La definición de "superficie de ataque" es bastante sencilla (¡y un poco matemática!): es la suma total de todas las formas en que un cibercriminal podría acceder a tus sistemas, datos o red. Es la vista que tiene un hacker de tu huella digital. 

Pero aquí es donde se complica: tu superficie de ataque no es solo tus computadoras y servidores. Incluye todo lo que está conectado a tu red: dispositivos móviles, aparatos IoT, aplicaciones en la cloud, las conexiones y redes domésticas de los trabajadores remotos, e incluso esa pecera en el vestíbulo (sí, en serio).

Sin embargo, el significado de superficie de ataque es más complejo que un simple inventario. Se trata de entender cada posible vulnerabilidad que se podría explotar en los puntos de entrada de tu superficie de ataque. Esto incluye:

• Activos físicos: servidores, laptops, smartphones, sistemas de tecnología operativa y cualquier hardware conectado a tu red

• Componentes de software: sistemas operativos, aplicaciones, bases de datos e integraciones de terceros

• Elementos humanos: empleados que podrían caer víctimas de ataques de ingeniería social

• Conexiones de red: redes WiFi, VPNs y servicios expuestos a internet

Tu superficie de ataque es como un mapa de todos los posibles puntos de entrada, mientras que un vector de ataque es la ruta específica que un hacker usa para entrar.

Usemos de nuevo nuestra analogía de la casa:

• Una superficie de ataque es cada puerta, ventana, chimenea, garaje, puerta para mascotas y entrada al sótano. 

• Un vector de ataque es la técnica específica que se usa para entrar por uno de esos puntos, como forzar la cerradura de la puerta principal o romper una ventana.

Algunos ejemplos de puntos de entrada vulnerables en la superficie de ataque incluyen:

• Software sin parches en las laptops de los empleados

• Contraseñas débiles en cuentas de administrador

• Buckets de almacenamiento en la cloud mal configurados

• Dispositivos personales de empleados que acceden al correo de la empresa

• RDP expuesto a internet

• Conexiones VPN sin MFA

• Sistemas operativos al final de su vida útil (EOL)

Un vector de ataque, por otro lado, sería el método real que se usa para comprometer una de estas vulnerabilidades. Las posibilidades son infinitas, pero algunas tácticas comunes son el phishing, la fuerza bruta, el secuestro de sesión, o la explotación de vulnerabilidades de día cero.

Los profesionales de ciberseguridad suelen dividir las superficies de ataque en cinco categorías principales. Entender esto te ayuda a adoptar un enfoque sistemático para proteger tu organización:

1. Superficie de ataque digital

Esto incluye todos tus puntos digitales que un atacante puede comprometer: servidores, sistemas operativos, aplicaciones, sitios web y código. 

2. Superficie de ataque física

El hardware y los lugares físicos donde vive ese hardware. Esto abarca desde puertos USB en estaciones de trabajo hasta salas de servidores que podrían no estar bien protegidas.

3. Superficie de ataque humana

Tus empleados, contratistas y cualquier otra persona con acceso a tus sistemas. Los humanos suelen ser el blanco más fácil porque los atacantes saben cómo engañarlos para que entreguen información sensible. 

4. Superficie de ataque en la cloud

Esta es una parte única y compleja de tu superficie de ataque que incluye infraestructura, servicios y configuraciones vulnerables en la cloud. 

5. Superficie de ataque interna

Las posibles vulnerabilidades y puntos de entrada en redes y sistemas internos que se pueden explotar después de que un atacante haya violado el perímetro.

Un árbol de ataque es una herramienta visual para mapear las partes explotables de tu superficie de ataque. Es similar a un árbol genealógico, pero en lugar de mostrar relaciones entre personas, muestra relaciones entre vulnerabilidades y posibles rutas de ataque.

En la parte superior del árbol está el objetivo final del atacante, como acceder a una base de datos de clientes o a la bandeja de entrada del CEO. Debajo, se ramifica en todas las diferentes formas en que los atacantes podrían alcanzar ese objetivo, dividiéndolas en pasos cada vez más pequeños.

Por ejemplo:

• Objetivo: acceder a la base de datos de clientes

• Ruta 1: comprometer la cuenta de administrador

• Hacer phishing de la contraseña del administrador

• Explotar una política de contraseñas débil

• Ruta 2: explotar una vulnerabilidad de la base de datos

• Encontrar software de base de datos sin parches

• Usar un exploit público conocido

Esta visualización te ayuda a priorizar qué vulnerabilidades corregir primero y a entender cómo se conectan las distintas partes de tu superficie de ataque.

Veamos algunos ejemplos reales de superficie de ataque:

La explosión del trabajo remoto
Cuando el COVID-19 envió a todos a casa, las organizaciones de repente tenían dispositivos de cientos de redes domésticas conectados a sus sistemas corporativos. Cada router doméstico, dispositivo personal y familiar que usaba la misma red WiFi pasó a formar parte de la superficie de ataque de la empresa.

La oficina inteligente
Las oficinas modernas están llenas de dispositivos conectados: termostatos inteligentes, cámaras de seguridad, impresoras con conexión de red y asistentes de voz. Cada uno representa un posible punto de entrada para los atacantes.

La migración a la cloud
Mudarte a servicios en la cloud amplía tu superficie de ataque de nuevas formas. Los servicios o aplicaciones en la cloud mal configurados, las cuentas de usuario con privilegios excesivos y los puntos de integración entre distintos servicios en la cloud crean nuevas vulnerabilidades con las que no contabas.

Profundicemos en las estrategias diseñadas para reducir tu superficie de ataque:

Comienza con el descubrimiento de un activo de ciberseguridad

No puedes proteger lo que no sabes que existe. Usa herramientas automatizadas para escanear tu red y rastrear cada dispositivo, aplicación y servicio que encuentres. Ubica un activo de ciberseguridad oculto y sácalo a la luz.

Implementa el principio de privilegio mínimo

No le des a las personas ni a los sistemas más acceso del que necesitan para hacer su trabajo. El pasante de verano no necesita derechos de administrador en toda la red, y tampoco los necesita ese sensor IoT del refrigerador de la oficina.

Mantente al día con los parches y actualizaciones

La gestión de la superficie de ataque (ASM) se trata en gran parte de mantenerse al día con los parches y las actualizaciones. Configura la aplicación automática de parches donde puedas, y ten un proceso para instalar rápidamente las actualizaciones de seguridad críticas.

Elimina lo que no necesitas

Aplica el método Marie Kondo a tu superficie de ataque. Deshazte de las aplicaciones, servicios y cuentas de usuario que no uses, porque representan un activo de ciberseguridad vulnerable. Y eso no le da alegría a nadie más que a los hackers. Asegúrate de hacer auditorías periódicas para eliminar los componentes innecesarios y mantener tu superficie de ataque bajo control. 

Capacita a tu equipo

Entender tu superficie de ataque es como tener un mapa detallado de tu panorama de seguridad. Una vez que sabes dónde eres vulnerable, puedes empezar a tomar decisiones estratégicas sobre dónde invertir tus recursos de seguridad.

Empieza con algo pequeño. Elige una categoría de tu superficie de ataque y haz una evaluación exhaustiva. Puede que te sorprenda lo que encuentres, ¡pero sin duda estarás mejor preparado para defenderte!