Exposiciones de acceso a activos críticos| WatchGuard Blog

How to prevent exposed access to your critical assets

Una vulnerabilidad es un error en el código de un software que tiene el potencial de ser utilizado por un atacante para obtener acceso directo a un sistema informático. Por otro lado, una “exposición” se refiere a una debilidad previamente detectada y que ya ha sido aprovechada por un actor que busca realizar acciones no autorizadas dentro de una red.

Una investigación reciente sugiere que sólo el 2% de todas las exposiciones conceden a los atacantes un acceso sin fisuras a los activos críticos, mientras que el 75% de las exposiciones a lo largo de las rutas de ataque conducen a "callejones sin salida", impidiendo a los ciberdelincuentes alcanzar información confidencial. Otro dato importante que aporta este estudio es que el 71% de las organizaciones tienen exposiciones en sus redes locales que ponen en riesgo sus activos críticos en la nube. Así, una vez que el atacante logra entrar a la red local, el 92 % de estos activos críticos se vuelven vulnerables.

3 exposiciones relevantes que suelen ser ignoradas

Además de valerse de las vulnerabilidades, los cibercriminales aprovechan una combinación de exposiciones para atacar sigilosamente la infraestructura de una empresa y robar sus datos importantes:

1. El entorno de la red local: el paso de la atención hacia la nube ha conseguido que muchas empresas pasen por alto su inversión en la creación de controles eficaces y ágiles en las redes locales. Esto ha puesto en riesgo los activos críticos, aunque se encuentren en la nube.

2. Acceso privilegiado de las identidades: las cuentas de usuarios, roles y servicios en la nube siguen concediendo permisos excesivos para facilitar su gestión, pero también permite a los ciberdelincuentes ampliar sus rutas de ataque después de haber conseguido atravesar la primera capa de defensa. Es por ello que el zero trust, con la implementación de accesos restringidos, es considerado como la estrategia a seguir por muchos de los CISO. Sin embargo, la percepción de que añade fricción a la carga de trabajo diaria del usuario, en ocasiones, deja este enfoque fuera de juego. Hay que encontrar un equilibrio, porque operar con la filosofía de que cada usuario es un usuario privilegiado también puede significar que un ataque consiga ser exitoso. Las cuentas con permisos limitados reducen significativamente la capacidad de un atacante de causar daño o robar información importante.

3. Malas configuraciones: las desconfiguraciones de los controles de seguridad siguen siendo muy frecuentes y son aprovechadas por los ciberdelincuentes. En un aviso, la CISA señala que estos actores utilizan herramientas de escaneado para detectar puertos abiertos y a menudo los utilizan como vector de ataque inicial. Asimismo, indica que suelen utilizan los siguientes servicios para ingresar a las redes: RDP, Server Message Block (SMB), Telnet y NetBIOS.

¿Cómo evitar las exposiciones de acceso a los activos críticos?

Hoy en día, los equipos de seguridad con frecuencia se ven inundados con demasiadas alertas de vulnerabilidades benignas y no relacionadas. Ante esta situación, las organizaciones deben trabajar para identificar las áreas donde las exposiciones convergen en una ruta de ataque.

Con una plantilla limitada, estos equipos necesitan ayuda para priorizar qué parches aplicar en función de su calificación de gravedad en la Escala Común de Severidad de Vulnerabilidades (CVSS) para evitar la fatiga de diagnóstico. Contar con una herramienta de gestión de parches como la de WatchGuard puede ser la solución a este problema, ya que simplifica la administración de vulnerabilidades y permite la programación de instalación de parches de acuerdo con su criticidad, liberando a los equipos de la presión mantener siempre actualizadas todas las versiones de software.

Existe otra vía para asegurarse de que ninguna exposición ponga en riesgo la seguridad de una organización y que complementa la gestión de parches tradicional: la caza de amenazas basada en el comportamiento. Hablamos de la búsqueda proactiva de signos de actividad posterior a la explotación centrada en los comportamientos del adversario que indican una amenaza activa. De esta forma, es posible priorizar y equilibrar la necesidad de aplicar parches y las organizaciones pueden gestionar eficazmente sus recursos para ir un paso por delante de las amenazas potenciales.

Adoptar este enfoque es más sencillo si se cuenta con la tecnología XDR, que consigue correlacionar la telemetría de diferentes soluciones para ofrecer el contexto de la amenaza necesario para evitar que se convierta en un incidente de ciberseguridad.

Si quieres saber más sobre la gestión de vulnerabilidades o las capacidades de la tecnología XDR, te invitamos a visitar los siguientes contenidos de nuestro blog:

Que tu servidor quede expuesto en internet: el principal riesgo del acceso remoto