Los endpoints son el centro de acción para los empleados de una organización, lo que también los convierte en un objetivo principal para los atacantes que buscan explotar parches faltantes, configuraciones inconsistentes y el error humano normal.

Los empleados abren archivos adjuntos y enlaces que instalan malware de tipo infostealer, lo que permite a los atacantes recolectar contraseñas guardadas, cookies de sesión e historial de navegación para acceder a las redes corporativas. Las actualizaciones de software y las alertas de seguridad son fáciles de pasar por alto o posponer, dejando vulnerabilidades que los atacantes pueden explotar a medida que la fatiga por alertas desgasta incluso a los empleados más conscientes de la seguridad. 

Bombardeados por advertencias de seguridad, actualizaciones de software y notificaciones interminables, los usuarios suelen hacer clic en "permitir" o "ignorar" solo para seguir avanzando. Si a esto le sumamos el shadow IT (aplicaciones no aprobadas y extensiones de navegador no autorizadas), el riesgo aumenta aún más. No es de extrañar que las brechas de seguridad a menudo comiencen con una sola laptop comprometida.

Phishing e ingeniería social

Como evade los controles técnicos, el phishing sigue siendo uno de los principales vectores de ataque inicial, y representa el 16% de las brechas. Un empleado podría recibir un correo que parece venir del soporte de TI o de un ejecutivo. Estos correos suelen incluir un enlace a una página de inicio de sesión falsa que roba sus credenciales. También pueden incluir un archivo adjunto que parece legítimo, como una factura o un currículum. Cuando el usuario abre el documento, una macro maliciosa ejecuta un script que le da acceso al atacante. 

Vulnerabilidades del navegador

Los actores de amenazas también atacan navegadores o plugins desactualizados. Por ejemplo, un usuario visita un sitio web legítimo que ha sido comprometido mediante un “ataque de descarga inadvertida”, o hace clic en un anuncio malicioso ("malvertising"). El sitio web aloja un exploit kit que escanea el navegador del usuario en busca de vulnerabilidades sin parchear (por ejemplo, una versión desactualizada de Chrome). El exploit del navegador suelta un payload, como un troyano de acceso remoto (RAT), en el sistema, estableciendo un punto de apoyo persistente sin que el usuario se entere.

Movimiento lateral

Ninguna herramienta por sí sola puede detectar todas las amenazas. Una seguridad sólida para endpoints requiere una defensa de múltiples capas, que incluye:

Detección y respuesta para endpoints (EDR)

La seguridad tradicional asumía que las amenazas podían detenerse en la puerta de entrada. El enfoque proactivo actual asume que una vulneración es inevitable y se concentra en la visibilidad y la respuesta rápida. EDR es una herramienta para endpoints que ayuda con el monitoreo de malware en endpoints. En lugar de buscar firmas de malware, analiza el comportamiento, incluida la creación de procesos, las modificaciones del registro, los cambios en el sistema de archivos y las conexiones de red. EDR permite la caza de amenazas proactiva y puede aislar automáticamente los dispositivos comprometidos.

Firewalls

Mientras que los firewalls de red protegen el perímetro corporativo, un firewall local del endpoint protege el dispositivo individual. Controla el tráfico que entra y sale de esa máquina específica, actuando como el último punto de control para el tráfico de red. Monitorear el tráfico saliente es fundamental para detectar malware que intenta comunicarse con un servidor de comando y control (C2). Los firewalls para endpoints también pueden bloquear que aplicaciones específicas accedan a internet y pueden microsegmentar las redes.

Cifrado

Un cifrado moderno y sólido (por ejemplo, AES-256) garantiza que, si un dispositivo es robado o comprometido, los datos sean ilegibles para el atacante. El cifrado es fundamental para evitar que se use información como palanca de extorsión. Herramientas como BitLocker (Windows) o FileVault (macOS) cifran todo el volumen del disco duro 

(cifrado de disco completo [FDE]), mientras que el cifrado a nivel de archivo (FLE) protege archivos o carpetas individuales.

Parches

Las vulnerabilidades de software son brechas en la armadura de un endpoint. Un proceso sistemático de gestión de parches identifica vulnerabilidades y aplica actualizaciones antes de que sean explotadas. Las herramientas automatizadas de escaneo de vulnerabilidades inspeccionan los endpoints y comparan las versiones de software instaladas con una base de datos de vulnerabilidades conocidas (CVE). Los parches se priorizan según el nivel de riesgo y el estado de explotación activa. Las herramientas de gestión centralizada (RMM o MDM) pueden entonces enviar actualizaciones a miles de dispositivos simultáneamente.

Antivirus

Además de contar con las herramientas adecuadas, las organizaciones deben practicar una buena higiene cibernética. Estas políticas, configuraciones y marcos culturales refuerzan aún más los controles técnicos para proteger contra las brechas. 

Aplica la MFA

La autenticación multifactor (MFA) es posiblemente el control más eficaz contra el robo de credenciales y los ataques basados en identidad. Investigaciones de Microsoft indican que la MFA puede bloquear el 99,9% de los ataques automatizados de compromiso de cuentas. Aplica la MFA en todos los puntos de acceso remoto, incluidos VPN, puertas de enlace RDP y el correo en la cloud. Adopta una MFA resistente al phishing, como llaves de hardware FIDO2/WebAuthn (por ejemplo, YubiKeys) o aplicaciones de coincidencia numérica.

Limita los permisos de los usuarios

Aplica el principio de privilegio mínimo (PoLP), que consiste en dar a los usuarios y aplicaciones solo el acceso mínimo necesario para hacer su trabajo. Para los roles que ocasionalmente requieren permisos de administrador, usa herramientas de gestión de privilegios que otorguen una elevación temporal para una tarea y duración específicas (acceso justo a tiempo).

Security awareness training (SAT)

Las personas siguen siendo una de las principales vulnerabilidades, ya que el error humano tuvo un papel en el 60% de las brechas del año pasado. La buena noticia es que esta cifra bajó de aproximadamente el 82% en 2022, lo que demuestra que una mayor concientización funciona. El security awareness training administrado ayuda a construir una cultura consciente de la seguridad, al entrenar a los equipos para reconocer intentos de phishing y evitar descargas maliciosas.

Parcheo automatizado y gestión de vulnerabilidades

Reduce la superficie de ataque disminuyendo el tiempo que una vulnerabilidad permanece en tu red. Automatiza las actualizaciones de los sistemas operativos y de las aplicaciones de terceros; estas últimas suelen ser las más descuidadas, por lo que se explotan con frecuencia. Adopta un enfoque basado en riesgos con el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA. Si los hackers están explotando activamente un error en el mundo real, corrígelo de inmediato (en un plazo de 24 a 48 horas), sin importar su puntaje de gravedad teórico.

Detección administrada

Para muchas organizaciones, en particular las pequeñas y medianas empresas, implementar herramientas complejas de EDR crea un nuevo problema: la fatiga por alertas. Las herramientas de EDR generan enormes cantidades de datos y alertas, pero la mayoría de las empresas no puede costear el centro de operaciones de seguridad (SOC) dedicado para interpretar todo eso.