En la era de la digitalizaci\u00f3n y las necesidades comerciales en constante cambio, el entorno de producci\u00f3n se ha convertido en un organismo vivo. M\u00faltiples funciones y equipos dentro de una organizaci\u00f3n pueden afectar en \u00faltima instancia la forma en que un atacante ve los activos de la organizaci\u00f3n o, en otras palabras, la superficie de ataque externa. Esto aumenta dr\u00e1sticamente la necesidad de definir una estrategia de gesti\u00f3n de la exposici\u00f3n.<\/p>\n
Para mantenerse al d\u00eda con las necesidades comerciales mientras eval\u00faan y administran de manera efectiva el riesgo de seguridad cibern\u00e9tica, hay dos elementos principales que las organizaciones deben considerar con respecto a su superficie de ataque externa: su Talla<\/em> y es atractivo para los atacantes<\/em>. Si bien las organizaciones generalmente se enfocan en tener en cuenta el tama\u00f1o de su superficie de ataque, su atractivo no suele ser lo m\u00e1s importante, aunque puede tener un impacto significativo en el riesgo.<\/p>\n \u00bfCu\u00e1ntos activos son accesibles desde el mundo exterior? <\/p>\n Existe un delicado equilibrio entre las necesidades comerciales y la seguridad. Si bien existen buenas razones para exponer m\u00e1s activos a Internet (es decir, para la experiencia del usuario, integraciones de terceros y requisitos de arquitectura de software), el precio es una mayor superficie de ataque. En \u00faltima instancia, una mayor conectividad significa m\u00e1s puntos potenciales de infracci\u00f3n para un adversario. <\/p>\n Cuanto mayor sea la superficie de ataque y m\u00e1s activos est\u00e9n disponibles para el “patio de recreo” del adversario, m\u00e1s necesitar\u00e1 una organizaci\u00f3n para mitigar el riesgo de exposici\u00f3n. Esto requiere pol\u00edticas y procedimientos cuidadosamente dise\u00f1ados para monitorear la superficie de ataque y proteger los activos expuestos continuamente. Por supuesto, existen medidas b\u00e1sicas, como la exploraci\u00f3n rutinaria de vulnerabilidades de software y la aplicaci\u00f3n de parches. Sin embargo, tambi\u00e9n hay problemas de configuraci\u00f3n, TI en la sombra, credenciales filtradas y aspectos de administraci\u00f3n de acceso que deben tenerse en cuenta. <\/p>\n Una nota importante: la frecuencia de las pruebas y validaciones debe al menos alinearse con el ritmo de cambio de la superficie de ataque de la organizaci\u00f3n. Cuantos m\u00e1s cambios realiza una organizaci\u00f3n en su entorno, m\u00e1s necesita evaluar la superficie de ataque. Sin embargo, las pruebas de rutina siguen siendo necesarias incluso durante per\u00edodos de cambios m\u00ednimos. <\/p>\n Si bien el tama\u00f1o de la superficie de ataque externa es un indicador bien entendido del riesgo de seguridad cibern\u00e9tica, otro aspecto que es igual de cr\u00edtico, aunque m\u00e1s elusivo para las organizaciones de hoy, es c\u00f3mo atractivo<\/em> una superficie de ataque es para los atacantes potenciales.<\/p>\n Cuando los adversarios buscan v\u00edctimas potenciales, buscan la fruta m\u00e1s madura. Ya sea que se trate de la forma m\u00e1s f\u00e1cil de comprometer a una organizaci\u00f3n objetivo en particular o de los objetivos m\u00e1s f\u00e1ciles de atacar para lograr sus objetivos, se sentir\u00e1n atra\u00eddos por los indicadores de posibles puntos d\u00e9biles de seguridad en los activos externos y priorizar\u00e1n sus actividades en consecuencia.<\/p>\n Cuando hablamos de activos “atractivos”, no necesariamente nos referimos a objetivos atractivos, como datos personales, que se pueden vender en el mercado negro. Las atracciones son los atributos de un activo que tienen el potencial de ser abusados \u200b\u200bpor los adversarios. Estos se marcan como un posible punto de partida para propagar un ataque. <\/p>\n Los activos de una organizaci\u00f3n pueden estar parcheados con el software m\u00e1s reciente y mejor. Sin embargo, estos activos a\u00fan podr\u00edan tener propiedades atractivas. Por ejemplo, una gran cantidad de puertos abiertos aumenta la cantidad de protocolos que se pueden aprovechar para propagar un ataque. Es importante enfatizar que los ataques no est\u00e1n necesariamente vinculados a una vulnerabilidad, sino que pueden ser un abuso de un servicio conocido. Un buen ejemplo de ello se puede encontrar en este entrada en el blog<\/a> de Pentera Labs que describe c\u00f3mo abusar de la utilidad PsExec. Adem\u00e1s, algunos puertos espec\u00edficos pueden ser m\u00e1s atractivos, por ejemplo, el puerto 22, que permite el acceso SSH desde el mundo exterior. <\/p>\n Otro ejemplo es un sitio web que permite cargar archivos. Para algunas organizaciones, este es un servicio cr\u00edtico que habilita el negocio, pero para los atacantes, esta es una forma conveniente de poner el pie en la puerta. Las organizaciones son muy conscientes del riesgo y pueden abordarlo de diferentes maneras, pero eso no cambia el atractivo de este activo y su potencial de riesgo correspondiente. <\/p>\n El principal desaf\u00edo al tratar con atracciones es que son objetivos en movimiento. Las atracciones cambian tanto en su n\u00famero de instancias como en su gravedad por cambio de configuraci\u00f3n. <\/p>\n Para evaluar efectivamente la severidad de una atracci\u00f3n, es esencial comprender qu\u00e9 tan f\u00e1cil es para un adversario detectarla durante la fase de enumeraci\u00f3n y, m\u00e1s importante a\u00fan, qu\u00e9 tan f\u00e1cil es explotarla. Por ejemplo, tener una conexi\u00f3n VPN es f\u00e1cil de detectar pero dif\u00edcil de explotar y, como resultado, puede ser una prioridad menor en el plan de gesti\u00f3n de riesgos de una organizaci\u00f3n. Por otro lado, tener un formulario de contacto en l\u00ednea es f\u00e1cil de detectar y tiene altos niveles de exposici\u00f3n para inyecciones de SQL y vulnerabilidades de explotaci\u00f3n como Log4Shell. <\/p>\n Disminuir el n\u00famero de atracciones reduce el riesgo de una organizaci\u00f3n, pero eso no siempre es posible. Como resultado, comprender el riesgo subyacente y definir un plan para abordarlo debe ser la prioridad n\u00famero uno de la organizaci\u00f3n para controlar las exposiciones en la superficie de ataque externa y, al mismo tiempo, satisfacer las necesidades comerciales.<\/p>\n Nota:<\/b> Este art\u00edculo est\u00e1 escrito y contribuido por un gerente de marketing de productos en Pentera, la empresa de validaci\u00f3n de seguridad automatizada. Para leer m\u00e1s, vaya a pentera.io<\/a>.<\/i><\/p>\n <\/p>\nTama\u00f1o de la superficie de ataque<\/strong><\/h2>\n
Atractivo de la superficie de ataque<\/strong><\/h2>\n