Cadena de eliminación de seguridad cibernética

Como cualquier forma de guerra tradicional, los ciberataques más exitosos comienzan con mucha recopilación de información. El reconocimiento es el primer paso de la Kill Chain de la ciberseguridad y utiliza muchas técnicas, herramientas y funciones comunes para explorar la web, como:

• Motores de búsqueda
• Archivos web
• Servicios públicos en la nube
• Registros de nombres de dominio
• Comando WHOIS
• Analizadores de protocolos de paquetes (Wireshark, tcpdump, WinDump, etc.)
• Rastreo de red (nmap)
• Comando DIG
• Ping
• Escaneos de puertos (Zenmap, TCP Port Scanner, etc.)

Los ciberdelincuentes emplean una amplia variedad de herramientas y técnicas para recopilar información sobre sus objetivos, cada una de las cuales expone distintos fragmentos de datos que pueden utilizar para encontrar puertas de acceso a sus aplicaciones, redes y bases de datos que, cada vez más, están en la nube. Es importante que proteja sus datos confidenciales detrás de defensas SASE en la nube, cifrado y páginas web seguras para evitar que los atacantes localicen información comprometedora mientras navegan por los recursos que usted pone a disposición del público, incluidas las aplicaciones y los servicios en la nube.

Una vez que un atacante haya recopilado suficiente información sobre su objetivo, elegirá uno o varios vectores de ataque para iniciar la intrusión a su espacio. Un vector de ataque es un medio que emplea un ciberdelincuente para lograr el acceso no autorizado a sus sistemas y su información. Los vectores de ataque varían desde los más básicos hasta los más técnicos, pero lo que hay que tener en cuenta es que los ciberdelincuentes suelen elegir los objetivos evaluando el coste frente al retorno de la inversión.

Cualquier cosa, desde la capacidad de procesamiento hasta el tiempo necesario para obtener valor, es un factor que los atacantes tienen en cuenta. Los ciberdelincuentes típicos se abrirán paso fácilmente por la ruta de menor resistencia, por eso es tan importante considerar todos los puntos de entrada posibles a lo largo de la superficie de ataque (todos los puntos totales en los que se es susceptible de un ataque) y reforzar su seguridad como corresponda.

Los vectores de ataque más comunes son:

• Credenciales poco seguras o robadas
• Servicios de acceso remoto (RDP, SSH, VPN)
• Empleados descuidados
• Atacantes internos
• Cifrado deficiente o ausencia de cifrado
• Errores de configuración del sistema
• Relaciones de confianza entre dispositivos y sistemas
• Phishing (ingeniería social)
• Ataques de denegación de servicio
• Ataques de intermediario (MITM)
• Troyanos
• Ataques de inyección SQL
• Y muchos más

Recuerde: un ciberdelincuente solo necesita un vector de ataque para tener éxito. Por lo tanto, la fortaleza de su seguridad se mide por su punto más débil y de usted depende descubrir dónde se encuentran esos posibles vectores de ataque. Los ataques de ransomware siguen explotando los servicios de acceso remoto para lograr el acceso, hacer movimientos laterales, detectar datos confidenciales para filtrarlos al exterior, todo ello antes de cifrarlos y enviar solicitudes de rescate.

Así pues, por lo general, una vez que un atacante está dentro, el siguiente movimiento es encontrar distintas formas de moverse lateralmente a través de su red o sus recursos en la nube y elevar sus privilegios de acceso para, con su ataque, recopilar la información más valiosa, y mantenerse oculto durante el mayor tiempo posible. Para prevenir este tipo de comportamiento, es necesario adoptar principios de «confianza cero» que, una vez aplicados a la arquitectura de seguridad y de la red, solicitan constantemente la reafirmación de la identidad a los usuarios que se mueven de un área a otra dentro de las redes o aplicaciones.

Informes: Informes de Netskope Threat Labs

Ahora que un ciberdelincuente ha conseguido acceder a sus sistemas, tendrá la libertad que necesita para distribuir la carga de lo que tenga reservado para usted (malware, ransomware, spyware, etc.). Configurará programas para todo tipo de ataques, ya sean inmediatos, programados o desencadenados por una determinada acción (ataque de bomba lógica). A veces, estos ataques son un movimiento único y, en otras ocasiones, los ciberdelincuentes establecerán una conexión remota a su red que se supervisará y administrará constantemente.

Desde la detección de malware con Next Gen SWG hasta el descifrado TLS y la inspección del tráfico web y en la nube son componentes clave para prevenir la distribución de este tipo de cargas. Cada vez más, los ataques se distribuyen a través de la nube; el porcentaje de malware distribuido en la nube frente al distribuido en la web ya es del 68 %. Es esencial ejecutar servicios de escaneo de amenazas en línea en el tráfico web y en la nube, así como llevar un control del estado de todos los dispositivos de endpoint, para garantizar que la empresa no esté infectada con ningún software malicioso.

Una vez que el atacante ha distribuido su carga, comienza la explotación del sistema, que depende del tipo de ataque. Como se mencionó anteriormente, algunos ataques se programan para más adelante y otros se activan cuando el objetivo ejecuta una acción específica; es lo que se conoce como «bomba lógica». Estos programas a veces incluyen características de ofuscación para ocultar su actividad y origen, con el fin de evitar la detección.

Una vez que se activa el programa ejecutable, el ciberdelincuente podrá iniciar el ataque según lo previsto, lo que nos lleva a los siguientes pasos, que abarcan diferentes tipos de explotaciones.

Si un ciberdelincuente ve la oportunidad de realizar ataques en el futuro, su siguiente movimiento es instalar una puerta trasera para acceder de forma constante a los sistemas del objetivo. De esta manera, puede moverse dentro y fuera de la red del objetivo sin correr el riesgo de que lo detecten al volver a entrar a través de otros vectores de ataque. Este tipo de puertas traseras se pueden establecer a través de rootkits y credenciales débiles, y siempre y cuando su comportamiento no presente ninguna señal de alerta para un equipo de seguridad (como tiempos de inicio de sesión inusuales o grandes movimientos de datos), estas intrusiones pueden ser difíciles de detectar. La arquitectura SASE está unificando defensas de seguridad para recopilar metadatos útiles sobre usuarios, dispositivos, aplicaciones, datos, actividad y otros atributos, para ayudar a investigar y mejorar la detección de anomalías.

Una vez que los programas y las puertas traseras están instalados, el atacante tomará el control de los sistemas y ejecutará cualquier ataque que tenga pensado para usted. Cualquier acción emprendida aquí será con el único fin de mantener el control de la situación con el objetivo, lo que puede tomar todo tipo de formas, como instalar ransomware, spyware u otros medios para filtrar datos al exterior en el futuro.

Desafortunadamente, una vez que se detecta una intrusión y una fuga de información, probablemente sea demasiado tarde: los ciberdelincuentes ya tendrán el control de su sistema. Por eso es importante contar con medidas de protección que controlen y evalúen los movimientos de datos en busca de cualquier actividad sospechosa. Es mucho más probable que una máquina detecte y evite el comportamiento malicioso más rápido que cualquier administrador de red.

Libro blanco: Protección de datos mediante el aprendizaje automático

Todo ha llevado a esto. Esta es la fase de ejecución continua en la que un atacante emprende acciones sobre su objetivo y puede cifrar sus datos para pedirle un rescate, filtrar sus datos al exterior para obtener un beneficio económico, hacer que caiga su red mediante un ataque por denegación de servicio o vigilar los comportamientos en su sistema para encontrar otros accesos mediante spyware, por nombrar solo algunas posibles consecuencias. El espionaje y la vigilancia son las acciones principales en este último paso de la Kills Chain, en el que los atacantes mantienen una actitud discreta y persisten.

Por eso, es crucial monitorizar el movimiento de datos y detectar comportamientos sospechosos en tiempo real, porque los atacantes se moverán lo más rápido posible para conseguir sus objetivos. Nunca hay tiempo suficiente para reaccionar a todas las posibles anomalías dentro de una gran estructura corporativa, por lo que su papel en la prevención debe ser proactivo en lugar de reactivo.