conocí virtualmente o en persona», o bien: «Hemos forjado una relación de confianza al compartir algo sencillo». «De acuerdo, construyamos esa relación». Así pues, cuando uno de ustedes detecte una amenaza, o si detectan una brecha a tiempo, es más probable que ambos se lo comuniquen mutuamente a través de canales informales.
Las agencias gubernamentales pueden aplicar las lecciones extraídas de ese intercambio informal. Se puede compartir información entre ambas partes, sin que el sector privado tenga que revelar los nombres de los clientes ni otra información confidencial.
Ese concepto de «pedir, no imponer» va a ser fundamental para compartir información. He observado muchos avances positivos en el intercambio informal. Resulta complicado plasmar estas lecciones por escrito. Pero espero que se incorporen a la política.
