Como arquitecto jefe de seguridad de Tanium, Ryan Kazanciyan ha presenciado los procesos de respuesta interna en docenas de empresas de todo el mundo tras el ataque de ransomware WannaCry. ¿Su mayor conclusión? La resistencia institucionalizada al cambio, no la simple negligencia, es una de las mayores razones por las que muchas empresas quedaron vulnerables. Esto es lo que puede hacer al respecto.
(Image: Arek Socha / Pixabay)
A medida que observamos que el círculo de culpas se expande tras el ataque de ransomware WannaCry, es natural cuestionar por qué las víctimas eran tan lentas en implementar protecciones fácilmente disponibles. Un parche que hubiera evitado este brote había estado disponible durante dos meses. El malware explotó una función de Windows que había estado obsoleta durante cuatro años. Lo que a menudo se pasa por alto es que la resistencia institucionalizada al cambio, no la simple negligencia, es una de las mayores razones por las que muchas empresas quedaron vulnerables.
Durante la semana pasada, he tenido la oportunidad de vislumbrar algunos de los procesos de respuesta internos en docenas de empresas de todo el mundo tras el ataque de ransomware WannaCry. Vi desconexiones muy frecuentes entre la percepción y la realidad.
Comencemos con la desconexión más evidente: muchas organizaciones operaban bajo la suposición de que la mayoría de sus sistemas habían sido revisados. En cambio, descubrieron que el porcentaje de computadoras susceptibles en sus flotas estaba en los dos dígitos. Otros no tenían forma de validar si los sistemas se habían reiniciado o si se habían implementado o implementado otros cambios de configuración de mitigación. Y aún otros dudaban en “activar el disparador” en las correcciones porque no estaban seguros de si podrían detectar rápidamente cualquier consecuencia no deseada o ser capaces de revertir los cambios si era necesario.
La situación no es única para el ataque de WannaCry. Incluso a medida que la seguridad de TI anualen todo el mundo se acerca a los 100 000 millones de USD en 2017, las empresas continúan luchando con las tareas básicas de gestión de sistemas, como la aplicación de parches, que son fundamentales para la llamada higiene de seguridad. Para entender por qué este es el caso, primero tenemos que examinar cómo operan la mayoría de las organizaciones de TI.
Durante la última década, los desarrolladores de software han adoptado el movimiento DevOps y las denominadas metodologías ágiles. Estos enfoques enfatizan el desarrollo, las pruebas y la entrega iterativos y rápidos de soluciones en la empresa. Sin embargo, los procesos de ingeniería y control de cambios en muchos ámbitos de las operaciones de TI y seguridad han permanecido comparativamente arcaicos y son persistentemente resistentes a la evolución. Es un choque de filosofías: cambios rápidos, incrementales y automatizados frente a accidentes cerebrovasculares amplios metódicos, planificados y examinados.
WannaCry plantea problemas organizacionales graves
Existen razones muy reales y prácticas por las que las operaciones de TI y seguridad son resistentes al cambio. La mayor parte de la infraestructura de TI es un conjunto de tecnologías heredadas y modernas preparadas para trabajar juntas con el tiempo. Según Frost & Sullivan, la organización promedio ejecuta de cuatro a seis sistemas operativos en puntos finales y de cuatro a siete sistemas operativos diferentes en servidores. Cientos de aplicaciones críticas para el negocio, algunas más sensibles a los cambios en la capa del SO que otras, pueden ejecutarse en estas plataformas. Y la responsabilidad operativa de gestionar toda esta infraestructura a menudo está muy aislada, con la computación del usuario final, la administración de servidores y la supervisión de aplicaciones, todo dividido entre numerosos equipos que no siempre se mueven a la misma cadencia. Agregar contratistas y subcontratistas a la combinación introduce mayor complejidad. Y ninguna persona o equipo desea ser el cuyos esfuerzos de aplicación de parches derriben un sistema crucial.
Cuando los requisitos comerciales exigen una disponibilidad ininterrumpida del sistema, es fácil entender por qué las empresas toman una decisión conservadora sobre ciertos tipos de cambios de TI. Y, para ser justos, los procesos modernos de control de cambios ofrecen disposiciones para manejar emergencias. Pero incluso cuando la urgencia del incidente de WannaCry exigía la flexibilidad para realizar cambios, muchas organizaciones seguían limitadas por sus operaciones de seguridad y la tecnología de gestión de sistemas. Esto demuestra un ciclo vicioso: sin la capacidad técnica para efectuar cambios y monitorear resultados de manera confiable y rápida a escala, las personas agregan “arrastramiento” en forma de más deliberación, proceso y consenso. Esto perjudica aún más su agilidad y limita la efectividad de las soluciones en las que han invertido.
Desafortunadamente, el parche que podría haber evitado que WannaCry se propagara tenía la combinación “perfecta” de atributos para ralentizar su aceptación:
- Afectó a casi todas las versiones de Windows, lo que significa más roles y tipos de sistema que requieren pruebas.
- Requirió un reinicio (no todos los parches lo hacen), lo que requirió coordinación del cronograma para minimizar el impacto comercial.
- No se lanzó originalmente para Windows XP y Server 2003 hasta después del brote de WannaCry. Aunque ambos sistemas operativos están al final de su vida útil, permanecen presentes en muchos entornos. Sus números están disminuyendo, NHS informó que solo alrededor del 5 % de sus hosts inventariados ejecutaban XP, por ejemplo, pero esos sistemas a menudo se utilizan para admitir dispositivos heredados críticos.
Frente al trasfondo de estos obstáculos técnicos y procedimentales, no es sorprendente que WannaCry haya tenido un impacto tan devastador, particularmente en verticales como la atención médica.
La verdad aterradora es que WannaCry podría haber sido mucho, mucho peor. A la fecha de este escrito, el malware “solo” infectó unos cientos de miles de sistemas. Por el contrario, Conficker (que explotó una vulnerabilidad de Windows igualmente generalizada en 2008) se diseminó a más de 10 millones de computadoras. Muchas organizaciones simplemente tuvieron la suerte de escapar de las dificultades de las campañas de ataque iniciales. Sin embargo, nuestra dependencia de los sistemas de TI en 2017 significa que los efectos de este ataque se sintieron mucho más agudos que otros que han pasado antes.
Los líderes de TI deben aprovechar esta oportunidad para impulsar la modernización de los procesos y las tecnologías que sustentan las operaciones de seguridad y gestión de sistemas, no solo enfocarse en mejorar la respuesta y la detección de ataques. Cuando los ataques futuros inevitablemente evaden nuestras primeras líneas de defensa, un enfoque ágil para la higiene de la seguridad puede evitar que las infecciones dispersas a pequeña escala se conviertan en la próxima epidemia global.
Acerca del autor: En su rol como arquitecto jefe de seguridad de Tanium, Ryan Kazanciyan aporta más de 14 años de experiencia en respuesta a incidentes, análisis forense y pruebas de penetración. Ryan supervisa el diseño y la hoja de ruta para las ofertas de Threat Response de Tanium y lidera el equipo de Detección y respuesta de puntos finales (EDR) de Tanium. Antes de unirse a Tanium, Ryan supervisó los esfuerzos de investigación y corrección en Mandiant, asociándose con docenas de organizaciones Fortune 500 afectadas por ataques dirigidos. Ryan ha capacitado a cientos de responsables de respuesta a incidentes como instructor para Black Hat y el equipo cibernético del FBI. Es autor contribuyente de “Incident Response and Computer Forensics 3rd Edition” (McGraw-Hill, 2014). Ryan también trabaja como consultor técnico para la serie de televisión “Sr. Robot”, donde colabora con los escritores y el equipo de producción para diseñar los trucos representados en el programa.