Según el último barómetro anual de la aseguradora Hiscox, Francia es el segundo país más afectado por ciberataques en Europa, con un 52% de las empresas que han sufrido al menos un ataque el año pasado. Estas campañas maliciosas a menudo son causadas por ransomware o robo de datos, y los ciberdelincuentes son cada día más inteligentes. Sus métodos consisten principalmente en obtener acceso inicial al entorno de TI, aumentar los privilegios y moverse lateralmente para llegar a los activos críticos. Por lo tanto, es fundamental contener los posibles movimientos laterales para limitar las maniobras de los ciberdelincuentes.
Los piratas informáticos utilizan un conjunto de técnicas para evolucionar gradualmente en el entorno de TI. Para ello, todo comienza con la obtención del acceso inicial, por ejemplo a través de un correo electrónico de phishing y los derechos de acceso así obtenidos; también llamados privilegios.
Cuentas privilegiadas y riesgos asociados
Dependiendo de sus objetivos, los ciberdelincuentes navegan por la red para localizar objetivos, a menudo haciendo múltiples saltos entre diferentes sistemas. Estos movimientos laterales pueden ser particularmente peligrosos porque son difíciles de detectar; atacantes aprovechando el acceso privilegiado existente, estas acciones pueden parecer legítimas. Estos saltos también se realizan a menudo en el momento oportuno, sin saber necesariamente a dónde conducen, lo que los hace difíciles de predecir.
Ninguna bala de plata puede evitar el movimiento lateral malicioso mientras protege la actividad legítima del usuario. Por lo tanto, las organizaciones utilizan una combinación de métodos de mitigación para construir una defensa de múltiples capas; como el endurecimiento de la configuración, la segmentación de la red o la autenticación multifactor. Una parte importante de esta estrategia de defensa holística es la gestión de acceso privilegiado (PAM).
Desde la gestión de cuentas privilegiadas…
El concepto tradicional de PAM gira en torno a una bóveda, que renueva las cuentas y las credenciales de los usuarios según la política. Bajo este enfoque, las contraseñas se cambian tan pronto como los usuarios terminan su sesión. El concepto de PAM también es eliminar los privilegios elevados de las cuentas de usuario ordinarias. Este enfoque reduce las posibilidades de un movimiento lateral exitoso si se compromete una cuenta de usuario sin privilegios. Sin embargo, las organizaciones a veces mantienen docenas, o incluso cientos, de cuentas privilegiadas para realizar tareas administrativas esenciales en el ecosistema de TI.
Dado que los ciberdelincuentes ahora están adoptando tácticas cada vez más sofisticadas, estas credenciales privilegiadas plantean graves riesgos cibernéticos para las empresas. De hecho, los atacantes pueden hacer un mal uso de ellos o los empleados, de manera accidental o maliciosa. Con el tiempo, por lo tanto, la administración de cuentas privilegiadas evolucionó hacia la administración de accesos privilegiados, que incorpora proxies de sesión, mejora la segmentación y la seguridad de la red y brinda la capacidad de registrar lo que sucede. pasa dentro de la red, mientras que las propias cuentas se mantienen en la bóveda.
… a la gestión de actividades privilegiadas
El concepto tradicional de PAM ha dado a muchos una (falsa) sensación de seguridad al establecer “privilegios permanentes”. Sin embargo, en la mayoría de los entornos, los atacantes no están interesados en las cajas fuertes ni en las contraseñas como tales; buscan en una red activos que puedan ser explotados para obtener acceso a una cuenta privilegiada y moverse lateralmente sin ser notados. El conjunto de cuentas de administrador que las organizaciones usan a diario tiende a tener privilegios elevados. Y debido a que estas cuentas generalmente conservan sus privilegios después de ser utilizadas, cuantas más cuentas privilegiadas haya, más área de superficie de ataque tendrán los atacantes y más capacidad tendrán para moverse lateralmente a través de la red.
En este contexto, la gestión de actividades privilegiadas, una evolución del concepto tradicional de PAM, ha surgido como una forma eficaz de reducir las superficies de ataque en línea y proteger los datos y las redes contra los movimientos laterales de los ciberdelincuentes. El objetivo es resolver el problema de los privilegios persistentes creando privilegios solo cuando los usuarios los necesitan.
La mejor práctica es mantener el entorno en un estado lo más cercano posible al privilegio cero permanente, lo que significa que no se asignan privilegios a las cuentas cuando no se usan directamente. Estas cuentas ya no representan un riesgo y los ciberdelincuentes no pueden explotarlas. Esto se conoce como «privilegios bajo demanda». Este enfoque no solo elimina un medio de movimiento lateral disponible para un atacante potencial, sino que también cumple con las restricciones de cumplimiento a las que están sujetas las organizaciones.
A medida que los ciberdelincuentes perfeccionan cada vez más sus métodos de ataque, las organizaciones deben estar completamente preparadas. Para mantener sus datos seguros, necesitan estar alerta. Existe una necesidad urgente de alejarse del enfoque convencional del PMA y centrarse en el acceso suficiente para realizar una tarea específica y solo durante el tiempo necesario para realizar esa actividad. De hecho, entonces es posible minimizar los riesgos asociados con los diferentes derechos de acceso y plataformas. Las organizaciones pueden reducir su superficie de ataque y eliminar la capacidad de los ciberdelincuentes para infiltrarse en los sistemas de seguridad, mientras reducen significativamente los gastos generales de gestión en el proceso.
___________________
Par antonio tardíoDirector Ingeniería de Soluciones EMEA y APAC chez Netwrix
Lea también:
Comprender y prevenir las fugas de datos…
Escalada de privilegios: qué la promueve y cómo evitarla…
Ataques a la cadena de suministro: las pymes son una puerta de entrada indirecta.
RGPD, 2 años después: errores que ya no se pueden cometer.
[
