Menu revista Cerrar Menu revista

ciberataques

Ultimas historias

“Una aguja en una pila de datos”: cómo utilizar la inteligencia de amenazas para prevenir ataques.

  • Minutos de lectura
    • Según Benjamin Franklin, "nada en la vida es definitivo, excepto la muerte y los impuestos". Pero ahora, en la era de la tecnología avanzada, podemos añadir una nueva inevitabilidad: las amenazas cibernéticas. Antes del primer sorbo de café en un lunes por la mañana, una nueva amenaza ya puede haber empezado a causar un gran impacto en tus datos. Apenas no la has descubierto, todavía. Entonces, en un mundo donde las amenazas están por todos lados, ¿cuáles son tus mejores opciones? Si la continuidad de tu negocio y la protección de los datos son una prioridad para su empresa, probablemente ya invertiste o estás pensando en invertir en un Centro de Operaciones de Seguridad (SOC). ¿Pero de qué sirve un SOC? Un SOC monitorea amenazas 24 horas por día para que tu equipo de seguridad cibernética pueda estar concentrado en mantener lejos a las amenazas más peligrosas. Se supone que con eso puedes estar más tranquilo y saborear tranquilamente tu café. Pero infelizmente la cosa no funciona así. Si los datos son el nuevo petróleo, estamos hoy pasando por las secuelas de un gran derrame. La sobrecarga de datos es tanto un problema para el equipo de InfoSec como para las operaciones de marketing y de ventas. Con el crecimiento constante de los dispositivos interconectados y el Internet de las Cosas, tener información sobre las amenazas que te pueden afectar es siempre algo bueno. Pero saber la diferencia entre las amenazas falsas y las que realmente necesitan de atención inmediata es como encontrar una aguja envenenada, pero no en un pajar, sino dentro de una pila de datos. Y la inteligencia de amenazas se hace necesaria para localizar e inmunizarse contra miles de amenazas posibles. ¿Por qué necesitas de la inteligencia de amenazas?             La inteligencia de amenazas es la comprensión de cuales son las diferencias entra las amenazas, para saber cuándo y cómo debes proceder para evitar problemas más graves. La consultoría Gartner define la inteligencia de amenazas como: Pero eso nos lo que se está discutiendo. El problema es que no hay dos batallas iguales contra las amenazas cibernética. Cada una tienes sus particularidades. Con la inteligencia de amenazas podemos tratar de relacionar los ataques para primero identificar quien es tu oponente y después adaptar la mejor estrategia de defensa para pararlo. Todos los días enfrentamos nuevas amenazas. Desde que Kaspersky fue creada, en 1997, sumamos más de 700 millones de nuevos archivos maliciosos, un crecimiento de 8.400 veces en comparación al volumen inicial. Estos van desde las amenazas cotidianas fácilmente detectables, como los malware conocidos, hasta amenazas avanzadas y ataques direccionados que usan TTPs (tácticas, técnicas y procedimientos), además de amenazas persistentes e inusuales, pero que son extremadamente avanzadas, como las APTs. Los datos nos muestran un escenario interesante, frecuentemente nombrado como "pirámide de amenazas". Las amenazas más conocidas, como los malware, corresponden al 90% de todas las amenazas que vemos. En comparación, las más avanzadas y los ataques direccionados corresponden a 9,9% del total. Estas tienen un efecto peor en las pequeñas y medianas empresas (PyMEs), con ataques como el Trojan Emotet, que es bastante activo hoy en día. Y solamente el 0,1% de todas las amenazas son APTs, afectando a pocas organizaciones, pero con consecuencias devastadoras. Estas son las agujas más venenosas de nuestra pila de datos. Necesitas una estrategia, no de una plataforma Una buena inteligencia de amenazas es más que solamente comprar una plataforma y esperar los resultados. Como toda prevención eficiente, ella combina tecnología, estrategia y esfuerzo. Ese tipo de sistema provee las informaciones necesarias para que sepas cómo responder, desde alertas en tiempo real sobre una potencial invasión hasta una ayuda para educar a tus principales colaboradores sobre los riesgos de una invasión. En el nivel básico, las informaciones sobre amenazas proporcionan alertas y bloqueos para indicadores de compromiso (IOC). Las alertas contextuales y la gestión de firmas electrónicas ayudan a determinar la gravedad de los ataques para planear las respuestas a esos incidentes. Otro ejemplo de utilización es el análisis de fusión: una herramienta que ayuda y evalúa alimentaciones de datos desconectadas, para con eso ayudar a identificar cuáles amenazas son las más peligrosas. Además de eso, la inteligencia de amenazas también puede mejorar tu estrategia de seguridad cibernética. Al utilizar informaciones relevantes para definir tu postura de riesgo, el planeamiento de seguridad informa las mejores decisiones de arquitectura y ayuda a perfeccionar sus procesos de seguridad para defenderse mejor de las amenazas ya conocidas. Si estás trabajando con un proveedor de servicios gestionados (MSP) para ejecutar tus operaciones de seguridad, una cuestión pertinente sería cómo instalar y ejecutar el servicio de inteligencia de amenazas y cuanto tiempo y esfuerzo vas a necesitar para eso. Considerando que el sistema tiene que funcionar 24 horas al día, 7 días a la semana, este puede no ser un servicio fácil ni barato a la hora de contratarlo. Las tres grandes partes de la inteligencia de amenazas Para planear y comprar una solución para tu empresa, debes considerar tres componentes: IOC (indicador de compromiso) El IOC es la base de la inteligencia de amenazas. Es la prueba de que podemos medir y reconocer fácilmente los síntomas de un problema, como una fiebre que funciona como señal de que hay una enfermedad en el cuerpo. Existen muchos servicios de IOC, pero para elegir el más adecuado es ideal saber cuales son las amenazas más probables para tu empresa. Indíces de datos de amenazas ("threat data feeds") Estas herramientas proporcionan inteligencia integrada, analizando los oponentes y el paisaje de amenazas más extenso. Hay muchas opciones en el mercado, tanto gratis como pagas. Para elegir lo mejor para tu negocio, pregunte: ¿Necesitamos de una alimentación de datos APT si no somos un objetivo probable para los grupos APT? ¿Dónde es el mejor lugar en tu infraestructura para añadir estos datos? ¿Debemos bloquear las amenazas o apenas avisar a los equipos? Las respuestas dependerán de la postura de seguridad y de la estrategia de TI que decidas adoptar para tu organización. Plataforma de inteligencia de amenazas Una plataforma de inteligencia de amenazas te permite gestionar una gran cantidad de softwares especializados que soportan diferentes componentes. Qué escoger y cómo integrar los servicios depende de tu presupuesto y de tus necesidades comerciales. Aunque hay por ahí datos de código abierto, puedes comprar una inteligencia sectorial más específica. Es esencial estudiar y averiguar en el mercado cuando se compran servicios de inteligencia de amenazas, para garantizar que el proveedor ofrezca un servicio reactivo, tanto en calidad de los datos que te provee, como en velocidad para responder a un incidente. Con un planteamiento cuidadoso, un buen proveedor y una estrategia bien pensada, tu SOC puede obtener muchos beneficios de la protección total y del poder de la inteligencia de amenazas. Sí, infelizmente las agujas todavía estarán escondidas en el medio de tu pila de datos, pero ahora tendrás las herramientas correctas para encontrarlas y romperlas.

Consejos de los especialistas: cómo lidiar con la filtración de datos

  • Minutos de lectura
    • Debo confesar algo: odio escribir sobre filtraciones de datos. Son tan frecuentes en estos días que estoy seguro de que todos hemos sido perjudicados por varias vulneraciones, ya sea que seamos conscientes de ello o no. Tengo la sensación de que por cada filtración de datos que es informada en los medios, hay cientos de los cuales las personas nunca oyen hablar o las empresas ni siquiera se dan cuenta. El fenómeno de la filtración de datos se intensificará con el tiempo. Por lo tanto, entre más especialistas de infosec puedan instruir a las empresas para las que trabajan e implementar las prácticas recomendadas, mejor podremos protegerlas de los peores efectos de una vulneración. En la serie Security Bytes, comparto los consejos más inteligentes de los especialistas en seguridad de alto nivel. Esta vez hablé con especialistas en ciberseguridad que fueron lo suficientemente valientes como para compartir conmigo sus historias sobre filtración de datos. Cada especialista tuvo que lidiar de primera mano con un incidente de filtración de datos. He mantenido algunos detalles de forma anónima, debido a que el tema es delicado. Pero el conocimiento que aquí se proporciona puede ayudarle a responder a las filtraciones de datos de manera más efectiva. La pregunta: ¿Qué hizo cuando se enfrentó a una filtración de datos críticos? Daniel Ruf, Desarrollador y Consultor de Seguridad Las respuestas iniciales son esenciales para contener una filtración de datos. Daniel Ruf fue contratado para trabajar para un propietario anónimo de un proyecto. Ruf describió lo primero que sucedió que condujo al descubrimiento de una filtración de datos. Sus acciones rápidas y cuidadosas son un gran ejemplo de cómo manejar una  vulnerabilidad. "Una noche, mediante una alerta de monitoreo del sistema, me di cuenta de que el CPU estaba siendo utilizado al 99 por ciento en nuestro servidor raíz, lo cual causó un impacto en la disponibilidad de otros sitios web que utilizan el mismo servidor. Informé al propietario del proyecto del sitio web pirateado y después comencé mi primer análisis. Posteriormente, incluí en la lista negra la dirección IP del atacante, bloqueé su acceso al sistema y después eliminé los procesos sospechosos. Archivé tantos archivos como pude del servidor web del propietario del proyecto para analizarlos posteriormente y llevé a cabo una verificación de integridad del sistema, luego informé al propietario del proyecto. "¿El culpable? Una instancia de CMS pirateada. No me informaron sobre la creación de esta instancia que después utilizó diferentes webshells para iniciar los ataques, incluida la minería maliciosa de criptomonedas (criptominería ilegal), la cual agotó todos nuestros recursos informáticos disponibles". Los principales factores que condujeron a la vulneración fueron el uso de contraseñas débiles y reutilizadas, y la falta general de medidas de seguridad sólidas. ¡No dejen que esto les pase a ustedes! Teagan M, profesional de seguridad, fundador de Green Duck Consulting, LLC Teagan describió la filtración de datos que debió enfrentar. Esta es una forma común en que las personas pueden comprometer sus datos en el trabajo. Las empresas más pequeñas y las nuevas empresas deben tener cuidado de ser más exhaustivas sobre su seguridad y darse cuenta de que no se trata solo de un problema que se puede resolver simplemente con ayuda de la tecnología. "Una fuente autorizada tuvo acceso a un entorno de correo electrónico no autorizado y esto ocurrió, la primera vez, durante cuatro semanas. Esta empresa era muy desorganizada y trataba la seguridad como un problema de cumplimiento normativo en vez de como una función empresarial necesaria. "Las credenciales de la cuenta de usuario probablemente fueron capturadas por un ataque de phishing, y los atacantes establecieron una regla de reenvío de correo electrónico para enviar todos los correos electrónicos a una cuenta Gmail controlada por el atacante. La segunda vez que sucedió fue igual, pero los atrapé mucho antes. Fue después del segundo incidente cuando la empresa finalmente siguió mi recomendación de implementar 2FA (autenticación de dos factores). Esto evento ocasionó una exposición que hizo necesario que la empresa tuviera que notificar acerca del incidente, de acuerdo con las leyes estatales de privacidad de datos. "Esta era una pequeña empresa que estaba creciendo rápidamente. Carecían de liderazgo donde lo necesitaban y tampoco querían invertir en los especialistas en seguridad que necesitaban. Contrataron y despidieron a una sucesión de analistas de seguridad debido a un nivel gerencial débil e inexperto en el área de seguridad, y a un deseo de solo cumplir con los requisitos de las auditorías, en vez de garantizar la protección de la empresa. "Consideraron que la seguridad era un problema tecnológico y siguieron comprando servicios y equipos sin tener un plan claro sobre cómo integrarlos o administrarlos. Tomaron su estrategia de los representantes de ventas en vez de planificar adecuadamente su propio camino. "Trabajé estrechamente con el nivel gerencial para tratar de mejorar su programa y todo el tiempo me enfrentaba a resistencias. Aseguraban priorizar la seguridad, pero no permitían las acciones ni brindaban el empoderamiento necesario. Las cosas comenzaron a cambiar un poco hacia el final de mi estancia allí, pero para ese momento me sentía agotado y necesitaba irme para preservar mi propio estado mental". Esta ingenuidad a la que Teagan se enfrentó es una de las razones por las que las vulneraciones de los datos son tan alarmantemente frecuentes. "BM", ex analista de Infosec Es importante recordar que las grandes empresas también necesitan mejorar la seguridad de sus datos. BM comparte con nosotros una lección útil para ayudar a cualquier persona a proteger sus datos en cualquier área. "BM" trabajó anteriormente como analista, ingeniero de seguridad y más tarde como consultor, para varias empresas. Ha efectuado análisis forenses de datos post vulneración, respuesta a incidentes y clasificación de incidentes. "BM" describió una vulnerabilidad con la que debió lidiar. "Cuando era asesor, me enviaron a una compañía del listado Fortune 500 para un evento de respuesta a incidente. Su sistema estaba totalmente comprometido y el atacante amenazaba al CEO de la empresa con exponer la vulneración. Tomamos un vuelo de inmediato. "Durante toda una semana, mi gerente y yo revisamos los registros de seguridad y desarrollamos un plan de corrección para la empresa. Aunque la empresa era muy valiosa, contaba con un personal de TI relativamente pequeño. Gran parte de nuestro trabajo consistió en informar al equipo sobre lo que sucedió exactamente, revisar sus registros y trabajar junto con ellos para actualizar su infraestructura. Por ejemplo, usaban versiones obsoletas de Windows en toda su red. "Afortunadamente, se determinó que fue un incidente menor. Se trataba más bien de un hacker novato que utilizaba software descargado de Internet para explotar versiones desactualizadas de Windows. Esto se convirtió en una semana completa de más de veinte horas de trabajo y numerosas conversaciones para determinar qué podría haberse hecho mejor". ¿Más de veinte horas de trabajo al día? ¡Eso es ridículo! Es importante formar a todos los empleados en conocimientos sobre seguridad. Y también debe hacerse un uso más efectivo del personal de seguridad, no permita que este tipo de situaciones se conviertan en crisis, a tal grado que asesores externos deban resolverlo. Sameep Agarwal, Asesor de Seguridad de la Información y Evaluador de Penetración Ya he hablado antes con Sameep sobre sus experiencias en cuanto a la filtración de datos, y me informa que ha tenido varias a lo largo de su carrera. En esta historia se muestra cómo los conflictos personales pueden interferir con la respuesta a los incidentes y por qué deben superarse. "El proveedor proporcionó un servidor para alojar una aplicación web específica en una zona de prueba. Un día, el equipo de seguridad lanzó una alerta sobre una aplicación que no se había probado ni verificado. Se decidió que, dado que había prisa en configurar el hosting, la actividad de fortalecimiento del servidor, que requiere por lo menos menos cinco días hábiles, no podría completarse. Por lo tanto, nunca se permitió el acceso a Internet al servidor de la zona de prueba durante la inicialización. "Dado que el representante del proveedor no estaba presente en el sitio del cliente, se solicitó acceso al servidor para la administración remota. Esto también se planteó como un riesgo de seguridad, pero fue ignorado por la agencia federal. "Las operaciones comenzaron en el servidor de destino. Después de tres días, se instalaron algunas actualizaciones de Microsoft sin verificar el paquete de actualizaciones. El servidor virtual estaba alojado en hardware obsoleto que había sido extraído de un proyecto gubernamental anterior que tenía muchos defectos críticos. Dado que el servidor físico estaba fuera de servicio, no fue registrado en el inventario de la agencia federal. Esto significaba que la prevención de intrusiones y los clientes antimalware no estaban instalados, pero el mismo estaba accesible desde su infraestructura de red. "El atacante instaló la aplicación de escritorio de Telegram y se unió al grupo de hackers iraníes en Telegram. Comenzaron a descargar aplicaciones para permanecer anónimos, tales como herramientas proxy, VPN y bots. Posteriormente, el atacante agregó muchos diccionarios y listas combinadas que contienen contraseñas comunes de aplicaciones para hackear cuentas de redes sociales como Instagram y cuentas de juegos como Fortnite. "El tráfico del servidor afectado no fue interceptado por el firewall debido a las excepciones configuradas por la agencia federal. Y debido a esta excepción, no se pudo detectar fácilmente la filtración de datos. "La investigación de la agencia de inteligencia concluyó que el equipo azul (los especialistas en seguridad defensiva) creó muchas excepciones basadas en relaciones personales para complacer al jefe de la agencia federal. Los hallazgos clave en seguridad por parte del equipo rojo (los especialistas en pruebas de seguridad) fueron ignorados una y otra vez. El investigador sugirió hacer una investigación a fondo sobre las intenciones del personal involucrado y la mentalidad que permitió que ocurrieran los ataques, incluso después de que la inteligencia de seguridad previa estuviera disponible un mes antes". A menudo las personas son el eslabón más débil en el área de seguridad. Es importante contar con personal de TI que tenga integridad y el nivel correcto de formación en seguridad. Cómo proteger su empresa de las filtraciones de datos Las filtraciones de datos no son de naturaleza meramente tecnológica, también son problemas causados por personas. El riesgo que representan ciberatacantes es significativo, desde hackers novatos hasta amenazas avanzadas persistentes (APT). Nada de esto me sorprende. Lo que me sorprendió fue cómo las empresas con las que trabajaban los entrevistados empeoraron los problemas de filtración de datos por falta de integridad personal, o, a veces, simplemente por descuido. Las empresas deben comenzar a tomar la seguridad más en serio e invertir dinero, tiempo y esfuerzo para proteger mejor sus datos y, por ende, los de sus clientes. Tengo la esperanza de que al compartir estas historias con ustedes, los especialistas en ciberseguridad estén mejor preparados para lo (no tan) bueno, lo malo y lo feo de la respuesta a incidentes de filtración de datos.
by Tecnología innovadora.
Innovando líderes.
Acerca de funciones seguras

La revista Secure Futures es su guía comercial de referencia para obtener opiniones, tendencias y conocimientos sobre el mundo de la tecnología y la ciberseguridad. Ayudamos a su negocio a traer el futuro. Presentado por Kaspersky, los expertos mundiales en ciberseguridad.

  • Para el resto de países