Con el cambio a la nube, el auge de las aplicaciones de software como servicio (SaaS) y el aumento repentino de las capacidades del trabajo en remoto, la superficie de ataque de la mayoría de las organizaciones ha aumentado su tamaño y complejidad, lo que dificulta exponencialmente su definición y defensa. Dado que prácticamente cualquier recurso puede ser un punto de acceso para un ciberataque, es más importante que nunca que las organizaciones mejoren la visibilidad de la superficie de ataque en todos los recursos, conocidos o desconocidos, a nivel local o en la nube, internos o externos.
¿Qué es la gestión de la superficie de ataque?
La gestión de la superficie de ataque es la detección, monitorización, evaluación, priorización y corrección continuas de los vectores de ataque dentro de la infraestructura de TI de una organización.
Aunque su naturaleza es similar a la de la detección o gestión de recursos, que suele encontrarse en las soluciones de higiene de TI, la diferencia fundamental de la gestión de la superficie de ataque es que aborda la detección de amenazas y la gestión de vulnerabilidades desde la perspectiva del ciberdelincuente. De este modo, la organización se ve obligada a identificar y evaluar el riesgo que plantean no solo los recursos conocidos, sino también los componentes desconocidos y fraudulentos.
Más información
Los hackers intentan constantemente aprovecharse de las configuraciones de TI débiles que conducen a las brechas. CrowdStrike observa a menudo que las organizaciones cuyos entornos contienen sistemas tradicionales o derechos administrativos excesivos suelen ser víctimas de este tipo de ataques. La evaluación de la higiene de TI de los servicios de CrowdStrike ofrece una mejor visibilidad de la red para ayudar a identificar vulnerabilidades que ayuden a salvaguardar la red antes de que se produzcan estas brechas.
¿Qué es una superficie de ataque?
La superficie de ataque es el término utilizado para describir la red interconectada de recursos de TI que un ciberdelincuente puede aprovechar durante un ciberataque. En términos generales, la superficie de ataque de una organización consta de cuatro componentes principales:
- Recursos locales: Recursos ubicados a nivel local, como servidores y hardware.
- Recursos en la nube: Cualquier recurso que aproveche la nube para su funcionamiento o entrega, como servidores y cargas de trabajo en la nube, aplicaciones SaaS o bases de datos alojadas en la nube.
- Recursos externos: Servicio online adquirido a un proveedor o socio externo, que almacena y procesa datos de la empresa o se integra con la red corporativa.
- Redes subsidiarias: Redes compartidas por más de una organización, como las que posee un holding en caso de que se produzca una fusión o adquisición.
Es importante tener en cuenta que la superficie de ataque de la organización evolucionará con el tiempo a medida que se añadan constantemente dispositivos, se introduzcan nuevos usuarios y cambien las necesidades empresariales. Por este motivo, las organizaciones deben monitorizar y evaluar de forma continua todos los recursos e identificar las vulnerabilidades antes de que las aprovechen los ciberdelincuentes.
El valor de la gestión de la superficie de ataque
Asumiendo la mentalidad del ciberdelincuente e imitando su conjunto de herramientas, las organizaciones pueden mejorar la visibilidad de todos los potenciales vectores de ataque, lo que les permite tomar medidas específicas para mejorar la posición de seguridad mitigando el riesgo asociado a determinados recursos o reduciendo la propia superficie de ataque. Una herramienta eficaz de gestión de la superficie de ataque permitirá a las organizaciones:
- Automatizar la detección, revisión y corrección de recursos
- Mapear todos los recursos de forma continua
- Identificar y desactivar rápidamente los recursos de shadow IT y otros recursos desconocidos hasta el momento
- Eliminar vulnerabilidades conocidas, como contraseñas débiles, errores de configuración y software obsoleto o sin parches
¿Cuáles son las funciones principales de la gestión de la superficie de ataque?
Hay cinco funciones básicas de una estrategia eficaz de gestión de la superficie de ataque:
Fase 1: Detección
En esta fase inicial, las organizaciones identifican y mapean todos los recursos digitales a través de la superficie de ataque interna y externa. Mientras que las soluciones tradicionales pueden no ser capaces de descubrir recursos desconocidos, fraudulentos o externos, una solución moderna de gestión de la superficie de ataque imita el conjunto de herramientas utilizadas por los ciberdelincuentes para encontrar vulnerabilidades y puntos débiles en el entorno de TI. Esto mejora la visibilidad en toda la superficie de ataque y garantiza que la organización ha mapeado cualquier recurso que pueda utilizarse como potencial vector de ataque.
Fase 2: Prueba
La superficie de ataque cambia constantemente a medida que se conectan nuevos dispositivos, se añaden usuarios y evoluciona la empresa. Por ello, es importante que la herramienta sea capaz de realizar una monitorización y pruebas continuas de la superficie de ataque. Una solución moderna de gestión de la superficie de ataque revisará y analizará los recursos todos los días del año para evitar la introducción de nuevas vulnerabilidades de seguridad, identificar brechas de seguridad y eliminar errores de configuración y otros riesgos.
Fase 3: Contexto
Aunque cualquier recurso puede servir como vector de ataque, no todos los componentes de TI conllevan el mismo riesgo. Una solución avanzada de gestión de la superficie de ataque realiza análisis de la superficie de ataque y proporciona información relevante sobre el recurso expuesto y su contexto dentro del entorno de TI. Factores como cuándo, dónde y cómo se utiliza el recurso, quién es su propietario, su dirección IP y los puntos de conexión a la red pueden ayudar a determinar la gravedad del riesgo cibernético que supone para la empresa.
Fase 4: Priorización
Dado que la solución de gestión de la superficie de ataque pretende detectar y cartografiar todos los recursos de TI, la organización debe disponer de una forma de priorizar las estrategias de corrección de las vulnerabilidades y debilidades existentes. La gestión de la superficie de ataque proporciona puntuaciones de riesgo y calificaciones de seguridad procesables basadas en una serie de factores, como el grado de visibilidad de la vulnerabilidad, la posibilidad de aprovecharla, lo complicado que sea solucionar el riesgo y el historial de aprovechamiento. A diferencia de las pruebas de penetración, el red teaming y otros métodos tradicionales de evaluación de riesgos y gestión de vulnerabilidades que pueden ser algo subjetivos, la puntuación de la gestión de la superficie de ataque se basa en criterios objetivos, que se calculan utilizando parámetros y datos preestablecidos del sistema.
Fase 5: Corrección
Basándose en los pasos automatizados de las cinco primeras fases del programa de gestión de la superficie de ataque, el personal de TI está ahora bien equipado para identificar los riesgos más graves y priorizar la corrección. Dado que estos esfuerzos suelen estar dirigidos por equipos de TI, y no por profesionales de la ciberseguridad, es importante asegurarse de que la información se comparte entre todas las funciones y de que todos los miembros del equipo están de acuerdo en lo que respecta a las operaciones de seguridad.
¿Cómo puede la organización mitigar los riesgos de la superficie de ataque?
Para identificar y detener las distintas tácticas del adversario en constante evolución, los equipos de seguridad necesitan una visión integral de su superficie de ataque digital para detectar mejor las amenazas y defender su empresa. Esto requiere una visibilidad continua de todos los recursos, incluidas las redes internas de la organización, su presencia fuera del firewall y un conocimiento de los sistemas y entidades con los que interactúan los usuarios y los sistemas.
A medida que las organizaciones adoptan un programa de transformación digital, puede resultar más difícil mantener la visibilidad de una superficie de ataque en expansión. Las cargas de trabajo en la nube, las aplicaciones SaaS, los microservicios y otras soluciones digitales han añadido complejidad al entorno de TI, lo que dificulta la detección, investigación y respuesta a las amenazas.
RiskIQ Illuminate de CrowdStrike se ha integrado con la plataforma CrowdStrike Falcon® para combinar sin fisuras la telemetría de endpoints internos con petabytes de datos externos de Internet recopilados durante más de una década. La superposición de la inteligencia de Internet sobre los datos de los endpoints en una única ubicación proporciona un contexto crucial para los incidentes internos, ayudando a los equipos de seguridad a comprender cómo interactúan los recursos internos con la infraestructura externa para que puedan bloquear o prevenir los ataques y saber si se han vulnerado.
Entre las principales funciones y ventajas de RiskIQ Illuminate se incluyen:
- Acelerar la detección y la respuesta: Proporciona al equipo de seguridad un contexto global y una visibilidad mejorada dentro y fuera del firewall para defender mejor a la empresa de las amenazas más recientes, como las brechas de datos y los ataques de ransomware.
- Potenciar la colaboración: RiskIQ Illuminate permite a los equipos de seguridad de la empresa colaborar con fluidez en las investigaciones de amenazas o en los compromisos de respuesta a incidentes mediante la superposición de los conocimientos internos y la inteligencia sobre amenazas en los resultados de los analistas.
- Gestionar de forma proactiva la superficie de ataque digital: Obtén visibilidad completa de todos los recursos de cara al exterior y asegúrate de que están gestionados y protegidos.
