“Un boxeador deriva la mayor ventaja de su compañero de combate …”
– Epictetus, 50–135 AD
Manos arriba. Barbilla escondida. Rodillas dobladas. El timbre suena, y ambos boxeadores se encuentran en el centro y el círculo. Red arroja tres golpes, finge un cuarto y, en el campo, abarca una mano derecha sobre azul en el centro.
Este no fue el primer día de Blue y, a pesar de su sólida defensa frente al espejo, siente la presión. Pero algo cambió en el ring; La variedad de golpes, las fintas, la intensidad: no se parece en nada a las simulaciones de su entrenador. ¿Es mi defensa lo suficientemente fuerte como para resistir esto? Se pregunta ¿Tengo incluso defensa?
Su entrenador le asegura “si no fuera por toda su práctica, no habrías defendido esos primeros golpes. Tienes una defensa, ahora necesitas calibrarlo. Y eso sucede en el ring”.
La ciberseguridad no es diferente. Puede tener las manos en alto, desplegar la arquitectura, las políticas y las medidas de seguridad correctas, pero la brecha más pequeña en su defensa podría dejar que un atacante consiguiera un golpe de nocaut. La única forma de probar su preparación está bajo presión, entrenando en el ring.
La diferencia entre la práctica y la verdadera pelea
En el boxeo, los socios de combate son abundantes. Todos los días, los luchadores entran en el ring para perfeccionar sus habilidades contra oponentes reales. Pero en ciberseguridad, los socios de combate son más escasos. El equivalente es las pruebas de penetración, pero un pentest ocurre en una organización típica solo una vez al año, tal vez dos veces, en el mejor de los casos en cada trimestre. Requiere una preparación extensa, contraer una costosa agencia especializada y acordonar el medio ambiente para ser probado. Como resultado, los equipos de seguridad a menudo pasan meses sin enfrentar una verdadera actividad adversa. Cumplían, sus manos están arriba y sus barbillas están metidas. ¿Pero serían resistentes al ataque?
Las consecuencias de las pruebas poco frecuentes
1. Drift: la lenta erosión de la defensa
Cuando un boxeador pasa meses sin entrenar, su intuición se apaga. Es víctima del concepto conocido como “pulgadas” donde tiene el movimiento defensivo correcto, pero lo pierde a centímetros, siendo atrapado por disparos que sabe defender. En ciberseguridad, esto es similar Drift de configuración: Cambios incrementales en el entorno, ya sean nuevos usuarios, activos obsoletos, ya no asistieron a puertos o una pérdida gradual en la calibración defensiva. Con el tiempo, surgen brechas, no porque las defensas se hayan ido, sino porque se han vuelto a alinearse.
2. Gaps no detectados: los límites del shadowboxing
Un boxeador y su entrenador solo pueden llegar tan lejos en el entrenamiento. Shadowboxing y los ejercicios ayudan, pero el entrenador no llamará errores discretos, que podrían dejar al boxeador vulnerable. Tampoco pueden replicar la imprevisibilidad de un oponente real. Simplemente hay demasiadas cosas que pueden salir mal. La única forma para que un entrenador evalúe el estado de su boxeador es ver cómo es golpeado y luego diagnosticar por qué.
Del mismo modo, en la ciberseguridad, la superficie de ataque es vasta y constantemente evolucionando. Ninguna evaluación de Pentesting puede anticipar todos los vectores de ataque posibles y detectar cada vulnerabilidad. La única forma de descubrir brechas es probar repetidamente contra escenarios de ataque real.
3. Alcance de prueba limitado: el peligro de pruebas parciales
Un entrenador necesita ver a su luchador probado contra una variedad de oponentes. Puede estar bien contra un oponente que lanza principalmente disparos en la cabeza, pero ¿qué pasa con los perforadores o contrapescadores? Estas pueden ser áreas de mejora. Si un equipo de seguridad solo prueba contra un tipo particular de amenaza, y no amplía su rango a otras hazañas, ya sea con contraseñas expuestas o configuraciones erróneas, corren el riesgo de dejarse expuestos a los puntos de acceso débiles que un atacante encuentra. Por ejemplo, una aplicación web podría ser segura, pero ¿qué pasa con una credencial filtrada o una dudosa integración de API?
https://www.youtube.com/watch?v=t3ndksdbjo0
El contexto es importante cuando se trata de priorizar soluciones
No todas las vulnerabilidad son un golpe de nocaut. Así como el estilo único de un boxeador puede compensar los defectos técnicos, compensar los controles en la ciberseguridad puede mitigar los riesgos. Tome Muhammad Ali, según los estándares de libros de texto, su defensa fue defectuosa, pero su atletismo y adaptabilidad lo hicieron intocable. Del mismo modo, la mano delantera baja de Floyd Mayweather puede parecer una debilidad, pero su rollo de hombro lo convirtió en una fuerza defensiva.
En ciberseguridad, los escáneres de vulnerabilidad a menudo destacan docenas, si no cientos de temas. Pero no todos son críticos. Todos los entornos de TI son diferentes y una CVE de alta severidad podría neutralizarse mediante un control de compensación, como la segmentación de red o las estrictas políticas de acceso. El contexto es clave porque proporciona la comprensión necesaria de lo que requiere atención inmediata versus lo que no.
El alto costo de las pruebas poco frecuentes
El valor de las pruebas contra un adversario real no es nada nuevo. Los boxeadores chocan para prepararse para peleas. Los equipos de ciberseguridad realizan pruebas de penetración para endurecer sus defensas. Pero, ¿qué pasaría si los boxeadores tuvieran que pagar decenas de miles de dólares cada vez que se volcaban? Su aprendizaje solo ocurriría en el ring, durante la lucha, y el costo del fracaso sería devastador.
Esta es la realidad para muchas organizaciones. Las pruebas de penetración tradicionales son costosas, requieren mucho tiempo y, a menudo, en alcance limitado. Como resultado, muchos equipos solo prueban una o dos veces al año, dejando sus defensas sin control durante meses. Cuando ocurre un ataque, las brechas están expuestas, y el costo es alto.
Pruebas continuas y proactivas
Para realmente endurecer sus defensas, las organizaciones deben ir más allá de las pruebas anuales poco frecuentes. En cambio, necesitan Pruebas continuas y automatizadas Eso emula ataques del mundo real. Estas herramientas emulan la actividad adversa, descubren brechas y proporcionan información procesable sobre dónde apretar los controles de seguridad, cómo recalibrar las defensas y proporcionar soluciones precisas para la remediación. Hacerlo todo con frecuencia regular y sin el alto costo de las pruebas tradicionales.
Al combinar la validación de seguridad automatizada con experiencia humana, las organizaciones pueden mantener una fuerte postura defensiva y adaptarse a las amenazas en evolución.
Obtenga más información sobre Pentesting automatizado visitando Pentera.
Nota: Este artículo es escrito por expertos y contribuido por William Schaffer, representante senior de desarrollo de ventas en Pentera.
About the Author
