Un “ciberamenzante” 2022 el que empezamos

Termino el 2021, para algunos un año de recuperación económica y social, para otros un año con muchas dificultades en lo laboral y en lo personal, pero para los que trabajamos en el área de la ciberseguridad sin duda es un año, donde la pandemia aumento exponencialmente nuestro trabajo y donde nos permitió demostrar la efectividad y necesidad de las medidas de control y salvaguarda de la información.

Sin embargo, para los delincuentes fue un año donde la efectividad de los incidentes demostró que son una industria en evolución y que cada vez son más los objetivos a los que pueden afectar con un simple click. Sin importar el tipo de industria o lo grande que sea la organización, todas se han visto afectadas.

Para el 2021 iniciamos con el incidente de SolarWinds, una de las empresas de software que más desarrollos de monitoreo en organizaciones gubernamentales y en empresas privadas de todos los tamaños el mundo, que evidencia como esto puede afectar incluso operaciones críticas de la industria. Pero el 2021, nos tenia un cierre igual de complicado con las vulnerabilidades detectadas en una librería usada en todo el mundo, llamada Log4J. 

A la cual en inicios de Diciembre se detectaron 4 vulnerabilidades críticas que permitían a los atacantes ejecutar remotamente código en millones de aplicaciones y desarrollos que la usan, incluso equipos de control industrial reportaron ser vulnerables a Log4Shell, como se denominó el ataque.

¿Qué nos espera en el 2022?

Sin duda nadie puede predecir el futuro claramente, pero podemos usar los datos que hemos obtenido en años anteriores y ver las evoluciones de los incidentes para determinar las posibles afectaciones que van a afectar con mayor fuerza en este entorno cada vez más digital y que con la pandemia se aceleró sin tener en cuenta muchas de las exigencias de ciberseguridad.

Y lo que los datos nos muestran es que al igual que en 2020 y 2021, el ransomware va a ser el ataque dominante, pues tras generar un ataque de este tipo cada 11 segundos en el 2021 (en promedio) afectando a organizaciones de todos los tamaños en el mundo y casos tan conocidos como el de Garmin o el del Colonial Pipeline, no cabe duda que seguirá siendo el arma predilecta por las organizaciones criminales.

Acompañado de dos tipos de incidentes poco nombrados pero muy efectivos para las actividades criminales. El primero son los ataques a la cadena de suministro y el segundo tipo son los ataques que provechan la tecnología de microservicios en la nube (CSP).

El primero es cada vez más común, incluso los incidentes nombrados como de principio y fin de 2021, son un ejemplo claro de como un ataque a la cadena de suministro afecta a miles o millones de empresas en todo el mundo, pero se prevé que con implementaciones como DeepFake y análisis de cadenas de suministro específicas, pueda ser una tendencia de ataque que ya no solo busque afectar a miles sino que pueda “personalizarse” para afectar directamente a una organización o estado determinado.

En este tipo de ataques, los delincuentes no se centran en encontrar las debilidades en los sistemas o servicios propiamente usados o desarrollados por las organizaciones, sino en lo que  estos se soportan, un paquete de desarrollo, un servicio de monitoreo, un hardware especifico o cualquier cosa que sea usada por ellos pero no completamente controlada, como lo que hemos demostrado con PackageDNA en los desarrollos de software.

El segundo tipo de incidente esta muy relacionado al anterior, pues los delincuentes están activamente buscando debilidades en los esquemas de microservicios de la nube, para aprovecharse de estos y amplificar o generar ataques cibernéticos en mayor escala.

La migración ala nube es un paso cada vez más necesario para las empresas y los servicios en la nube han avanzado en arquitecturas que brinden mejoras en los servicios y en la seguridad de estos, pero para mejorar en lo primero se usan arquitecturas de microservicios, donde se implementa una configuración base que es reusada por múltiples organizaciones para aprovechar de la computación en nube.

Estos microservicios están expuestos a Internet, por su misma función de servicio, permitiendo a los delincuentes realizar análisis exhaustivos de su funcionamiento y detectando vulnerabilidades, que, si bien no afectan directamente a una organización que los use, si pueden ser usados para amplificar ataques u obtener información sensible.

¿Lo que tenemos nos protege?

En general, las empresas han mejorado sus esquemas de seguridad, pero estamos lejos de ser “inmunes”, por lo que debemos estar conscientes de que vamos o estamos siendo afectados en un ataque, pero en las medidas previas que tomemos, la concientización de nuestro personal y los planes de respuesta que tengamos depende que este ataque nos acabe o lo resistamos.

La historia demuestra que tomar solo medidas de prevención no es útil ante las amenazas, un ejemplo es el riesgo a los incendios que todas empresas enfrentan. Implementar la instalación de extintores en todas las áreas no va a reducir la probabilidad que personal no capacitado genere un incendio. Además, tener estos extintores no es útil en caso de presentarse un incendio si no existe un plan claro de como usarlos y quien los usan en caso de tener que enfrentar la amenaza.

En el mundo digital no es muy diferente, es vital coordinar la arquitectura de seguridad con la capacitación al personal para prevenir los incidentes y para saber como reaccionar en caso de presentarse un incidente. Para esto desarrollos como los XDR y los SOAR, permiten a las unidades de ciberseguridad tener elementos de prevención y respuesta no solo automáticos sino organizados y estructurados, facilitando la dinámica de la respuesta de incidentes y mitigando el nivel de impacto en caso de un incidente.

La entrada Un “ciberamenzante” 2022 el que empezamos aparece primero en Globb Security.