El 27 de agosto, el Wall Street Journal informó de que una filtración masiva de datos contra T-Mobile, en la que un pirata informático robó unos 50 millones de registros de clientes, fue llevada a cabo por un joven de 21 años que burló las defensas de la empresa a través de un router desprotegido. Según se ha informado, el pirata informático estuvo hurgando en los servidores de la operadora durante una semana antes de hacerse con su botín.
La noticia del ataque informático —y la forma en que se llevó a cabo— debe de haber alarmado a los responsables empresariales, informáticos y de seguridad de todos los sectores y organismos públicos. Dado que la economía, las infraestructuras y la defensa militar de Estados Unidos se sustentan en extensas redes digitales, y que hay millones de dispositivos conectados a dichas redes, ¿cómo es posible gestionar y proteger cada uno de ellos?
«Los ataques de este tipo están en aumento y los delincuentes trabajan día tras día para... atacar nuestros sistemas y aprovecharse de ellos», señaló Mike Sievert, director ejecutivo de T-Mobile, en una publicación. Escribió que hacer frente a la filtración de datos había sido «una lección de humildad». Aseguró que «velar por la seguridad de los datos de nuestros clientes es una responsabilidad que nos tomamos muy en serio, y evitar que se produzcan este tipo de incidentes siempre ha sido una de nuestras principales prioridades». Puede leer la declaración de T-Mobile sobre « » aquí:.
Mientras directores generales como Sievert —y sus equipos de TI y seguridad— siguen haciendo frente a lo que se ha convertido en una campaña incesante de ciberataques por parte tanto de Estados como de bandas criminales, hay algunas lecciones que se desprenden de estas recientes brechas de seguridad cibernética y que todos deberían tener en cuenta.
A continuación se enumeran cinco de los más importantes.
Reduzca su superficie de ataque
Para poder reducir la superficie de ataque, es necesario que conozca qué activos posee su organización y dónde se encuentran. Sin un inventario actualizado, cualquier medida que adopte para proteger sus activos resultará incompleta. Sin embargo, la labor de localizar los activos puede resultar complicada. Las empresas se fusionan. Adquieren otras empresas. Dichas empresas pueden utilizar sus propias conexiones a Internet.
«. Los ataques están en aumento y los delincuentes trabajan día tras día para encontrar nuevas vías de ataque a nuestros sistemas y aprovecharse de ellos.»Mike Sievert, director ejecutivo de T-Mobile
Ante tal expansión, se necesita un método que funcione de forma continua para detectar activos y clasificarlos . Una vez que conozca sus activos y sepa cuáles son externos, podrá empezar a reducir la superficie de ataque.
Es importante analizar y comprender su perímetro externo tal y como lo haría un pirata informático.
Once you inventory everything in your network, you need to make your external environment boring to a hacker: Anything other than corporate branded websites and 100% necessary externally facing ports should not be accessible. Cuanta más información y más servicios ponga a disposición del público, mayor será la necesidad de proteger y blindar dichos servicios frente a los atacantes.
Las organizaciones prestan servicios orientados al exterior (como sitios web y servicios para consumidores y socios) en zonas desmilitarizadas (DMZ), es decir, las redes situadas entre la Internet pública y las redes privadas. Si dichas subredes no están correctamente configuradas, los sitios web y los servicios pueden quedar expuestos y ser objeto de ataques.
En ocasiones, para agilizar la gestión o el acceso, un servicio web se abre directamente a Internet. Sin embargo, las empresas no deben exponer los servicios administrativos a Internet. Internet sufre constantes ataques desde el perímetro, y cualquier acceso directo o incluso indirecto puede suponer un problema para su red y, en última instancia, para su organización y su resiliencia.
Al realizar un análisis desde el perímetro externo, podrá detectar rápidamente los servicios que están expuestos, tal y como lo haría un pirata informático. Es recomendable supervisar sus sistemas para asegurarse de que los servicios de su perímetro no se comuniquen con servicios administrativos o no autorizados. Es fundamental llevar a cabo de forma continua la detección de activos dentro de la DMZ para garantizar que no se añadan dispositivos sin que hayan pasado por el proceso de incorporación.
Gestione sus configuraciones
Como dice Tony Robbins: «La complejidad es el enemigo de la ejecución».
Podría haber tenido una carrera ilustre como responsable de seguridad de la información (CISO). Su máxima resulta muy útil en el ámbito de la ciberseguridad. Resulta que la simplificación es la clave de la seguridad, sobre todo ante la creciente complejidad de las redes actuales. Las organizaciones deben, en primer lugar, localizar y realizar un inventario de todos sus activos y de los dispositivos finales de . No se puede gestionar lo que no se ve. Solo cuando tenga una visión completa de todo lo que hay en su red podrá protegerla. Y el mejor paso a seguir es gestionar sus configuraciones, algo que muchos no hacen correctamente.
De hecho, entre los 300 CISO encuestados por IDC el año pasado, el acceso privilegiado y los controles de configuración constituían una de las principales amenazas en materia de riesgos en la nube: el 63 % de esos responsables de seguridad (la mayoría de cuyas organizaciones habían sufrido al menos una brecha de seguridad en la nube en los 18 meses anteriores) afirmaron que se trataba de un reto fundamental para proteger los datos confidenciales.
No es de extrañar. Los equipos de TI suelen cometer errores graves al configurar sus controles. O bien, les asignan a cada uno una configuración diferente, lo que genera complejidad e introduce vulnerabilidades innecesarias. La idea es que, si todos los activos tienen la misma configuración y reciben las mismas actualizaciones, todos ellos presentarán las mismas vulnerabilidades. Pero, en realidad, eso puede ser algo positivo.
Disponer de una única configuración (o de una configuración mínima) por tipo de activo le permite dedicar tiempo y recursos a reforzar y probar únicamente una configuración. Si los sistemas se desvían de la configuración prevista, la pregunta que debe plantearse es: ¿por qué? ¿Qué procesos han fallado para que eso haya ocurrido?
Bloquear el movimiento lateral
Una vez que los piratas informáticos logran introducirse en una empresa, su siguiente paso suele consistir en adentrarse aún más en los sistemas informáticos. Según se ha informado, el pirata informático de T-Mobile afirmó que había vulnerado un único router y que, a continuación, se había infiltrado en los servidores de la empresa. Probablemente lo hizo desplazándose lateralmente por la red hasta que encontró los datos que buscaba. Los piratas informáticos se desplazan lateralmente saltando de un terminal a otro, capturando las credenciales de acceso de los usuarios mediante el registro de pulsaciones de teclas u otras herramientas especializadas.
«Con las credenciales adecuadas, pueden acceder a cualquier lugar al que deseen», afirma Ben Rothke, director sénior de seguridad de la información de Tapad, proveedor de servicios de publicidad y distribución de contenidos, en una entrevista con Endpoint. Con esas credenciales, afirma Rothke, el pirata informático puede acceder a redes, aplicaciones e incluso a la consola en la nube que utiliza un administrador. Por ello, prevenir, detectar y bloquear el movimiento lateral resulta esencial para la defensa de cualquier organización.
Afortunadamente, hay varias cosas que puede hacer. En primer lugar, haga que al atacante le resulte lo más difícil posible desplazarse lateralmente. Para ello, debe aumentar el coste que supone para el atacante lograr su objetivo. Póngales las cosas difíciles poniendo en práctica los principios básicos de una buena higiene cibernética. Esto debería incluir la gestión de activos y de configuraciones , ya mencionada anteriormente, así como la gestión periódica de parches .
Asimismo, debe gestionar las identidades. Es fundamental saber quién dispone de las credenciales necesarias para acceder a aplicaciones críticas y a recursos en red. El principio del «privilegio mínimo» reduce la superficie de ataque interna, al permitir que los usuarios accedan únicamente a los recursos que necesitan de forma imprescindible para desempeñar su trabajo.
Conviértase en un cazador de amenazas proactivo
¿Por qué? Porque no se trata de cuándo, sino de cómo.
Las empresas ya no pueden permitirse el lujo de esperar a que se produzca un ataque contra otra entidad para, a continuación, buscar ese mismo malware o a ese mismo pirata informático en sus propios sistemas. Deben llevar a cabo una búsqueda proactiva de amenazas, identificar desviaciones respecto a la norma en sus redes y tomar medidas al respecto.
Esto significa, en primer lugar, identificar indicadores específicos de compromiso (IOC) y, a continuación, buscarlos de forma periódica. Podría tratarse de procesos o herramientas de hackers ya conocidos, utilizados contra otras empresas del sector. Céntrese en identificar las tácticas, técnicas y procedimientos (TTP) de los piratas informáticos. Por ejemplo, los piratas informáticos deben llevar a cabo operaciones de reconocimiento para identificar objetivos de valor y desplazarse lateralmente por una red.
Dado que los piratas informáticos solo disponen de unos pocos métodos para desplazarse por un entorno, identificar sus TTP es la mejor forma que tiene un cazador de amenazas de localizarlos. Entre las preguntas que debería plantearse se encuentra la siguiente: ¿Cómo puedo detectar desviaciones respecto a la norma? ¿Cuáles son los parámetros que debería supervisar? (El tráfico de red procedente de bases de datos o servidores críticos podría ser uno de ellos.) ¿Soy tan ágil como mis posibles agresores? Si no es así, ¿cómo podría serlo?
Por supuesto, una vez que detecte a los intrusos, deberá eliminarlos. Ahí es donde resulta fundamental ser ágil. Porque unas pocas horas o unos pocos días pueden suponer una gran diferencia. ¿Cómo ha simplificado sus informes para que las personas que necesitan la información puedan recibirla y examinarla con rapidez?
Y, por último: ¡Proteja sus contraseñas!
Las contraseñas constituyen un elemento clave del nuevo perímetro de red para muchas organizaciones. Dado que millones de trabajadores a distancia acceden a las redes corporativas y a las aplicaciones basadas en la nube a través de dispositivos finales como ordenadores portátiles, ordenadores de sobremesa y tabletas, cada uno de esos dispositivos se convierte en un posible punto de entrada para actos maliciosos.
Las contraseñas están diseñadas para impedir el acceso a los malintencionados. Sin embargo, los seres humanos son falibles y no siempre utilizan las contraseñas de forma adecuada. Quizá piense que « Marlins1234 » es una clave perfectamente segura para sus cerraduras digitales. Sin embargo, con solo echar un vistazo a sus redes sociales, un pirata informático podrá adivinar esa contraseña sin apenas esfuerzo. Como prueba, eche un vistazo a la lista de las 200 contraseñas más comunes de la « » ():.
Millones de trabajadores estadounidenses no siguen unas buenas prácticas en materia de contraseñas. Más de la mitad (57 %) afirmó en una encuesta reciente de « » ( ) que anota sus contraseñas laborales en notas adhesivas, según Keeper Security. Eso es una falta de cuidado. Y esta tendencia no ha hecho más que aumentar desde el inicio de la pandemia. La misma encuesta reveló que el 66 % de los trabajadores tiende más a anotar sus contraseñas cuando trabaja desde casa.
[Lea también: Por qué seguimos necesitando el Día Mundial de la Contraseña]
Por supuesto, en el contexto actual, la autenticación multifactorial (MFA) también es imprescindible. Los sitios web, las aplicaciones y las redes empresariales suelen utilizar la autenticación multifactorial (MFA) combinando el inicio de sesión con contraseña con aplicaciones de autenticación de terceros a las que los usuarios pueden acceder a través de un smartphone. Sin embargo, la autenticación MFA no es una panacea, sobre todo si operadores como T-Mobile están siendo objeto de ataques. A medida que las organizaciones miran hacia el futuro, muchas están evaluando el acceso a la red de confianza cero para reforzar la seguridad más allá de los controles tradicionales basados en contraseñas.
Y si todo lo demás falla, llame a o a este señor:.
