El 2 de marzo, Microsoft publicó parches para solucionar cuatro vulnerabilidades de día cero en el software de Microsoft Exchange Server. Esas vulnerabilidades, conocidas colectivamente como ProxyLogon, afectan a Exchange Server 2013, Exchange Server 2016 y Exchange Server 2019 instalados la infraestructura local. (Exchange Online, que forma parte de Microsoft 365, no se ha visto afectado).
Este ataque a Exchange Server es el tipo de evento con impacto en todo el sector de la ciberseguridad que puede tener implicaciones aún más amplias que el ataque de SolarWinds. Los informes indicaron que los ciberdelincuentes ya pudieron vulnerar más de 30.000 organizaciones debido a esta explotación activa, y el número de intentos de ataques observados contra servidores Exchange vulnerables aumentó en órdenes de magnitud. Aproximadamente 125.000 servidores Exchange podrían seguir siendo vulnerables.
Si se leen los detalles técnicos publicados sobre los ataques, se observa que esencialmente se produjeron todas las fases de la cadena de ataque, lo que significa que había múltiples vulnerabilidades en los servidores Exchange y que un atacante necesitaría explotar varias, o todas ellas, para lograr un ataque exitoso. La primera de las vulnerabilidades, un exploit de ejecución remota de código, es una vulnerabilidad basada en la red, que se refiere específicamente a cómo los atacantes podrían conectarse a los servidores Exchange encarados a Internet y escalar su nivel de acceso, sin necesidad de robar una contraseña o encontrar otro medio de compromiso.
Como explica la notificación CVE, "el ataque inicial requiere la capacidad de realizar una conexión no confiable al servidor Exchange en el puerto 443. ... Esto puede protegerse restringiendo las conexiones no confiables, o configurando una VPN para separar el Exchange Server del acceso externo."
Es importante señalar aquí que los firewalls no habrían impedido este ataque en la mayoría de los casos, ya que se trataba de un ataque de día cero. Los proveedores de firewalls de aplicaciones web (WAF) sólo están desplegando de forma reactiva conjuntos de reglas actualizados para detectar este ataque, y esas protecciones se aplican si el WAF realiza el descifrado SSL. Es mejor prevenir los ataques en primer lugar que detectarlos a posteriori.
Adoptar un enfoque de confianza cero para la seguridad previene la exposición a este tipo de ataques, ya que detiene el acceso no autenticado a los recursos sensibles, y sirve para proporcionar protección contra las amenazas emergentes, como lo que hemos visto ahora con este desenfrenado exploit. Si se utiliza Netskope, el ataque a Microsoft Exchange no se produce, porque la primera vulnerabilidad está completamente mitigada. Las aplicaciones que no son de cara al público no deberían estar en Internet. Al poner las aplicaciones corporativas detrás de Netskope Private Access (NPA), las aplicaciones vulnerables no son accesibles para los atacantes.
Con NPA, no hay conexiones que no sean de confianza, y los principios de confianza cero se aplican juiciosamente a cada punto de acceso a la red. Si un servidor Exchange se encuentra detrás de NPA, no tiene exposición directa a la Internet pública, y los usuarios se conectarían a él utilizando un cliente Netskope. Una vez que Netskope ha autenticado a ese usuario—es decir, Netskope ha realizado una comprobación de postura, ha determinado quién es el usuario y cuáles son sus características—el usuario sólo puede conectarse a Exchange o a otros servicios autorizados por él.
Las ventajas de NPA sobre una VPN
NPA proporciona un acceso de confianza cero a la red (ZTNA) a aplicaciones y datos privados en entornos de TI híbridos (nube pública y centro de datos). Ofrece una conectividad sin fisuras para los usuarios autenticados, admite cualquier aplicación y protocolo, reduce el riesgo del negocio y simplifica la infraestructura TI.
NPA también va mucho más allá de las capacidades de una VPN de acceso remoto para ofrecer una experiencia de usuario excepcional—algo que a menudo falta en las configuraciones de VPN estándar que intentan acceder a recursos clave como Exchange. La siguiente tabla destaca algunas de las principales ventajas de NPA sobre las típicas VPN de acceso remoto.
Si quiere empezar a utilizar NPA, póngase en contacto con nosotros hoy mismo para programar una demostración.
| Capacidad | VPN para Acceso Remoto | Netskope Acceso Privado |
|---|---|---|
| Acceso a recursos detrás del firewall en el centro de datos | ✓ | ✓ |
| Autenticación fuerte de usuarios | ✓ | ✓ |
| Comprobación de la postura del dispositivo | ✓ | ✓ |
| Acceso a aplicaciones, no a la red | — | ✓ |
| Despliegue distribuido para entornos de nube y centro de datos | — | ✓ |
| Experiencia transparente para el usuario final | — | ✓ |
| Entregado como servicio desde la nube | — | ✓ |
