En mayo de 2021, el ataque de ransomware a Colonial Pipeline mostró con qué rapidez una cuenta comprometida puede convertirse en un problema nacional. Según los informes, los atacantes lograron el acceso inicial a través de una cuenta VPN inactiva que no tenía autenticación multifactor (MFA). Atacaron sistemas empresariales, incluida la infraestructura de facturación, y provocaron un cierre que interrumpió el suministro de combustible en la costa este de Estados Unidos. Cinco años después, las lecciones aprendidas de Colonial Pipeline tienen más relevancia que nunca. Las infraestructuras críticas son atractivas porque su interrupción genera presión mucho más allá de la organización comprometida. Hoy, esa presión aumenta a medida que los actores patrocinados por estados buscan persistencia dentro de las redes de infraestructuras críticas, no solo para robar datos, sino para mantener un acceso que podría utilizarse en una crisis. La vía de ataque inicial es conocida: los actores de amenazas explotan credenciales robadas, dispositivos no gestionados, portátiles comprometidos, herramientas de acceso remoto y controles de acceso débiles. Zero trust ofrece un modelo de seguridad que se está convirtiendo rápidamente en una necesidad operativa para las organizaciones que prestan servicios esenciales.
La amenaza de la identidad en infraestructuras críticas
Los avances tecnológicos han hecho que los sistemas estén cada vez más interconectados. Reflejando este cambio y el nuevo desafío, la CISA publicó recientemente una guía en el documento 'Adaptación de los principios de Zero Trust a la tecnología operativa'. Aunque el documento se centra en entornos de tecnología operativa (OT), su advertencia central se aplica a todas las infraestructuras críticas: la confianza implícita crea un riesgo inaceptable. La OT requiere un tratamiento cuidadoso y adaptado. La seguridad, el tiempo de actividad, los sistemas heredados y los procesos físicos dificultan la aplicación de modelos de seguridad informática típicos en entornos de control. La guía de la CISA refleja esa realidad, con énfasis en la visibilidad de activos, la gestión de identidad y acceso, la segmentación, la monitorización y el riesgo en la cadena de suministro. Pero la OT no es el único lugar donde las infraestructuras críticas están expuestas. Los servicios esenciales también dependen de sistemas informáticos, plataformas en la nube y aplicaciones SaaS. Como demostró el ataque a Colonial Pipeline, comprometer los sistemas críticos para el negocio puede causar tanto daño como vulnerar la OT.
Cómo los atacantes entran y permanecen ocultos
Las tácticas de actores de amenazas como Volt Typhoon muestran por qué los líderes de infraestructuras críticas deben reconsiderar la confianza. Este grupo se dirige específicamente a infraestructuras críticas utilizando técnicas diseñadas para mezclarse con la actividad normal de la red en lugar de desencadenar alertas obvias. Las agencias estadounidenses han advertido que actores patrocinados por el estado chino han comprometido y mantenido acceso a redes de infraestructuras críticas, en algunos casos durante años. Las tácticas son conocidas, pero efectivas. Los atacantes explotan dispositivos perimetrales vulnerables como enrutadores, cortafuegos y dispositivos VPN. Utilizan credenciales de administrador robadas y cuentas legítimas, y emplean técnicas de 'vivir de la tierra', usando herramientas integradas en lugar de malware, para que su actividad parezca rutinaria. También enrutan el tráfico a través de dispositivos comprometidos para dificultar la atribución y detección. En Guam y otros lugares de Estados Unidos, Microsoft informó de actividad de Volt Typhoon contra organizaciones de comunicaciones, fabricación, servicios públicos, construcción y transporte. La preocupación no era solo el espionaje, sino la posibilidad de que el acceso persistente pudiera respaldar la interrupción durante una futura crisis geopolítica.
El informe de investigaciones de violaciones de datos de Verizon encontró que las credenciales robadas están involucradas en el 44,7% de las violaciones.
Implementando zero trust: por qué la identidad por sí sola no es suficiente
Zero trust proporciona una defensa clave contra este tipo de ataques. Sin embargo, aunque la identidad es central en zero trust, no puede soportar toda la carga por sí sola. Los actores patrocinados por estados son hábiles robando credenciales, realizando phishing a usuarios, secuestrando sesiones y usando herramientas legítimas para moverse sigilosamente por las redes. La autenticación multifactor (MFA) sigue siendo esencial y toda organización de infraestructura crítica debería usarla. Pero MFA no es una respuesta completa si los atacantes pueden comprometer una sesión, inscribir un dispositivo malicioso, explotar una ruta de acceso remoto de confianza o usar una cuenta legítima desde un endpoint no gestionado. Las organizaciones que prestan servicios esenciales necesitan decisiones de acceso más sólidas. Eso significa mirar más allá del nombre de usuario y la contraseña para evaluar otras señales de confianza.
Por qué el acceso de los empleados es un buen punto de partida
La mayoría de las organizaciones de infraestructuras críticas no pueden rediseñar la OT de la noche a la mañana. No pueden reemplazar rápidamente todos los sistemas heredados, eliminar todas las dependencias de terceros o rediseñar décadas de complejidad operativa sin introducir nuevos riesgos. Pero sí pueden fortalecer la forma en que los empleados acceden a aplicaciones, datos y sistemas críticos. Los controles de acceso de la fuerza laboral se sitúan en la intersección de la identidad, la seguridad de endpoints y la aplicación de políticas. Ayudan a los equipos de seguridad a ir más allá de preguntar '¿Es este el usuario correcto?' para también preguntar '¿Es este el usuario correcto, en el dispositivo correcto, bajo las condiciones correctas, para este recurso específico?'. Vincular cada identidad a un dispositivo es clave. Ayuda a garantizar que el acceso no se conceda solo porque alguien tiene una contraseña, token o sesión aprobada. Antes de permitir el acceso, los equipos de seguridad pueden verificar si el dispositivo es conocido, de confianza, saludable, encriptado, actualizado y compatible. Para las infraestructuras críticas, este es un paso práctico hacia zero trust: reducir la confianza implícita en el punto donde las personas se conectan a los sistemas de los que depende la organización.
Cerrando las brechas en zero trust
El desafío de implementar zero trust es que las fuerzas laborales ya no se limitan a un solo sitio o red. Tanto los trabajadores presenciales como remotos necesitan acceso confiable a sistemas sensibles, pero el riesgo es que sus dispositivos varían ampliamente en su postura de seguridad. Por ejemplo, un ingeniero puede trabajar en el sitio usando un portátil gestionado con encriptación, parches actualizados y protección de endpoints. Un empleado del departamento de finanzas podría trabajar de forma remota usando un dispositivo personal no gestionado. Ambos necesitan acceso, pero tienen perfiles de riesgo muy diferentes. Un modelo de acceso de fuerza laboral zero trust debería hacer cumplir esa diferencia, con políticas que exijan un cierto nivel de salud para todos los dispositivos. El acceso debería adaptarse según la postura del dispositivo, el contexto del usuario y la sensibilidad del recurso. Esto reduce la dependencia de la ubicación de la red como señal de confianza. También limita el radio de explosión si un dispositivo o cuenta se ve comprometido.
Fortaleciendo las decisiones de acceso con Specops
La seguridad de los sistemas de identidad es crucial para unas infraestructuras críticas resilientes. Es ahí donde entran en juego soluciones especializadas como Specops Device Trust. Los atacantes pueden robar credenciales, pero es mucho más difícil robar un dispositivo físico verificado. Al vincular las identidades a dispositivos específicos, Specops Device Trust ayuda a las organizaciones a hacer cumplir zero trust en cada punto de acceso. La solución proporciona: autenticación resistente al phishing, que previene la toma de cuentas asegurando que los usuarios solo puedan iniciar sesión desde dispositivos aprobados y de confianza; confianza cero en dispositivos, que verifica la postura del dispositivo en cada solicitud de acceso y comprueba amenazas activas, controles de seguridad deshabilitados o software desactualizado durante las sesiones; visibilidad completa de todos los dispositivos que acceden a la red, incluidos dispositivos corporativos gestionados y TI no gestionada, con controles para fijar usuarios a un número específico de dispositivos autorizados; y un kit de herramientas de remediación que permite a los usuarios solucionar problemas sin necesidad de llamar al servicio de asistencia, así como períodos de gracia para que actualicen dispositivos sin afectar la productividad. Las organizaciones de infraestructuras críticas necesitan controles de seguridad robustos para defenderse de ataques cada vez más sofisticados.
Deja una respuesta