Protegiendo el Viaje de Datos de tu Organización

En todo el mundo, empresas de todos los tamaños y sectores están experimentando algún tipo de transformación tecnológica. De hecho, las compañías han acelerado la digitalización de sus operaciones internas y externas entre tres y cuatro años desde que la pandemia trastocó el mundo. Si bien el COVID-19 ha sido un gran acelerador de este cambio, los líderes organizacionales también están reconociendo la importancia estratégica de integrar la tecnología en todo su negocio.

Un Ecosistema Complejo

Para muchas organizaciones, la transformación estará impulsada por la adopción de software comercial de terceros implementado internamente, aplicaciones de software como servicio (SaaS) que alojan datos sensibles y bibliotecas de código abierto de terceros utilizadas para desarrollar software. Aunque la introducción de tecnología moderna es señal de progreso necesario, las empresas no deben pasar por alto los riesgos de seguridad potenciales que conlleva toda esta innovación. La prevalencia de cadenas de suministro de software expondrá a empresas desprevenidas de formas nuevas y complejas, poniendo a prueba los límites de las defensas de seguridad tradicionales.

Las cadenas de suministro de software vulnerables han captado incluso la atención del gobierno de EE. UU., confirmando la urgencia de este creciente riesgo de ciberseguridad. En mayo, los líderes gubernamentales dieron el primer paso para abordar proactivamente las amenazas potenciales que acechan en un ecosistema creciente de dependencias de terceros. La Orden Ejecutiva 14028 esboza un plan que pide al gobierno "hacer cambios audaces e inversiones significativas para defender las instituciones vitales que sustentan el modo de vida estadounidense". La orden pone especial énfasis en la seguridad del software crítico, que, según el gobierno, "carece de transparencia, enfoque suficiente en la capacidad del software para resistir ataques y controles adecuados para evitar manipulaciones por actores maliciosos".

El Instituto Nacional de Estándares y Tecnología (NIST) delineó las medidas de seguridad para proteger el software crítico, poniendo un enfoque agudo en las defensas necesarias para proteger los datos, no solo los sistemas y la red que los rodean. Este enfoque, que se centra en proteger los datos y todas las rutas hacia ellos, reconoce el problema intratable de las aplicaciones y bibliotecas de software de terceros que tienen acceso directo a datos sensibles. Como evidencian los ataques exitosos llevados a cabo en los últimos meses, las organizaciones empresariales deben tener en cuenta al proveedor de su proveedor o al software de terceros que sustenta sus aplicaciones e interfaces si queremos mitigar verdaderamente la amenaza de los ataques a la cadena de suministro de software.

Abordando el Problema de Frente

Históricamente, las empresas se han centrado en el riesgo introducido por su conjunto inmediato de proveedores y el software crítico en el que confían. Esa postura ya no es suficiente, ya que la transformación tecnológica empuja los límites de la red tradicional y hace que los controles heredados sean menos efectivos.

Si bien una empresa puede tener los controles de seguridad adecuados, no significa que sus proveedores a lo largo de la cadena de suministro de software los tengan. La estrategia de seguridad ya no puede basarse en confiar en todo lo que proviene del ecosistema, incluso de socios y proveedores. La expansión de la cadena de suministro de software, junto con la complejidad de las aplicaciones modernas, significa que las vulnerabilidades se introducirán a mayor velocidad. Para ayudar a abordar la creciente escala de ataques dentro del ciclo de vida de desarrollo de software, las organizaciones deben adoptar un modelo de amenazas que incluya todas las partes de la cadena de suministro, incluido el código de enésima parte.

Las aplicaciones modernas funcionan gracias a un ecosistema complejo de interfaces de programación de aplicaciones (API), microservicios y funciones sin servidor. Con cargas de trabajo más efímeras y arquitecturas distribuidas, no existe una solución mágica para el análisis de software previo a la producción. Incluso en el ciclo de vida de desarrollo de software (SDLC) más riguroso, la complejidad del desarrollo significa que se introducirán vulnerabilidades. Esta es, de nuevo, la razón por la que proteger todas las rutas hacia los datos debe ser la estrategia fundamental para las organizaciones.

Detección y Prevención en Tiempo Real

Evidenciado por ataques anteriores a la cadena de suministro de software, los actores maliciosos se mueven sigilosamente dentro de la cadena de suministro explotando la vulnerabilidad en una conexión de software de terceros, usándola para moverse lateralmente y finalmente acceder a los datos del objetivo.

La seguridad de aplicaciones web debe evolucionar y centrarse más en identificar el comportamiento de la aplicación en tiempo de ejecución, como si el código de terceros es responsable de acciones no deseadas. Solo bloqueando comportamientos inesperados se puede prevenir el comportamiento de ataques novedosos. Esto será crítico a medida que la TI empresarial evolucione hacia entornos de aplicaciones modernos y diversos.

Las herramientas de escaneo de aplicaciones son excelentes, pero es poco probable que identifiquen software de terceros comprometido incrustado en aplicaciones. Las herramientas perimetrales pueden ser engañadas por tráfico aparentemente inofensivo de aplicaciones hasta que se publican las firmas. Por último, aunque muchas empresas implementan seguridad en endpoints, esta tecnología a menudo es ciega a los ataques a aplicaciones, ya que rara vez necesitan tocar dispositivos de usuario en las etapas iniciales.

En su lugar, las empresas necesitan implementar protección automática de aplicaciones en tiempo de ejecución (RASP) para detectar y prevenir ataques en tiempo real y desde dentro de una aplicación. Esta tecnología, recomendada en NIST SP 800-53 Revisión 5, puede identificar ataques hasta una línea exacta de código y detener automáticamente la explotación de una vulnerabilidad, dando a las organizaciones el tiempo necesario para parchear vulnerabilidades en su propio calendario.

Para permitir la innovación y mantener una ventaja competitiva, las organizaciones necesitarán modernizar sus operaciones. Gran parte de esta transformación dependerá de aplicaciones y servicios de terceros.

Sin embargo, las vulnerabilidades de software y aplicaciones son problemas fundamentales de seguridad, y las empresas deben tomar nota. Como tal, deben poner énfasis en sus defensas, particularmente en las API que sustentan su transformación digital.

Con atacantes encontrando formas sigilosas de evadir defensas y acceder a los datos subyacentes, es esencial que los controles adecuados estén en su lugar y que se utilicen las herramientas apropiadas para proteger verdaderamente los datos y todas las rutas hacia ellos.

Peter Klimek es director de tecnología, Oficina del CTO, en Imperva.