Si las herramientas de TI se implementan en el bosque digital y nadie las ve ni las utiliza, ¿existen realmente?
La mayoría de los directores de seguridad de la información (CISO) saben mejor que responder esta pregunta similar a Zen. Ya sea que se haya detectado o no software, la expansión sin restricciones de herramientas autorizadas y no autorizadas puede abrir una puerta trasera real y potencialmente devastadora para los hackers.
Bradley Schaufenbuel entiende bien esto. El CISO de Paychex, un proveedor de servicios de nómina para pequeñas empresas, dice que la “expansión de herramientas” se ha convertido en una preocupación importante para los equipos de seguridad. Su propio equipo encuentra nuevas vulnerabilidades del software fraudulento todos los días. Si ese software no se actualiza regularmente, la superficie de ataque crece exponencialmente.
“A menos que las herramientas estén sancionadas e inventariadas, los equipos de seguridad a menudo desconocen su existencia”, dice Schaufenbuel. “Y un equipo de seguridad no puede asegurar lo que no sabe que existe”.
Un problema en expansión
Muchas herramientas no sancionadas se instalan de manera azarosa en una empresa sin el conocimiento de TI y siguen siendo así, olvidadas, sin parches y vulnerables, hasta que un hacker las encuentra y las utiliza para violar la red de una empresa.
Según una encuesta global de Tanium de 2020 , el 91 % de los responsables de la toma de decisiones de TI reconocieron que tienen muy poca visibilidad o control sobre los activos de TI. De hecho, casi un tercio dijo que los proyectos de TI oculta y la profusión de herramientas autorizadas y no autorizadas estaban causando enormes problemas.
Las fuerzas laborales distribuidas de hoy solo han empeorado las cosas. Tres de cada cinco trabajadores remotos ahora utilizan herramientas fraudulentas fuera de la política oficial de TI, según una encuesta de la empresa de seguridad de red NetMotion. Esta profusión de software no investigado presenta dolores de cabeza para las empresas a medida que buscan volver a un aspecto de un lugar de trabajo “normal” después de la pandemia. El problema se agrava aún más a medida que los entornos globales de TI han crecido en tamaño y complejidad a lo largo de los años, y los entornos híbridos y multinube se han vuelto comunes.
Las herramientas de seguridad pueden generar inseguridad
La gran ironía de toda esta complejidad y software fraudulento es que las mismas herramientas diseñadas para proteger la seguridad de una organización pueden presentar la mayor amenaza de ciberseguridad, como destacó el reciente hackeo de SolarWinds .
En una encuesta, el 55 % de los responsables de la toma de decisiones de TI informaron usar 20 o más herramientas entre seguridad y operaciones, y el 70 % dijo que estas herramientas carecen de integración completa. Aunque algunos profesionales de seguridad de TI pueden pensar que varias herramientas de seguridad permiten a los equipos cubrir de manera flexible más terreno, un estudio de IBM sugiere que lo contrario es cierto. Estas soluciones puntuales poco acopladas crean costos y complejidad adicionales que terminan dificultando la capacidad de una organización para detectar y responder a las violaciones.
Pero Josh Schofield, director sénior de gestión de productos en Tanium, dice que los problemas con la expansión de herramientas de seguridad no necesariamente comienzan con los departamentos de TI. La mayoría de estas herramientas, mantiene, son instalaciones de freeware por única vez realizadas por empleados que prestan autoservicio a sus máquinas. Surgen problemas, dice, cuando las licencias que requieren que las empresas paguen esas aplicaciones inician y bloquean el uso de los programas. Pocos usuarios hacen un esfuerzo adicional para eliminarlos, creando posibles vulnerabilidades de ciberseguridad, dice Schofield.
“Si una herramienta es legítimamente útil, insista en que pase por un proceso de investigación para ser sancionada”.Bradley Schaufenbuel, CISO, Paychex
Chris Hughes, consultor de ciberseguridad y profesor universitario sobre el tema, dice que cada herramienta de ciberseguridad debe combinarse con alguien que sepa cómo implementarla, instalarla y gestionarla. Cuando las organizaciones de TI tienen personal de soporte para monitorear la propagación de herramientas, tienden a ser más resilientes contra el ataque. Pero pocos equipos de seguridad son capaces de hacer esto bien en este momento debido a una escasez crítica de talentos de seguridad. Por lo tanto, invertir en múltiples herramientas de ciberseguridad tiene poco sentido en materia de seguridad, dice Hughes.
“La mayoría de los equipos de seguridad con docenas de herramientas admitirán que realmente no saben qué tan bien funcionan”, dice. “Están gastando mucho en estas herramientas, pero no pueden decirle si están obteniendo valor de ellas. Y ese es el dinero que podrían haber cambiado a otros recursos, como reforzar sus equipos”.
Mark Settle, un ex CIO de Okta y BMC Software, ve otro lado del problema. En principio, las empresas invierten en múltiples herramientas porque tienen capacidades complementarias y los beneficios que producen cuando se ensamblan son mayores que la suma de sus partes. “Esa es la teoría”, dice Settle, quien recientemente escribió un libro sobre gestión de TI. “En la práctica, las herramientas pueden tener capacidades superpuestas, ser difíciles de administrar y tener vulnerabilidades de seguridad subyacentes”.
Cómo controlar la expansión de herramientas
En teoría, las organizaciones que buscan contrarrestar la expansión de herramientas simplemente podrían implementar una única plataforma sancionada para manejar múltiples funciones. Esto optimizaría las operaciones y la seguridad, a la vez que eliminaría la necesidad de soluciones de TI ocultas. Sin embargo, los expertos recomiendan algunos pasos básicos para mejorar inmediatamente la higiene y la seguridad de TI:
Puntos finales y software de inventario. El equipo de Schaufenbuel en Paychex lo hizo como parte de un mayor esfuerzo por racionalizar el gasto en herramientas y consolidar a sus proveedores. Algunas organizaciones ya tendrán plataformas integrales de gestión de puntos endpoint o flujo de trabajo implementadas para ayudar a lograr esto. Aquellos que no lo hagan deben considerar dichas soluciones para obtener una mayor visibilidad y control de las herramientas y aplicaciones digitales.
[Leer también: Cómo los CIO del gobierno pueden jugar más duro D]
Schofield también recomienda buscar anomalías como parte de este proceso, no solo saber todo lo que está instalado en una red, sino también lo que parece estar instalado de manera más limitada y por qué.
“Es genial saber que tiene una herramienta instalada en 50,000 dispositivos, pero es aún más interesante cuando puede voltearla de cabeza y encontrar situaciones en las que tenga esta cosa que solo está instalada en cinco máquinas”, dice Schofield. “Ese es el tipo de cosa que realmente desea buscar porque podría representar un vector de ataque importante”.
Fortalecer el acceso. Es increíblemente difícil evaluar con precisión lo que hay en una red si los dispositivos no están registrados en ella. Schaufenbuel recomienda otorgar a los usuarios un período de amnistía para registrar las herramientas para que puedan fortalecerse y actualizarse continuamente, y si eso no funciona, bloquear o eliminar agresivamente las herramientas no sancionadas de los sistemas de la empresa. “Si una herramienta es legítimamente útil, insista en que pase por un proceso de investigación para ser sancionada”, sugiere Schaufenbuel.
Advierte que este no es un enfoque único para todos. Los desarrolladores de software, en particular, pueden necesitar más flexibilidad para instalar herramientas no autorizadas para hacer su trabajo. “Uno de los mayores errores que he cometido es bloquear las estaciones de trabajo de los desarrolladores demasiado fuerte”, dice, “lo que puede dificultar la productividad, inhibir la innovación y fomentar el resentimiento hacia el equipo de seguridad”. Para los desarrolladores, dice, es mejor usar una solución de gestión de endpoint que les permita instalar herramientas de una manera más controlada.
Analice el gasto en herramientas. Una vez que una organización tiene un control de las herramientas, necesita evaluar la inversión en ellas. Los tecnólogos pueden obsesionarse tanto con la compra de las herramientas más recientes y mejores que pasan por alto las otras herramientas en las que ya han invertido. “Algunos de los CISO que conozco desafían a sus equipos a identificar una herramienta existente a la que estén dispuestos a renunciar antes de aprobar la compra de un nuevo producto o servicio”, dice Settle. “Esa puede ser una forma altamente efectiva de limitar la propagación”.
Patch. Patch. Patch. Una vez que TI puede ver cada árbol en su bosque digital, puede actualizarlos y protegerlos. TI debe priorizar los parches de software que evitan las vulnerabilidades que tienen más probabilidades de afectar el negocio. Es importante prestar especial atención a las computadoras de escritorio, las computadoras portátiles y las impresoras que ejecutan software inactivo o desactualizado. Un informe reciente de HP Bromium descubrió que una antigua vulnerabilidad de corrupción de memoria sin parches en Microsoft Office causó casi el 75 % de todos los exploits detectados por su función de ciberseguridad HP Sure Click.
Vaya más allá de las contraseñas. Cada CISO sabe que las contraseñas por sí mismas son un método ineficaz para controlar el acceso a la red. Por lo tanto, es importante implementar mecanismos para ayudar a los usuarios no solo a crear credenciales sólidas, largas y únicas, sino también a recordarlas. Las herramientas de gestión de identidad y acceso, como OneLogin, pueden ayudar con esto. Los expertos en seguridad afirman que las organizaciones también deben implementar la autenticación multifactor (multifactor authentication, MFA) para reducir los riesgos de phishing y ataques de fuerza bruta. Esto es especialmente importante debido al creciente número de puntos finales del protocolo de escritorio remoto (Remote Desktop Protocol, RDP) atacados durante la pandemia de COVID.
