Enciclopedia de ciberseguridad Security Defined¿Qué es un Cyber Security Kill Chain?

¿Qué es Cyber Security Kill Chain (cadena de exterminio de la ciberseguridad)?

¿Qué es Cyber Security Kill Chain (cadena de exterminio de la ciberseguridad)?

El modelo de la Kill Chain de la ciberseguridad explica el procedimiento típico que siguen los ciberdelincuentes para completar un ataque cibernético con éxito. Se trata de un marco desarrollado por Lockheed Martin, derivado de los modelos de ataque militares y trasladado al mundo digital para ayudar a los equipos a comprender, detectar y prevenir las ciberamenazas persistentes. Aunque no todos los ciberataques aplicarán los siete pasos del modelo de la Kill Chain de la ciberseguridad, la inmensa mayoría de los ataques los utilizan casi todos, a menudo abarcando del paso 2 al paso 6.

definición de cyber security kill chain

 

¿Cuáles son los pasos de la Kill Chain de la ciberseguridad?

pasos del modelo Kill Chain de la ciberseguridad

Existen otros modelos de Kill Chain de la ciberseguridad desarrollados por otras empresas, pero en aras de la simplicidad, vamos a ceñirnos al modelo de Lockheed Martin, que es el marco más conocido del sector. Hemos incluido explicaciones, así como breves soluciones para cada uno de ellos, para que pueda entender mejor el proceso que siguen los ciberdelincuentes para vulnerar un objetivo.

 

Paso 1: Reconocimiento

Como cualquier forma de guerra tradicional, los ciberataques más exitosos comienzan con mucha recopilación de información. El reconocimiento es el primer paso de la Kill Chain de la ciberseguridad y utiliza muchas técnicas, herramientas y funciones comunes para explorar la web, como:

  • Motores de búsqueda
  • Archivos web
  • Servicios públicos en la nube
  • Registro de nombres de dominio
  • Comando WHOIS
  • Analizadores de protocolos de paquetes (Wireshark, tcpdump, WinDump, etc.)
  • Rastreo de red (nmap)
  • Comando DIG
  • Ping
  • Escaneos de puertos (Zenmap, TCP Port Scanner, etc.)

Los ciberdelincuentes emplean una amplia variedad de herramientas y técnicas para recopilar información sobre sus objetivos, cada una de las cuales expone distintos fragmentos de datos que pueden utilizar para encontrar puertas de acceso a sus aplicaciones, redes y bases de datos que, cada vez más, están en la nube. Es importante que proteja sus datos confidenciales detrás de defensas SASE en la nube, cifrado y páginas web seguras para evitar que los atacantes localicen información comprometedora mientras navegan por los recursos que usted pone a disposición del público, incluidas las aplicaciones y los servicios en la nube.

 

Paso 2: Preparación

Una vez que un atacante haya recopilado suficiente información sobre su objetivo, elegirá uno o varios vectores de ataque para iniciar la intrusión a su espacio. Un vector de ataque es un medio que emplea un ciberdelincuente para lograr el acceso no autorizado a sus sistemas y su información. Los vectores de ataque varían desde los más básicos hasta los más técnicos, pero lo que hay que tener en cuenta es que los ciberdelincuentes suelen elegir los objetivos evaluando el coste frente al retorno de la inversión.

Cualquier cosa, desde la capacidad de procesamiento hasta el tiempo necesario para obtener valor, es un factor que los atacantes tienen en cuenta. Los ciberdelincuentes típicos se abrirán paso fácilmente por la ruta de menor resistencia, por eso es tan importante considerar todos los puntos de entrada posibles a lo largo de la superficie de ataque (todos los puntos totales en los que se es susceptible de un ataque) y reforzar su seguridad como corresponda.

Los vectores de ataque más comunes son:

  • Credenciales poco seguras o robadas
  • Servicios de acceso remoto (RDP, SSH, VPN)
  • Empleados descuidados
  • Atacantes internos
  • Cifrado deficiente o ausencia de cifrado
  • Errores de configuración del sistema
  • Relaciones de confianza entre dispositivos y sistemas
  • Phishing (ingeniería social)
  • Ataques de denegación de servicio
  • Ataques de intermediario (MITM)
  • Troyanos
  • Ataques de inyección SQL
  • Y muchos más

Recuerde: un ciberdelincuente solo necesita un vector de ataque para tener éxito. Por lo tanto, la fortaleza de su seguridad se mide por su punto más débil y de usted depende descubrir dónde se encuentran esos posibles vectores de ataque. Los ataques de ransomware siguen explotando los servicios de acceso remoto para lograr el acceso, hacer movimientos laterales, detectar datos confidenciales para filtrarlos al exterior, todo ello antes de cifrarlos y enviar solicitudes de rescate.

Así pues, por lo general, una vez que un atacante está dentro, el siguiente movimiento es encontrar distintas formas de moverse lateralmente a través de su red o sus recursos en la nube y elevar sus privilegios de acceso para, con su ataque, recopilar la información más valiosa, y mantenerse oculto durante el mayor tiempo posible. Para prevenir este tipo de comportamiento, es necesario adoptar principios de «confianza cero» que, una vez aplicados a la arquitectura de seguridad y de la red, solicitan constantemente la reafirmación de la identidad a los usuarios que se mueven de un área a otra dentro de las redes o aplicaciones.


Informes: Informes de Netskope Threat Labs


 

Paso 3: Distribución

Ahora que un ciberdelincuente ha conseguido acceder a sus sistemas, tendrá la libertad que necesita para distribuir la carga de lo que tenga reservado para usted (malware, ransomware, spyware, etc.). Configurará programas para todo tipo de ataques, ya sean inmediatos, programados o desencadenados por una determinada acción (ataque de bomba lógica). A veces, estos ataques son un movimiento único y, en otras ocasiones, los ciberdelincuentes establecerán una conexión remota a su red que se supervisará y administrará constantemente.

Desde la detección de malware con Next Gen SWG hasta el descifrado TLS y la inspección del tráfico web y en la nube son componentes clave para prevenir la distribución de este tipo de cargas. Cada vez más, los ataques se distribuyen a través de la nube; el porcentaje de malware distribuido en la nube frente al distribuido en la web ya es del 68 %. Es esencial ejecutar servicios de escaneo de amenazas en línea en el tráfico web y en la nube, así como llevar un control del estado de todos los dispositivos de endpoint, para garantizar que la empresa no esté infectada con ningún software malicioso.

 

Paso 4: Explotación

Una vez que el atacante ha distribuido su carga, comienza la explotación del sistema, que depende del tipo de ataque. Como se mencionó anteriormente, algunos ataques se programan para más adelante y otros se activan cuando el objetivo ejecuta una acción específica; es lo que se conoce como «bomba lógica». Estos programas a veces incluyen características de ofuscación para ocultar su actividad y origen, con el fin de evitar la detección.

Una vez que se activa el programa ejecutable, el ciberdelincuente podrá iniciar el ataque según lo previsto, lo que nos lleva a los siguientes pasos, que abarcan diferentes tipos de explotaciones.

 

Paso 5: Instalación

Si un ciberdelincuente ve la oportunidad de realizar ataques en el futuro, su siguiente movimiento es instalar una puerta trasera para acceder de forma constante a los sistemas del objetivo. De esta manera, puede moverse dentro y fuera de la red del objetivo sin correr el riesgo de que lo detecten al volver a entrar a través de otros vectores de ataque. Este tipo de puertas traseras se pueden establecer a través de rootkits y credenciales débiles, y siempre y cuando su comportamiento no presente ninguna señal de alerta para un equipo de seguridad (como tiempos de inicio de sesión inusuales o grandes movimientos de datos), estas intrusiones pueden ser difíciles de detectar. La arquitectura SASE está unificando defensas de seguridad para recopilar metadatos útiles sobre usuarios, dispositivos, aplicaciones, datos, actividad y otros atributos, para ayudar a investigar y mejorar la detección de anomalías.

 

Paso 6: Comando y control

Una vez que los programas y las puertas traseras están instalados, el atacante tomará el control de los sistemas y ejecutará cualquier ataque que tenga pensado para usted. Cualquier acción emprendida aquí será con el único fin de mantener el control de la situación con el objetivo, lo que puede tomar todo tipo de formas, como instalar ransomware, spyware u otros medios para filtrar datos al exterior en el futuro.

Desafortunadamente, una vez que se detecta una intrusión y una fuga de información, probablemente sea demasiado tarde: los ciberdelincuentes ya tendrán el control de su sistema. Por eso es importante contar con medidas de protección que controlen y evalúen los movimientos de datos en busca de cualquier actividad sospechosa. Es mucho más probable que una máquina detecte y evite el comportamiento malicioso más rápido que cualquier administrador de red.


Libro blanco: Protección de datos mediante el aprendizaje automático


 

Paso 7: Acciones sobre los objetivos

Todo ha llevado a esto. Esta es la fase de ejecución continua en la que un atacante emprende acciones sobre su objetivo y puede cifrar sus datos para pedirle un rescate, filtrar sus datos al exterior para obtener un beneficio económico, hacer que caiga su red mediante un ataque por denegación de servicio o vigilar los comportamientos en su sistema para encontrar otros accesos mediante spyware, por nombrar solo algunas posibles consecuencias. El espionaje y la vigilancia son las acciones principales en este último paso de la Kills Chain, en el que los atacantes mantienen una actitud discreta y persisten.

Por eso, es crucial monitorizar el movimiento de datos y detectar comportamientos sospechosos en tiempo real, porque los atacantes se moverán lo más rápido posible para conseguir sus objetivos. Nunca hay tiempo suficiente para reaccionar a todas las posibles anomalías dentro de una gran estructura corporativa, por lo que su papel en la prevención debe ser proactivo en lugar de reactivo.

Puesta en práctica de la Kill Chain de la ciberseguridad

Seguramente ya entiende un poco las etapas comunes de la Kill Chain a las que se enfrenta su empresa y depende de usted rellenar las lagunas de su estrategia de seguridad. Aunque estos pasos se desarrollaron originalmente pensando en la seguridad tradicional, centrada en el perímetro, muchos de ellos también los utilizan los atacantes internos, con técnicas que incluyen la elevación de privilegios, el «shoulder surfing» (mirar por encima del hombro), las inyecciones SQL y muchas otras.

Hay todo tipo de razones para los ataques, incluyendo las de índole económica, las políticas, o incluso solo por diversión y reconocimiento. Entender qué motivaciones puede tener un atacante para atacar a su empresa le ayudará a planificar los posibles vectores de ataque.

A la hora de desarrollar sus estrategias de defensa, es importante tener en cuenta todos los posibles puntos débiles, desde la red hasta la nube. La buena noticia es que Netskope está en una posición única para enfrentarse a todo tipo de amenazas internas y externas a sus usuarios, aplicaciones, datos e infraestructura en la nube. Descubra cómo puede ayudarle Netskope a prevenir pérdidas de datos y a supervisar movimientos anómalos de los datos en la nube a partir de hoy mismo.

 

Suscríbase al informe de Threat Labs

Obtenga el informe mensual de Threat Labs tan pronto como se publique.