En la primera entrega de nuestra serie de tres partes « » (), David Damato, director de estrategia de Tanium, analiza por qué es tan esencial mantener unos buenos hábitos de seguridad y detalla la primera etapa para poner en orden su organización de TI. ‘
¿Tiene usted hábitos de seguridad deficientes? Si es así, no se desanime. No está solo. Los equipos de TI y de seguridad llevan mucho tiempo descuidando los controles de seguridad básicos, incluidos aquellos definidos en el Marco de Ciberseguridad del NIST (se abre en una nueva pestaña) o Controles de Seguridad Críticos del CIS (se abre en una nueva pestaña) (también conocido como «SANS Top 20») desde hace más de una década.
Mi experiencia en la gestión de más de 100 incidentes de seguridad en empresas me ha enseñado que la gran mayoría de los incidentes de seguridad son consecuencia de fallos en las prácticas que definimos, en términos generales, como «higiene de seguridad» (se abre en una nueva pestaña).
Tomemos, por ejemplo, la gestión de activos: la tarea básica de realizar un seguimiento de todos sus dispositivos y conocer su estado actual. Del mismo modo que una empresa realiza un seguimiento de sus activos financieros, los equipos de TI y de seguridad deben realizar un seguimiento de sus activos, incluidos los dispositivos, los servidores, los sistemas operativos y las aplicaciones. No se puede proteger lo que no se conoce. Sin embargo, en casi todas las iniciativas de recuperación tras una filtración grave que he dirigido, los responsables de tecnología o de seguridad de la organización afectada no han podido facilitar un inventario preciso de los dispositivos. De hecho, a la mayoría le costó mucho alcanzar una precisión comprendida entre el 10 % y el 20 % respecto al recuento real.
Otro ejemplo es la gestión de vulnerabilidades. El año pasado, varias organizaciones se vieron afectadas por el el ransomware Samsam (se abre en una nueva pestaña). Samsam se valió de una vulnerabilidad de JBoss que ya tenía más de un año. En el momento en que se lanzó el ransomware, los investigadores estimaron que existían en Internet más de 2.1 millones de instancias vulnerables de JBoss. La mayoría de las organizaciones presentan miles de vulnerabilidades sin resolver y carecen de parches críticos, lo que propicia la proliferación de ransomware y otros ataques poco sofisticados. El informe « 2015 Verizon Data Breach Investigations Report » (se abre en una nueva pestaña) pone de relieve el retraso que acumulan las organizaciones a la hora de aplicar parches a las vulnerabilidades. Según el informe, el 99 % de las vulnerabilidades explotadas ya habían sido objeto de ataques más de un año después de la publicación del Common Vulnerabilities and Exposures (CVE).
No soy el único que se ha dado cuenta de que la mayoría de las filtraciones se deben a unas prácticas de seguridad deficientes, más que a una sofisticación especial por parte de los atacantes. El año pasado, Rob Joyce, director de la división Tailored Access Operations (TAO) de la NSA —el grupo responsable de lanzar sofisticados ciberataques desde la NSA— afirmó (se abre en una nueva pestaña): «Dedicamos el tiempo necesario… para conocer [esa red] mejor que quienes la diseñaron y quienes se encargan de protegerla». «Se sorprendería al ver las cosas que realmente se están ejecutando en una red, en comparación con las que uno cree que deberían estar ahí».
Ian Levy, director del Programa de Ciberseguridad del Reino Unido, criticó a principios de este año a los proveedores de seguridad que intentaban presentar las amenazas persistentes avanzadas (APT) como una forma de ataques sofisticados. En su lugar, sugirió que las siglas APT significaran «, adequate pernicious toe-rags (se abre en una nueva pestaña)». Levy desea que el debate actual sobre la ciberseguridad refleje lo que él considera que es la naturaleza relativamente poco sofisticada de muchos ataques. «Si lo denomina “amenaza persistente avanzada”, acaba creando un discurso que, en esencia, dice: “Ustedes son demasiado estúpidos para entender esto y solo yo puedo ayudarles; compren mi amuleto mágico y todo irá bien”». «Es brujería medieval, es auténtica brujería medieval».
Teniendo en cuenta que la mayoría de los ataques no son sofisticados, y que incluso los atacantes más sofisticados comienzan con tácticas básicas antes de ir aumentando la complejidad de sus técnicas, las prácticas de seguridad básicas deben ser el punto de partida para los responsables de seguridad. Es fácil para mí decirlo. Entonces, como responsable de seguridad, ¿por dónde empieza?
Recomiendo abordar la higiene de seguridad en tres fases:
- Evalúe su entorno actual y asegúrese de que las soluciones existentes funcionen correctamente y se aprovechen al máximo
- Adapte su programa de seguridad a un marco de referencia líder en el sector y optimice las soluciones para alcanzar el estado futuro que desea
- Evalúe su progreso en relación con el estado futuro definido y adapte continuamente las capacidades según sea necesario
A continuación detallamos las directrices para abordar la primera fase de sus medidas de higiene de seguridad. En las próximas entradas, analizaremos las fases dos y tres.
Primera fase de la higiene de seguridad: Evaluación
El primer paso para mejorar las prácticas de seguridad consiste en conocer el estado actual de los controles de seguridad más importantes de su red. Muchas organizaciones están convencidas de que gestionan eficazmente las bases de datos de activos y corrigen las vulnerabilidades; sin embargo, mi experiencia me ha enseñado que, a menudo, esa confianza es infundada. El objetivo de esta primera fase es identificar estas carencias y garantizar que las inversiones existentes se aprovechen al máximo.
Empiece por seleccionar un conjunto de controles de seguridad ordenados por prioridad. Centrarse en los controles, en lugar de en todo el marco (lo abordaremos en la próxima entrada), facilitará este paso y le ayudará a abordar un conjunto de controles que, en general, se consideran fundamentales. El documento « : 20 controles de seguridad críticos del CIS» ( ) constituye un excelente ejemplo de lista de controles ordenada por prioridad. La lista incluye medidas que abarcan desde la realización de un inventario de activos hasta la formación de los usuarios. De hecho, puede seleccionar un subconjunto de la lista para centrarse en aquellas áreas que más le preocupan. Los controles incluidos son subcomponentes de marcos de trabajo muy utilizados, como el , , el Marco de Ciberseguridad del NIST (se abre en una nueva pestaña),y , lo que debería permitirnos ampliar esta iniciativa más adelante.
A continuación, determine en qué medida su organización aplica de forma eficaz los controles de seguridad de la información priorizados. Durante este proceso, basese en pruebas técnicas en lugar de en simples entrevistas. Por ejemplo, para determinar la eficacia de su inventario de dispositivos, identifique todos los dispositivos de su red y compare la lista con su CMDB. Recopile información sobre los niveles de parches de los sistemas operativos y las principales aplicaciones de terceros (por ejemplo, Java, Flash). Compare la información del parche con los resultados de las evaluaciones de vulnerabilidad ya realizadas. Las deficiencias detectadas deberían poner de manifiesto rápidamente si dichos controles son eficaces o ineficaces.
En cuanto a las deficiencias detectadas, asegúrese de que las inversiones existentes se aprovechen al máximo. Por ejemplo, utilice las utilidades existentes de Windows, como BitLocker, AppLocker y EMET, para mejorar la seguridad sin necesidad de adquirir soluciones específicas que aborden el cifrado completo del disco (FDE), las listas blancas de aplicaciones y las capacidades de protección contra vulnerabilidades. Quizá su solución antimalware solo esté actualizada o funcione correctamente en el 80 % de sus dispositivos; solucione este problema. El resultado final de esta actividad debería consistir en abordar cualquier «solución rápida» e identificar las deficiencias restantes, que se abordarán en el marco de un proyecto de transformación de la seguridad mucho más amplio.
En Tanium, hemos desarrollado una evaluación de higiene de seguridad para ofrecer a los clientes informes precisos y sencillos sobre las deficiencias habituales en materia de higiene de seguridad. Los resultados han sido reveladores.
- Un importante cliente del sector financiero contaba con aproximadamente 5,500 solicitudes documentadas y aprobadas. Tanium ayudó a identificar más de 10,000 aplicaciones instaladas.
- Un importante cliente del sector minorista creía tener bajo control la gestión de parches. Tanium detectó aproximadamente 3,500 casos de Java que no se habían actualizado desde hacía más de un año.
- Una institución financiera internacional consideraba que SCCM proporcionaba información precisa en todos los dispositivos. Tanium reveló que SCCM no funcionaba en aproximadamente el 15 % de todos los dispositivos compatibles, lo que también afectó a la precisión de los informes sobre los niveles de parches y el estado de otras soluciones, como el software antimalware.
Una vez que haya comprendido estos controles básicos y haya aprovechado las herramientas disponibles en su entorno, estará preparado para centrarse en un proyecto de transformación de mayor envergadura, utilizando un marco de referencia como la norma ISO 27001 o el Marco de Ciberseguridad del NIST.
Acerca del autor,: Como director de seguridad, David Damato se encarga de la dirección estratégica del desarrollo de módulos para la plataforma Tanium y gestiona el programa de seguridad interno de la empresa. David aporta a Tanium una amplia experiencia en materia de seguridad, que abarca la respuesta ante incidentes y el análisis forense, las evaluaciones de vulnerabilidades, el desarrollo de programas de seguridad, las operaciones de seguridad y la arquitectura de redes y seguridad. Antes de incorporarse a Tanium, David ocupó el cargo de director general en Mandiant, una empresa de FireEye, donde su equipo dirigió las labores de respuesta ante incidentes y de recuperación tras las brechas de seguridad en más de 100 empresas de la lista Fortune 500 . En Mandiant, David también desempeñó un papel fundamental en el desarrollo de nuevas capacidades en los servicios de respuesta ante incidentes y en la creación de oficinas de consultoría tanto a nivel nacional como internacional. Antes de incorporarse a Mandiant, David dirigió equipos de consultoría en materia de seguridad en PwC, dentro de su área de práctica federal de Washington, y ocupó puestos en el ámbito de las tecnologías de la información en Raytheon, centrados en la gestión de redes internas y gubernamentales. David suele compartir sus conocimientos y opiniones en eventos del sector y con los medios de comunicación.
