Lo que no me deja dormir | Defensas de mi perímetro

En una ocasión, intenté convencer a equipo de administración ejecutiva para invertir en un sistema de prevención de intrusiones (IPS) y un firewall a nivel aplicaciones (WAF). No los impresioné. ¿Quién podría atacarnos? Preguntaron.
Para responder a esa pregunta, monté un servidor de muestra, con parches actualizados, justo en la parte exterior del firewall corporativo. En los siguientes tres minutos, había escaneado y mapeado robóticamente el firewall. En los siguientes 12 minutos, estaba bajo un ataque directo. Eso los convenció.

“En los siguientes tres minutos, había escaneado y mapeado robóticamente el firewall. En los siguientes 12 minutos, estaba bajo un ataque directo.”

Eso fue hace mucho tiempo, pero aún hoy, la gente ve la inversión en seguridad como una póliza de seguro que nunca utilizarán. Eso es, en parte, el por qué estos tres desafíos me mantienen despierto por las noches.

1. Depredadores externos. Estos son los atacantes e infames bots que tocan a la puerta, día y noche, golpeando por todos lados las defensas de mi perímetro tratando de ingresar. Como detallista en línea, todo el tiempo lidiamos con ello. También veo los efectos adicionales de otras intrusiones. La información de la cuenta o tarjeta de crédito de cualquier persona puede ser comprometida durante una fuga de información de otro minorista. Entonces estos individuos usan la información de esa cuenta en otro sitio. Más recientemente, vi un cambio en este tipo de fraudes donde la información de una cuenta que fue comprometida durante una intrusión masiva, fue vendida o intercambiada con otro individuo. Esta persona intenta entonces comprar un producto para después devolverlo a cambio de dinero. Ni siquiera tienen que tomarse la molestia de hackear la cuenta de alguien, si ya hay una amplia oferta de cuentas que han sido previamente comprometidas de donde seleccionar.
2. Límites que se rompen. Las redes conocidas y los límites de las aplicaciones están fallando a un ritmo increíble. Los servicios en la nube, junto con la nueva moda de los empleados jóvenes de “Trae tu propio dispositivo” (BYOD), están reventando los límites. Solíamos tener perímetros amables y una extensa administración de dispositivos, pero esos tiempos se acabaron. Ahora debemos proteger nuestra información de forma continua, siempre conectados con un mundo donde ya no existen perímetros claros. Es bastante simple: ya no tenemos la misma medida de control.
3. Amenazas internas. Estas amenazas vienen por parte de empleados descontentos o contratistas, que buscan beneficiarse con los datos críticos de la empresa. Es difícil protegerse contra cada posible vector de amenaza que involucre empleados con acceso a información sensible y a Internet. Se ha vuelto muy fácil mover grandes volúmenes de datos sin ser detectados. Mientras esto ocurre, el escenario más probable es la creación de una brecha no intencional que el empleado o contratista puedan crear. Los contratistas subcontratados pueden ser un riesgo muy particular, con frecuencia se les otorga acceso directo o privilegiado al interior de la red. El reto es que usted no administre los dispositivos o las redes a las que se conectan. Tales exposiciones no intencionales pueden crear brechas a través de todas sus defensas.
   

“La seguridad siempre será una combinación de tecnología avanzada y gente inteligente.”

Hay pasos que puede tomar para la mitigación. Los proveedores como Fortinet y otros ofrecen IPS avanzado, WAF y herramientas centralizadas de inicio de sesión. Estas tecnologías son requerimientos para cualquier servidor web o interfaz expuesta para programación de aplicaciones. Realizar evaluaciones regulares sobre posibles amenazas es clave. Los escaneos a las vulnerabilidades, tanto externas como internas, también deben hacerse de manera regular. Los días en que simplemente se instituían restricciones a las direcciones IP o incluso firewalls de inspección de estado, se terminaron.
Para los riesgos basados en la nube, en conjunto con la evaluación de amenazas, recomiendo un análisis de riesgos exhaustivo. Debe ser parte de cualquier implementación nueva de tecnología, particularmente al trabajar con terceros. Una prueba de penetración total o evaluación de vulnerabilidades inicia con un escaneo automatizado, pero también debería tener personal ejecutando cuidadosas evaluaciones sobre la administración de riesgos. ¿Qué información se guarda en ese servidor? ¿Qué sistemas o redes puede acceder? ¿Debería restringir el acceso o acordonarlo en su totalidad?
Sería grandioso que hubiera algo como una lista ordenada y universal de seguridad. Desafortunadamente, la seguridad de la información no es una receta que podamos seguir. Vivimos en un mundo gris, ni blanco ni negro. Por lo tanto, la seguridad siempre será una combinación de tecnología avanzada y gente inteligente. Solo a través de una clasificación cuidadosa de los factores de riesgo podrá establecer la estrategia adecuada para mitigar el peligro.

Autor: Steve Weiskircher
Parte del libro «Asegurando su infraestructura de red y aplicaciones» de Fortinet.

Steve Weiskircher tiene más de 19 años de experiencia como un líder directo en la industria del e-commerce, ha trabajado como director de información de múltiples “e-tailers” incluyendo Crutchfield, Fanatics y, más recientemente, ThinkGeek, donde es responsable de los equipos de tecnología y experiencia del usuario. Steve estudió la carrera de ingeniería mecánica en Virginia Tech y tiene una maestría en administración de sistemas de información por parte de la Universidad de Virginia.