Por: Diego Samuel Espitia
Sin lugar a duda los incidentes cibernéticos han crecido exponencialmente y han afectado a empresas de todos los sectores productivos en el mundo, casos conocidos mundialmente entre el 2021 y el 2022, se pueden nombrar casos como el colonial pipeline, NHS, Banco de Chile, sistema eléctrico de Ucrania, Gobierno de Costa Rica, ministerio de infraestructura de México, INVIMA, DANE, SolarWinds, entre miles de otros casos.
Todas estas organizaciones en mayor o menor medida tenían implementados mecanismos de ciberseguridad, para proteger su información y sus procesos tecnológicos, de ataques de fugas o secuestros de información. Sin embargo, sucumbieron ante los ataques perpetrados por grupos delictivos cibernéticos organizados, de los cuales cada vez se detectan mucha mayor actividad.
Estas medidas que tenían estas organizaciones en algunos casos eran de millones de dólares en equipamiento, personal, entrenamiento y apoyo de terceras partes especializadas, en otros casos eran con medidas internas y en otros tercerizando completamente la gestión de la ciberseguridad de las empresas o entes estatales. Pero teniendo en cuenta este panorama, la pregunta que todos se haces en ¿por qué pudieron ser atacados?
No existe una única respuesta, pues cada incidente tiene características muy particulares y después de estar en varios procesos de respuesta de incidentes entiendes que cada empresa tiene controles o medidas diferentes, que no en todos los casos fueron actualizados o se han ido adaptando a este mundo cambiante. Sin embargo, también existen varios factores comunes que los delincuentes aprovecharon, voy a mencionar algunos de estos.
Tercerizar no implica no tener responsabilidad. Las áreas de sistemas siempre se han visto responsabilizadas cuando algún sistema falla o no cumple con las expectativas del usuario. En la actualidad, esto se ha transferido a las empresas externas de ciberseguridad, las cuales cumplen con la función de monitorear y responder ante amenazas cibernéticas, pero esto no significa que las organizaciones y sus empleados no tengan ningún tipo de responsabilidad en el manejo de la información.
Si bien las empresas terceras gestionan los dispositivos de seguridad de la información y monitorean los elementos de la red, es responsabilidad de quien usa los datos y de quienes generan las políticas de control de acceso, los controles fundamentales de la información. Puesto que, si cualquier usuario de la red puede acceder a cualquier dato o pasar información sensible a ubicaciones digitalmente externas, es imposible para cualquier sistema de seguridad controlar de forma eficiente estás amenazas.
Lugares oscuros en la red. El monitoreo es la base de la seguridad, pues lo que no se monitorea es imposible gestionarlo. En muchos de los incidentes en los que he participado, nos encontramos que el servicio o servidor por donde inicio el ataque no estaba siendo monitoreado de ninguna forma o que monitoreaban solo una parte de servicio. Estas zonas oscuras dentro de las mismas redes de la organización les permiten a delincuentes internos o externos moverse sin que los sistemas de alerta anuncien la anomalía en el comportamiento o en la conexión.
El ejemplo típico está en los ataques de secuestro de información (Ransomware), donde siempre las víctimas preguntan ¿Cómo nada detecto el usuario o las conexiones?, pero cuando uno revisa los eventos que se monitorean solo están elementos que están en la frontera de la red y nunca uno que revise o analice sucesos internos, así los delincuentes podían moverse sin inconvenientes en todos los dispositivos dentro de la red y solo en el momento de la ejecución de secuestro se evidencia una anomalía.
Si funciona no lo toque. Esta es una de las frases que más he escuchado en mi vida profesional y que menos significado tiene dentro de un esquema de ciberseguridad, pues los ataques evolucionan todos los días y la tecnología aún más, esto hace que la configuración que se tiene en un WAF (Web Application Firewall) deba ser revisada casi que a diario.
En los dispositivos de control es donde más se suelen encontrar debilidades generadas por la práctica de no tocar, dejando configuraciones por años sin que nadie las revise o actualice, donde en algunos casos quien originalmente diseño la solución ya no está en la organización, dejando configuraciones que en su momento puede que no generaran riesgo, pero con los años y la adquisición de otros dispositivos y servicios permiten a los delincuentes tener una puerta abierta.
No conocen lo que tienen. En empresas grandes es usual que la rotación del personal de sistemas sea elevada y que la cantidad de dispositivos aumente todos los días, complicando tener un inventario claro de los activos de sistemas, pero adicionalmente, es muy común que no se tenga un inventario claro de la información que se tienen en servidores o quienes tienen acceso a a los diferentes servicios internos y externos. Esto genera que cuando se presenta un incidente no se tenga claridad de los posibles vectores de ataque o los orígenes del mismo, pues nadie sabe con exactitud que o quienes tiene acceso a la maquina o a la información.
Esto es especialmente perjudicial cuando el incidente es de fuga de información, pues al no tener ese detalle toda la organización y todos los terceros se convierten en potenciales sospechosos del ataque. En el proceso forense de un caso de estos se pierden días valiosos intentando entender accesos, permisos, conexiones y reconstruyendo en muchos casos las medidas de seguridad, mientras que, si se tiene un inventario, un mapa y permisos claros de la red y de la información, es mucho más sencillo encontrar la causa raíz del incidente.
Son muchas más las características similares que se encuentran en las empresas cuando se realiza una respuesta de incidentes, pero estas suelen ser las causas principales de porque pudieron ser atacados. Demostrando, que la ciberseguridad no es algo que se adquiere y se conecta a una red o a una organización, sino que es un proceso empresarial que debe ser tenido en cuenta por todos los niveles empresariales y en donde cada persona es un actor importante de control o de riesgo.
*Senior Security Research
Telefónica Tech
@dsespitia
