Si se implementan herramientas informáticas en el bosque digital y nadie las ve ni las utiliza, ¿existen realmente?
La mayoría de los responsables de seguridad de la información (CISO) saben que es mejor no responder a esta pregunta de carácter zen. Independientemente de que se haya detectado o no algún software, la proliferación descontrolada de herramientas autorizadas y no autorizadas puede abrir una puerta trasera real y potencialmente devastadora para los piratas informáticos.
Bradley Schaufenbuel lo entiende perfectamente. El director de seguridad de la información (CISO) de Paychex, un proveedor de servicios de gestión de nóminas para pequeñas empresas, afirma que la «proliferación de herramientas» se ha convertido en una de las principales preocupaciones de los equipos de seguridad. Su propio equipo descubre cada día nuevas vulnerabilidades derivadas de software malicioso. Si ese software no se actualiza periódicamente, la superficie de ataque aumenta de forma exponencial.
«A menos que las herramientas estén autorizadas e inventariadas, los equipos de seguridad suelen desconocer su existencia», afirma Schaufenbuel. «Y un equipo de seguridad no puede proteger lo que desconoce que existe».
Un problema cada vez más grave
Muchas herramientas no autorizadas se instalan de forma aleatoria en toda la empresa sin que el departamento de TI lo sepa y permanecen así —olvidadas, sin parches y vulnerables— hasta que un pirata informático las descubre y las utiliza para infiltrarse en la red de la empresa.
Según una encuesta global realizada por Tanium a 2020 empresas, el 91 % de los responsables de la toma de decisiones en materia de TI reconocieron que carecen de la visibilidad o el control necesarios sobre los activos de TI. De hecho, casi un tercio afirmó que los proyectos de «TI en la sombra» y la proliferación de herramientas autorizadas y no autorizadas estaban causando enormes problemas.
La dispersión de la plantilla actual no ha hecho más que empeorar la situación. Según una encuesta realizada por la empresa de seguridad de redes NetMotion, tres de cada cinco trabajadores a distancia están utilizando herramientas no autorizadas al margen de la política oficial de TI. Esta profusión de software sin verificar supone un quebradero de cabeza para las empresas, que tratan de recuperar una cierta apariencia de «normalidad» en el entorno laboral tras la pandemia. El problema se agrava aún más debido a que los entornos informáticos globales han aumentado en tamaño y complejidad a lo largo de los años, y los entornos híbridos y multinube se han convertido en algo habitual.
Las herramientas de seguridad pueden generar inseguridad
La gran ironía de toda esta complejidad y de este software malicioso es que las mismas herramientas diseñadas para proteger la seguridad de una organización pueden suponer la mayor amenaza para la ciberseguridad, tal y como ha puesto de manifiesto el reciente ataque a SolarWinds, del que se ha hablado en .
En una encuesta, el 55 % de los responsables de la toma de decisiones en materia de TI indicaron que utilizaban 20 herramientas o más entre seguridad y operaciones, y el 70 % señalaron que dichas herramientas carecían de una integración completa. Aunque algunos profesionales de la seguridad informática puedan pensar que disponer de varias herramientas de seguridad permite a los equipos abarcar más terreno con mayor flexibilidad, un estudio de IBM publicado en sugiere que ocurre justo lo contrario. Estas soluciones puntuales, poco integradas entre sí, generan costes y complejidad adicionales que acaban obstaculizando la capacidad de una organización para detectar las infracciones y responder a ellas.
Sin embargo, Josh Schofield, director sénior de gestión de productos de Tanium, afirma que los problemas derivados de la proliferación de herramientas de seguridad no se originan necesariamente en los departamentos de TI. Según él, la mayoría de estas herramientas son programas gratuitos de instalación única que los empleados instalan por su cuenta para mantener sus equipos. Según él, los problemas surgen cuando entran en vigor las licencias que obligan a las empresas a pagar por esas aplicaciones y bloquean el uso de los programas. Pocos usuarios se toman la molestia de eliminarlos realmente, lo que genera posibles vulnerabilidades en materia de ciberseguridad, afirma Schofield.
«Si una herramienta resulta realmente útil, insista en que se someta a un proceso de evaluación para que sea homologada.»Bradley Schaufenbuel, director de seguridad de la información (CISO) de Paychex
Chris Hughes, consultor de ciberseguridad y profesor universitario especializado en la materia, afirma que toda herramienta de ciberseguridad debe ir acompañada de una persona que sepa cómo implementarla, instalarla y gestionarla. Cuando las organizaciones de TI cuentan con personal de apoyo encargado de supervisar la proliferación de herramientas, suelen ser más resistentes ante los ataques. Sin embargo, en la actualidad son pocos los equipos de seguridad capaces de hacerlo bien debido a una grave escasez de personal cualificado en el ámbito de la seguridad . Por lo tanto, invertir en múltiples herramientas de ciberseguridad no tiene mucho sentido desde el punto de vista de la seguridad, afirma Hughes.
«La mayoría de los equipos de seguridad que cuentan con docenas de herramientas admitirán que, en realidad, no saben con certeza qué eficacia tienen», afirma. «Están invirtiendo mucho en estas herramientas, pero no saben decir si les están reportando algún beneficio». «Y ese es un dinero que podrían haber destinado a otros recursos, como reforzar sus equipos».
Mark Settle, antiguo director de sistemas de información de Okta y BMC Software, ve la cuestión desde otra perspectiva. En principio, las empresas invierten en múltiples herramientas porque estas cuentan con capacidades complementarias y los beneficios que generan al combinarlas son mayores que la suma de sus partes. «Esa es la teoría», afirma Settle, quien recientemente ha escrito un libro sobre la gestión de TI « » (). «En la práctica, las herramientas pueden tener funciones que se solapan, resultar difíciles de gestionar y presentar vulnerabilidades de seguridad subyacentes».
Cómo poner freno a la proliferación de herramientas
En teoría, las organizaciones que deseen hacer frente a la proliferación de herramientas podrían limitarse a implantar una única plataforma autorizada para gestionar múltiples funciones. Esto permitiría agilizar las operaciones y la seguridad, al tiempo que eliminaría prácticamente por completo la necesidad de recurrir a soluciones de TI paralelas. No obstante, los expertos recomiendan seguir una serie de medidas básicas para mejorar de inmediato la higiene y la seguridad informáticas:
Terminales y software de inventario. El equipo de Schaufenbuel en Paychex llevó a cabo esta iniciativa como parte de un esfuerzo más amplio por racionalizar el gasto en herramientas y consolidar su cartera de proveedores. Es posible que algunas organizaciones ya cuenten con plataformas de gestión de flujos de trabajo o de gestión integral de terminales implantadas para facilitar esta tarea. Aquellos que aún no lo hayan hecho deberían plantearse estas soluciones para lograr una mayor visibilidad y control de las herramientas y aplicaciones digitales.
Schofield recomienda asimismo buscar anomalías como parte de este proceso, no solo para conocer todo lo que está instalado en una red, sino también aquello que parece estar instalado de forma más limitada, y por qué.
«Es estupendo saber que tiene una herramienta instalada en 50,000 dispositivos, pero resulta aún más interesante cuando puede darle la vuelta a esa perspectiva y encontrar situaciones en las que dispone de ese elemento concreto que solo está instalado en cinco equipos», afirma Schofield. «Ese es precisamente el tipo de cosas que realmente debe buscar, ya que podría constituir un importante vector de ataque».
Mejorar el acceso. Resulta sumamente difícil evaluar con precisión qué hay en una red si los dispositivos no están registrados en ella. Schaufenbuel recomienda conceder a los usuarios un periodo de gracia para que registren sus herramientas, de modo que estas puedan reforzarse y actualizarse de forma continua; y, si ello no surte efecto, bloquear o eliminar de forma contundente las herramientas no autorizadas de los sistemas de la empresa. «Si una herramienta resulta realmente útil, insista en que se someta a un proceso de evaluación para que sea homologada», sugiere Schaufenbuel.
Advierte de que no se trata de un enfoque válido para todos los casos. Los desarrolladores de software, en particular, pueden necesitar mayor flexibilidad para instalar herramientas no autorizadas que les permitan realizar su trabajo. «Uno de los mayores errores que he cometido ha sido restringir en exceso el acceso a las estaciones de trabajo de los desarrolladores», afirma, «lo cual puede mermar la productividad, frenar la innovación y generar resentimiento hacia el equipo de seguridad». Según él, para los desarrolladores es mejor utilizar una solución de gestión de terminales que les permita instalar herramientas de una forma más controlada.
Analice minuciosamente el gasto en herramientas. Una vez que una organización domina el manejo de las herramientas, debe evaluar la inversión realizada en ellas. Los especialistas en tecnología pueden llegar a obsesionarse tanto con la adquisición de las herramientas más novedosas y avanzadas que pasan por alto las demás herramientas en las que ya han invertido. «Algunos de los CISO que conozco plantean a sus equipos el reto de identificar una herramienta existente de la que estén dispuestos a prescindir antes de aprobar la adquisición de un nuevo producto o servicio», afirma Settle. «Esa puede ser una forma muy eficaz de limitar la expansión urbana desordenada».
Parche. Parche. Parche. Una vez que el departamento de TI pueda ver todos los árboles de su bosque digital, podrá actualizarlos y protegerlos. El departamento de TI debería dar prioridad a los parches de software de que eliminen las vulnerabilidades que tengan más probabilidades de afectar al negocio. Es importante prestar especial atención a los ordenadores de sobremesa, los portátiles y las impresoras que utilicen software inactivo u obsoleto. Un informe reciente de HP Bromium reveló que una antigua vulnerabilidad de corrupción de memoria sin parchear en Microsoft Office fue la causa de casi el 75 % de todos los ataques detectados por su función de ciberseguridad HP Sure Click.
Vaya más allá de las contraseñas. Todo responsable de seguridad de la información (CISO) sabe que las contraseñas, por sí solas, constituyen un método ineficaz para controlar el acceso a la red. Por lo tanto, es importante implementar mecanismos que ayuden a los usuarios no solo a crear credenciales seguras, largas y únicas, sino también a recordarlas. Las herramientas de gestión de identidades y accesos, como OneLogin, pueden resultar de gran ayuda en este sentido. Los expertos en seguridad afirman que las organizaciones también deberían implementar una autenticación multifactorial (MFA) para reducir el riesgo de ataques de phishing y de fuerza bruta. Esto reviste especial importancia debido al creciente número de terminales del Protocolo de Escritorio Remoto (RDP) que han sido objeto de ataques durante la pandemia de COVID.
