Es difícil de creer, pero ya pasó un año desde el ataque de ransomware a Colonial Pipeline. Por si no lo recuerdas bien, este fue el incidente que cerró por completo el oleoducto de combustible más grande de Estados Unidos, causando escasez de gasolina en toda la costa este.
Fue la demostración perfecta de que la ciberseguridad no existe solo entre cadenas de código binario. Tiene consecuencias reales.
Aunque la escasez de gasolina fue breve y el pago del rescate se recuperó, incidentes importantes como este deberían servir como herramientas de aprendizaje para desarrollar una mejor postura de ciberseguridad y fortalecer las defensas.
Le pregunté a Roger Koehler, nuestro VP de Operaciones de amenazas, cuáles creía que eran las principales lecciones que deberíamos haber aprendido de este incidente. Esto es lo que respondió.
¿Necesitas un repaso sobre ransomware? Mira nuestro Ransomware artículo de The Defender's Handbook.
Lección n.º 1: No importa si eres una pequeña empresa o una gran corporación. Eres un objetivo.
Uno de los mayores errores que cometen las empresas (¡y las personas!) es suponer que los actores de amenazas no perderán el tiempo persiguiéndolas. Por lo general, las pequeñas empresas y las personas tienen menos dinero que las grandes corporaciones; por eso, quienes trabajan en estas organizaciones más pequeñas creen que los hackers van a seguir el dinero.
La realidad es todo lo contrario.
Esas grandes corporaciones suelen sí tener más dinero, lo que significa que pueden invertir en herramientas de ciberseguridad más sofisticadas y mejores para mantener seguros sus activos. Pueden darse el lujo de contratar expertos para monitorear sus entornos. Así que, mientras un hacker podría necesitar varios intentos para entrar en los entornos de estas grandes corporaciones, podrían bastar solo unos clics para derribar a la heladería de Charlotte en la esquina.
Ya sea que operes una fábrica de carne, una universidad o una pequeña empresa, eres un objetivo potencial. A veces, un ataque es solo un crimen de oportunidad, tal como vimos con log4j, donde los atacantes escaneaban y hackeaban cualquier dispositivo vulnerable que encontraban. Otras veces, los ataques son dirigidos, como vimos con VMware Horizon. El punto es que nadie es inmune, ni siquiera un oleoducto de gas.
Y si andas en busca del amor, toma en cuenta nuestro sólido consejo, cortesía de un meme de Bob Esponja:
Lección n.º 2: Los atacantes encontrarán (y aprovecharán) el eslabón más débil.
¿El culpable del ataque de ransomware a Colonial Pipeline? Una sola contraseña de una cuenta de red privada virtual (VPN). Lo más desconcertante es que esa cuenta ni siquiera se estaba usando en el momento del ataque, pero aun así podía acceder a la red.
El punto aquí está estrechamente relacionado con nuestra primera lección aprendida: los hackers son perezosos pero eficientes. Les gusta apuntar al eslabón más débil. Claro, podrían ir constantemente tras los activos más críticos de una organización (como sus servidores), pero ¿para qué pasar por todo ese esfuerzo cuando hay una ruta mucho más fácil para entrar?
Y a veces, esa ruta es tan simple como enviar un correo de phishing.
Por eso la seguridad en capas es un componente tan importante de cualquier stack de ciberseguridad moderno. Es más difícil detectar a un atacante moviéndose lateralmente dentro de una red una vez que logra acceder. Un stack que cuenta con funciones de detección y respuesta para encontrar y expulsar a los hackers puede marcar toda la diferencia en cuán perjudicial resulta un ataque.
Lección n.º 3: Los atacantes son ágiles. Los defensores también deben serlo.
Ah, ser un empleado tan ambicioso como un atacante.
Su éxito se correlaciona con subir de nivel constantemente su conocimiento cibernético. Estudian a sus adversarios (es decir, a nosotros) y las herramientas que usamos, y aprenden a evadirlas.
Y son buenos en eso.
Son maestros de la evasión de defensas. Aceptan que serán aprendices de por vida, siempre y cuando los defensores sigamos defendiendo.
Y por eso los defensores no podemos simplemente mantener el ritmo de los hackers de hoy.
Tenemos que pensar con anticipación, seguir mejorando nuestras habilidades y cuestionar para mejorar el statu quo. Tenemos que estar atentos a nuevas amenazas y aprender activamente cómo combatirlas.
Eso también significa que debemos presionar a nuestros proveedores para que mantengan sus productos al día, no solo para combatir las amenazas de hoy, sino también las de mañana.
Más información
Si estás leyendo esto y trabajas en una pequeña empresa, espero que tu conclusión de este artículo reflexivo sea simplemente actuar con precaución. No eres demasiado pequeño ni demasiado desconocido para ser un blanco tentador para los actores de amenazas de hoy.
Toma medidas razonables, como implementar la autenticación multifactor (MFA) y usar (¡nunca reutilizar!) contraseñas seguras. Si los atacantes te tienen en la mira y se dan cuenta de que representas más desafío del que esperaban, probablemente pasarán al siguiente “eslabón más débil”.
Pero quizás la conclusión más importante para todos nosotros es que nunca ganaremos realmente la batalla de la ciberseguridad. La ciberseguridad es más una meta que otra cosa, y es una meta hacia la que, como defensores, debemos trabajar todos los días.
Y estamos aquí para ayudarte a lograrlo.
Consulta nuestros recursos educativos de ciberseguridad. Y para una discusión mensual y oportuna sobre las últimas tácticas y técnicas de los hackers, consulta Tradecraft Tuesday.
* Un agradecimiento especial a Roger Koehler por su ayuda con la redacción de este blog.
