Para que la postura de seguridad de la red sea realmente eficaz, es crucial proteger todos los dispositivos de la empresa. Los ciber atacantes pueden convertir cualquier end point, como teléfonos, ordenadores, máquinas virtuales, dispositivos integrados, servidores y terminales de punto de venta, en un punto de entrada a la organización.
Los End Points desprotegidos son uno de los principales vectores de ataque para los actores maliciosos, quienes a menudo se mueven de uno a otro hasta que encuentran una manera de penetrar más profundamente en la red. Por eso es tan importante tener visibilidad de todos los end points de la organización.
Sin embargo, establecer esta visibilidad completa y asegurar que todos los end points están protegidos no siempre es fácil. Para saber cómo proteger adecuadamente la gran variedad de dispositivos de la red de la organización, es necesario entender cómo suelen empezar los ciberataques y cómo se propagan por los sistemas. A continuación, propongo las fases de un ataque a un end point y daré consejos sobre cómo detener estas amenazas.
Anatomía de un Ataque a un End point
Existen innumerables formas de que un actor de amenazas lleve a cabo un ataque y se mueva lateralmente a través de la red. Un método común es realizar una campaña de spam o phishing enviando correos electrónicos con archivos adjuntos peligrosos a usuarios desprevenidos de toda la organización.
Un usuario final puede hacer clic en el archivo adjunto y lanzar una carga maliciosa inicial. Si su dispositivo no está equipado con una solución de seguridad para end points, ese elemento malicioso comenzará a ejecutarse. El incidente podría dar como resultado una infección con un impacto menor en la red. Sin embargo, es usual que el elemento malicioso sea un enlace de comando y control a una célula remota que se conecta a un operador que está esperando para comprometer el dispositivo. Intentarán acceder al entorno en el que se ejecuta el dispositivo y comenzarán a analizar la red en busca de vulnerabilidades y activos valiosos.
El actor malicioso entonces comenzará a explorar la red de manera similar a cómo lo hacen los profesionales de la seguridad para descubrir otros dispositivos. Los atacantes se han vuelto más sofisticados; dependiendo de sus hallazgos o de lo lejos que lleguen en la red, es probable que no activen muchas alertas ni tengan prisa por lanzar el ataque. Se moverán con cuidado, buscando dispositivos adicionales a los que puedan acceder y credenciales que puedan robar.
Por ejemplo, si los servicios de Protocolo de Escritorio Remoto (RDP) están habilitados, el atacante aprovechará esas conexiones RDP con las credenciales robadas para intentar acceder a otros dispositivos. Continuarán utilizando diferentes exploits para acceder a más dispositivos, recopilar más credenciales y obtener más conocimientos sobre la red. Si consiguen obtener el dominio de seguridad del dispositivo, el adversario puede vender esa información a través de la dark web a otro grupo de amenazas interesado en orquestar un ataque mayor.
Los atacantes suelen operar sin ser detectados durante días o semanas, esperando pacientemente para lanzar el ataque hasta haber robado todos los datos que querían. Quienes gestionan la red deben ser conscientes de que, si el atacante ha accedido a ella durante un tiempo y se percata de que el operador de la red está aplicando medidas de seguridad adicionales, puede lanzar inmediatamente su ataque mientras aún tiene acceso.
¿LA ESTRATEGIA?
Aumentar la visibilidad para proteger los End points
1. Establecer una Visibilidad Completa de Todos los End points: Como ya he mencionado, una medida esencial para los equipos de seguridad es tener una amplia visibilidad de todos los end points. Las herramientas de seguridad avanzadas con capacidades de descubrimiento sofisticadas ayudarán a aumentar la visibilidad identificando los end points desprotegidos e informando de los pasos necesarios para instalar protección y supervisión continua. Por ejemplo, si se tiene una red de 100 ordenadores y 10 están desprotegidos, una herramienta de seguridad con descubrimiento avanzado puede identificar todos los end points conectados a la red y mostrar cuáles son los 10 desprotegidos, permitiendo gestionar esos end points.
2. Utilizar la Autenticación Multifactor (MFA): Los actores maliciosos probarán varios métodos, incluidos los ataques de fuerza bruta, para acceder a las credenciales de seguridad y utilizarlas en toda la red. Si un atacante roba las credenciales del administrador de seguridad e inicia sesión en la consola del producto de seguridad, intentará desinstalar o desactivar el producto desde la consola de administración. Exigir la MFA en todos estos servicios críticos puede impedir que un atacante desactive las medidas de seguridad. Medidas como la MFA pueden mitigar gran parte del riesgo y limitar el alcance de un ataque.
3. Implantar un Proceso de Gestión de Vulnerabilidades: Los equipos de seguridad deben asegurarse de que todo el software utilizado esté actualizado. Una forma común en que los actores de amenazas se mueven lateralmente dentro de una red es explotando vulnerabilidades conocidas en el software. Las organizaciones pueden reducir significativamente su riesgo implantando un proceso de gestión de vulnerabilidades diseñado para parchear regularmente el software, el sistema operativo y las vulnerabilidades de terceros. Eliminar este escenario para los atacantes dificulta mucho su trabajo y puede evitar que muchos ataques frecuentes tengan éxito.
En resumen
Una seguridad eficaz requiere más que una solución tecnológica; se necesita una combinación de tecnología y servicios de seguridad gestionados por un equipo de expertos. Las organizaciones no deben limitarse a implantar una solución de seguridad, sino también gestionarla y disponer de personal para analizar la actividad y las anomalías que descubren las herramientas de seguridad.
Si la organización no cuenta con un equipo de operaciones de seguridad, probablemente merezca la pena suscribirse a un servicio de MDR en lugar de intentar hacerlo por su cuenta. En última instancia, una seguridad eficaz requiere una supervisión constante. Con las personas, los productos y los procesos adecuados, se puede proteger los end points y toda la red.
