Resumen
Al participar de manera persistente en inteligencia de amenazas y luego "defender hacia adelante", Estados Unidos ha podido frustrar una serie de ciberataques en todo el mundo en los últimos años, desde la botnet respaldada por China que infiltró algunos 260,000 servidores de Microsoft Exchange, hasta el ataque ruso a los ferrocarriles de Ucrania que, de no haber sido frustrado, podría haber resultado en la muerte de cientos de miles de ucranianos.
Lo que ha demostrado ser efectivo para los estados-nación también puede ser sorprendentemente aplicable a las empresas, dice Richard Harknett, un arquitecto clave de este nuevo enfoque proactivo de la ciberseguridad, y coautor de Cyber Persistence Theory: Redefining National Security in Cyberspace, de Oxford University Press. Harknett nos guía a través de algunas de esas victorias cibernéticas clave (las que no están clasificadas o han sido desclasificadas, al menos), y sugiere cómo los líderes empresariales que adopten la misma mentalidad pueden obtener beneficios en términos de contratación, cadenas de suministro y oportunidades de negocio en general.
(La conversación continúa con Harknett la próxima semana, cuando revisamos las últimas implicaciones de ciberseguridad para TikTok, la IA y otros temas que los líderes empresariales deberán abordar en el próximo año.) PRESENTADOR: Mike Curran, VP de talento global, Tanium INVITADO: Richard J. Harknett, Ph.D., director del Centro de Estrategia y Política Cibernética y codirector del Instituto de Ciberespacio de Ohio, Universidad de Cincinnati
Notas del programa
Para obtener más información sobre las políticas de ciberseguridad de EE. UU. y cómo la gestión autónoma de endpoints puede mantenerle activo y no reactivo, consulte nuestros artículos en Focal Point, la galardonada revista de noticias cibernéticas en línea de Tanium, y estos otros recursos útiles.
- Lo que las empresas necesitan saber sobre la nueva estrategia de ciberseguridad de EE. UU. | Focal Point
- Lo que muchos malinterpretan sobre el compromiso persistente y por qué es importante para las empresas | Focal Point
- Los federales van tras los CISO – Así es como evitarlo | Focal Point
- Cómo la automatización y la IA defienden su cadena de suministro de software | Focal Point
- La próxima evolución de la gestión de endpoints es autónoma | Tanium
- Los beneficios de la gestión continua de endpoints (y en qué se diferencia del software antivirus) | Tanium
- Presentamos Tanium Automate: orquestación y automatización fáciles de crear a escala | Tanium
Transcripción
La siguiente entrevista se ha editado para mayor claridad.
"Necesitamos realmente cambiar nuestra mentalidad sobre lo que significa tener una higiene razonable, una seguridad razonable. Por eso me gusta plantearlo bajo la idea de que no existen mejores prácticas en ciberseguridad. Solo existen prácticas mejores."Richard J. Harknett, director del Centro de Estrategia y Política Cibernética y codirector del Instituto Ohio Cyber Range, Universidad de Cincinnati
Mike Curran: Cuando se trata de ciberseguridad, es mejor ser activo que reactivo. Ese es el principio fundamental de la política cibernética actual de EE. UU., lo que se denomina la estrategia "Defender hacia adelante". Se consideraba bastante radical hace apenas unos años, pero el Reino Unido y otros aliados cibernéticos ahora están siguiendo nuestro ejemplo, y me hace preguntarme, ¿es esto algo que las empresas estadounidenses también deberían estar haciendo?
Hola, soy Mike Curran, vicepresidente de talento global aquí en Tanium, y hoy en Let's Converge, estamos hablando de "defender tu negocio hacia adelante", y qué tan práctico y rentable podría ser eso.
Como un poco de contexto, el gobierno federal comenzó a probar esta estrategia en 2018 y la consagró como nuestro plan oficial de ciberdefensa el año pasado. Nuestro invitado de hoy fue un actor clave para que eso sucediera.
Es Richard Harknett, Ph.D., director del Centro de Estrategia y Política Cibernética y codirector del Instituto Ohio Cyber Range en la Universidad de Cincinnati. Es profesor y el primer académico residente en el Comando Cibernético de EE. UU. y la Agencia de Seguridad Nacional. Y es uno de los arquitectos de esta nueva teoría de persistencia y proactividad en la ciberdefensa.
De hecho, coescribió el libro sobre el tema. Se titula Cyber Persistence Theory: Redefining National Security in Cyberspace, de Oxford University Press.
Bienvenido al podcast, Richard. Le agradezco que se haya tomado el tiempo. Es usted una persona muy ocupada, viajando a Washington D.C., Viena, Londres, por todas partes. Así que muchas gracias por tomarse el tiempo hoy.
Richard Harknett: Muchas gracias. Mike. Acabo de regresar de Londres, pasé un tiempo con nuestros aliados tratando de entender los desafíos del ciberespacio.
Curran: Fantástico. Se lo agradezco. Estoy notando algo sobre su hombro derecho. ¿Es eso una moneda o algo así? Se ve bastante interesante, pero no puedo leerlo. ¿De qué se trata todo eso?
Harknett: Oh, gracias. Bienvenido a mi oficina, oficina en casa. Sí, fue realmente un bonito gesto por parte del Almirante Mike Rogers, quien fue el comandante de cuatro estrellas del Comando Cibernético de EE. UU. y director de la NSA. Así que fui en préstamo desde la Universidad de Cincinnati en 2016 para convertirme en su académico residente, el primero que tuvieron, y ayudé – lo que ahora es de conocimiento público – a desarrollar algunos de los grandes giros que hemos dado en la estrategia cibernética nacional. Y así el Almirante Rogers me dio una pequeña condecoración y una moneda de cuatro estrellas, así que es algo genial.
Curran: Qué bien. Felicitaciones por eso. Le agradezco que nos lo haya contado. Pero oye, estamos aquí para hablar sobre el compromiso persistente, adoptando un enfoque proactivo hacia el ciberespacio. Pero si damos un paso atrás, tienes experiencia como experto en disuasión nuclear. ¿Hubo algún momento o algo que ocurrió donde tuviste ese momento de revelación, donde necesitábamos un nuevo enfoque para el ciberespacio?
Harknett: Sí, eso me lleva de vuelta a alrededor de 1992, ’93-ish. Estaba trabajando en temas nucleares, tratando de lidiar con el colapso de la Unión Soviética y cómo gestionábamos todo eso. E hice un pequeño trabajo para el DOD y les gustó bastante y dijeron: "Oye, tenemos esta cosa llamada navegador. ¿Qué crees que van a ser las implicaciones de seguridad de esto?" Entonces hice algunos análisis preliminares y dije que esto simplemente no se corresponde con la forma en que pensamos sobre la seguridad y la forma en que nos organizamos para la seguridad.
Así que fue bastante temprano, Mike, que sentí que había algo entre la realidad del espacio y la forma en que pensábamos sobre la seguridad que iba a ser problemático para nosotros. Así que fui bastante consistente en eso durante aproximadamente 20 años. Sabía cuál era el problema, pero no sabía exactamente cuál era la solución. Y durante los últimos 20, 25 años, nos tomó un tiempo llegar allí, pero creo que lo hemos descubierto.
Curran: Comencemos con, ¿puedes definir "compromiso persistente" y también "Defender hacia adelante" un poco?
Harknett: Sí. Entonces es importante [ver] cómo se relacionan entre sí. Así que el "compromiso persistente" se considera oficialmente una doctrina militar, una que ayuda a organizar las operaciones del Comando Cibernético. Pero también es una que ahora está siendo desplegada – una forma de ella – por el Departamento de Justicia para hacer frente a la ciberdelincuencia.
El compromiso persistente básicamente en pocas palabras dice que el ciberespacio es un entorno de actividad continua que busca explotar las vulnerabilidades inherentes en la informática de redes.
Entonces, cuando construimos esto que llamamos internet, no anticipamos todas las cosas que íbamos a agregar sobre él, desde las redes sociales hasta el apoyo económico masivo y las eficiencias y ese tipo de cosas. En su núcleo, no fue diseñado en torno a la seguridad, fue diseñado en torno al acceso.
Pero tan pronto como comenzaste a agregar información de identidad personal [o] riqueza económica, estas son cosas que otras personas desean. Y entonces necesitas pensar bien, ¿cómo lo aseguro? Y el desafío es que es un espacio abierto a la explotación.
Entonces el compromiso persistente básicamente dice que la seguridad depende de que yo anticipe cómo vas a intentar explotar mis vulnerabilidades antes de que lo hagas. Y la única manera de hacer eso, desde un punto de vista militar y de seguridad nacional, es descubrir qué están pensando hacernos nuestros adversarios antes de que lo hagan. Y ahí es donde entra la "defensa avanzada".
Porque no puedes defenderte dentro de tus redes. Si te defiendes en el borde de tus redes, solo estarás persiguiendo conejos por los agujeros. Así que tienes que defender de forma avanzada tanto en el espacio como en el tiempo. Así que sí, significa que tengo que salir de mis redes y entrar en las redes de otras personas para ver si están desarrollando malware que luego puedan usar contra mí. De esa manera quizás pueda parchear las vulnerabilidades antes de que las exploten.
Pero también necesito adelantarme, o "defender hacia adelante," en el tiempo. Porque si realmente descubro sus herramientas antes de que las usen, puedo corregir esas vulnerabilidades. Y entonces todo el tiempo, talento y energía que han invertido en desarrollar esas herramientas cibernéticas que van a usar para atacarme, ya no son útiles.
Entonces… ¿por qué necesito ser persistente? Porque el otro lado lo es. El otro lado siempre está buscando esa oportunidad para explotar la interconexión de este espacio. Y por eso la seguridad descansa en la anticipación, Mike, y es por eso que tengo que persistir y tengo que involucrarme constantemente. Eso es un gran, gran cambio respecto a la forma en que solíamos pensar sobre la seguridad en la Guerra Fría.
Curran: Sí, un cambio dramático. Bueno, cuando se mira específicamente a la empresa privada, me gustaría profundizar un poco en eso hoy y cómo se involucran y cómo defienden hacia adelante. Cuando miro la empresa privada y analizo las políticas del DOD, había una política que tienen que creo que era alertas… "Indicaciones y Advertencias," creo que se llamaba.
Harknett: Correcto.
Curran: Y estaban particularmente enfocados en lo que llaman el DCI y el DIB, que es la infraestructura crítica [de defensa] y la base industrial de defensa. Sabemos quiénes son, los Boeing y las otras grandes empresas. ¿Pero qué pasa con el resto de la América corporativa? ¿El resto del G-2000 que quizás no está tan estrechamente asociado? ¿Cómo defienden hacia adelante?
Harknett: Sí, esa es una gran pregunta. Entonces voy a sugerir dos formas de pensar al respecto.
Desde el punto de vista corporativo, es ilegal que usted salga y entre en la red de otra persona. Eso se consideraría piratería informática, intentar interferir con sus redes. Los gobiernos nacionales, los gobiernos de seguridad nacional bajo el derecho internacional, tienen la autoridad para hacer eso. Así que en parte lo que las empresas necesitan poder hacer es ser receptivas a la información que proviene del gobierno a medida que comenzamos a defender de manera proactiva y a medida que logramos un compromiso persistente.
Estas son nuevas construcciones, estamos desarrollando nuevas fuerzas – el Comando Cibernético y la Agencia de Seguridad Nacional son fundamentales en esto, pero tenemos otras agencias de inteligencia y agencias de aplicación de la ley tomando la iniciativa. Pero no ayuda si tomamos la iniciativa y nos damos la vuelta y decimos: "Oye, hay una vulnerabilidad que hemos descubierto", y las empresas no están listas para ser adaptables y flexibles en la actualización de sus sistemas.
Hubo una vulnerabilidad bastante significativa en Microsoft Exchange que sabemos, según resultó, fue una operación china. Entonces, cuanto más tiempo permanecía abierta esta cosa, más vulnerables eran más empresas en todo el país, ¿verdad?
Curran: Sí.
Harknett: Entonces el Departamento de Justicia de EE. UU. pudo, a través de algo llamado Regla 41, que es una autoridad de registro e incautación, entrar y realmente parchear esta vulnerabilidad.
Teníamos dispositivos de Internet de las Cosas y tipos de servidores; 260,000 habían sido comprometidos y puestos en lo que llamamos una botnet. Entonces son controlados por un único servidor de comando. Una operación realmente, realmente inteligente, en mi opinión. Descubrimos dónde estaba el servidor de comando chino que había comprometido estos 260,000, tomamos el control de ese servidor de comando y le ordenamos que fuera a eliminar su propio malware – que se removiera de todos estos dispositivos del sector privado.
Entonces los chinos están ahí, [y] no deberían estar ahí. El gobierno de EE. UU. no entra en el sector privado de las empresas estadounidenses. En realidad, logra que los chinos eliminen sus propias cosas. ¿Cómo sucede eso?
Eso sucede mediante un compromiso persistente, descubriendo que siempre están tratando de explotar…. [En este caso], tuvieron un buen día; comprometieron 260,000.
Eso es que ellos ganan la iniciativa por un tiempo. Pero al comprometerse de manera persistente y luego defender hacia adelante, descubrimos dónde estaba ese servidor de comandos [estaba], y con una táctica realmente inteligente, pudimos restaurar el espacio propietario que todos estos dispositivos de TI tenían.
Eso simplemente les da un pequeño sabor de la dinámica que está ocurriendo en este espacio. El sector privado tiene que ponerse en este pie anticipatorio. Entonces, cuando podemos avisarles sobre dónde están las vulnerabilidades, no pueden tomarse cinco meses para decidir aplicar el parche. Porque esos son períodos de tiempo en los que estás vulnerable.
Pero hay otro giro en esto, Mike, en términos de prácticas comerciales para empresas particularmente grandes. Si se quiere, su capacidad de defenderse proactivamente es a través de mejores prácticas con sus cadenas de suministro y con sus proveedores. Entonces, si vas a conectar tus redes a un proveedor secundario, desde una mentalidad de defensa proactiva, quizás quieras saber qué tan buena es esa red.
Hace algunos años, por ejemplo, Target fue hackeado justo en el punto de venta. Cuando entrabas a una tienda Target, pasabas tu tarjeta, y los datos de esa tarjeta estaban siendo robados. Ese cibermalware fue desplegado a través del proveedor de HVAC de todas las tiendas Target. Habrías tenido que saber que ese sistema de HVAC era en realidad vulnerable porque te hacía vulnerable como empresa.
Así que hay prácticas que puedes empezar a considerar en tus contratos y en tu cadena de suministro. Necesitas que tus proveedores alcancen un cierto nivel de seguridad.
Y hay otra operación de defensa proactiva y compromiso persistente que hemos estado llevando a cabo, que llamamos operaciones de "caza avanzada", sobre las que el Comando Cibernético de EE. UU. ha estado hablando un poco más. Los canadienses lo han hecho, los británicos lo han hecho. Lo que ocurre es que un país, un socio, invitará a EE. UU. a sus redes. Eso es un gran problema de confianza para empezar. Pero al estar en su red y trabajar junto a ellos, podemos descubrir cosas que quizás no habrían descubierto, ayudarlos con su propia red, y traer de vuelta ese tipo de recursos para defender la patria.
El caso público más importante del que puedo hablarles es October 2021, antes de que los tanques rusos entraran en Ucrania, el Comando Cibernético de EE. UU. estaba en realidad en una operación de "caza avanzada" con los ucranianos, invitado por los ucranianos a estar en sus redes. Encuentran un malware bastante virulento y sofisticado que habría derribado el sistema ferroviario en Ucrania. Y si saben algo sobre Ucrania, la gente no conduce coches, toma trenes, la mayor parte de la población.
Entonces lo que hicimos fue enclavarlo y dejarlo allí. Los rusos seguían pensando que funcionaba y que estaban haciendo cosas con ello. Entonces [nosotros] obtenemos inteligencia, [somos] capaces de volver a nuestras redes de transporte y decir: "Oigan, ¿tienen ustedes esta vulnerabilidad?" No les decimos cómo nos enteramos, pero "¿tienen esta vulnerabilidad? Tal vez esto es lo que necesitan hacer para corregirla."
De eso obtienes seguridad nacional.
Y luego los tanques entran en febrero, [los rusos] presionan la tecla enter y no funciona. El Financial Times de Londres ha sugerido que esta puede ser la primera operación cibernética que salvó vidas, porque 1.2 millones de ucranianos salen de las ciudades en tren en esa primera semana de la invasión rusa.
Curran: Vaya. Fascinante.
Harknett: Así que… es algo bastante importante para ser solo un tipo de operación. Entonces, si piensas en todo lo que puedes ganar siendo anticipatorio, las empresas podrían hacer lo mismo, ¿verdad?
Piense en el entorno del contrato como una invitación de "búsqueda anticipada". Su proveedor está diciendo: "Oye, puedes entrar en mis redes y ver que, de hecho, he cumplido con los estándares que necesitas". Esas empresas, al hacer eso, se convierten en proveedores más atractivos.
Diría que desde el punto de vista de las prácticas comerciales, cuanto más ciberseguro sea, más atractivo será en esa cadena de suministro. [Y] necesitamos que funcione en ambos sentidos, Mike. Necesitamos que las entidades más grandes exijan mejores prácticas por debajo de ellas, y desde el punto de vista de los incentivos económicos, necesitamos que esas empresas más pequeñas sean más seguras a lo largo de toda la cadena de suministro.
Curran: Quiero decir, si tuvieras una puntuación de higiene cibernética de una fuente neutral y de confianza, podría ser uno de los Ernst & Youngs, los Accentures del mundo, que básicamente diga que este proveedor en particular tiene toda la higiene necesaria, con la que debería sentirse cómodo. Pero no sé si existe alguna puntuación de higiene universal con la que la gente se sienta cómoda para tomar decisiones sobre proveedores, digamos….
Harknett: No, creo que es una gran observación, y esto es parte del desafío de la teoría de la persistencia cibernética y comprender que este es un entorno continuamente fluido. Tendemos a pensar en los estándares desde un modelo de cumplimiento. Es como si alcanzaras un nivel estático de X y puedo operacionalizar eso en toda una serie de casillas. ¿Y estoy en cumplimiento, verdad? Voy a revisar esa hoja de Excel.
Y eso se ha aplicado a la ciberseguridad – y no es una forma realmente efectiva de hacerlo.
Porque desde que tú y yo empezamos a hablar hoy, y no ha sido tanto tiempo, hay alguna aplicación en tu teléfono que se ha actualizado a una nueva versión. Y entonces mi cumplimiento de ayer no ha capturado eso.
Necesitamos realmente cambiar nuestra mentalidad sobre lo que significa tener una higiene razonable, una seguridad razonable. Me gusta plantearlo bajo la idea de que no existen mejores prácticas en ciberseguridad. Solo hay mejores prácticas.
Lo que necesitamos hacer desde el punto de vista organizacional es que las organizaciones deben alejarse de este modelo puramente de cumplimiento y comenzar a adoptar una forma organizacional que diga <em>alguien está verificando esto de manera regular.</em> Tengo un flujo organizacional que se adapta y adopta. Y lamentablemente, lo hacemos por oportunidad de negocio; no tendemos a hacerlo en el lado de la seguridad.
Pero yo diría que si empezamos a entender que ser seguros es una oportunidad de negocio, entonces ese cambio de mentalidad dice que esto es parte de hacer bien los negocios en el siglo XXI.
Curran: Así que gracias por su tiempo hoy y buena suerte en todo el buen trabajo que sigue haciendo. Lo apreciamos.
Harknett: Bueno, gracias, y gracias por la plataforma para hablar con sus oyentes. Realmente lo aprecio y disfruté mucho la conversación.
Curran: He estado hablando con Richard Harknett, director del Centro de Estrategia y Política Cibernética y codirector del Instituto de Rango Cibernético de Ohio en la Universidad de Cincinnati.
Si desea obtener más información sobre estrategias proactivas de ciberseguridad, consulte Focal Point, la galardonada revista de noticias cibernéticas en línea de Tanium; tenemos enlaces a artículos en las notas del programa. O visite tanium.com/p para publicaciones.
Para escuchar más conversaciones con los principales líderes empresariales y expertos en seguridad de la actualidad, no olvide suscribirse a « : Let’s Converge» en su aplicación de podcasts favorita. Y si te gustó este episodio, por favor danos una calificación de cinco estrellas.
Gracias por escucharnos. Esperamos compartir más perspectivas cibernéticas en el próximo episodio de Let's Converge.
