Preparación contra ransomware en cadenas de suministro: Prevención, contención y recuperación

El ransomware ha sido una prioridad para muchos en la industria de ciberseguridad, ya que hemos visto un número creciente de ataques que afectan redes hospitalarias, gobiernos locales y la cadena de suministro en general. Un ataque de ransomware en una empresa típicamente resulta en pérdida de acceso a datos y sistemas por algún período de tiempo y conlleva un impacto financiero a través de ingresos perdidos y dinero gastado en esfuerzos de recuperación. Cuando un ataque de ransomware se dirige a una empresa que es parte de la cadena de suministro, puede tener un impacto mucho más amplio, ya que un solo proveedor de servicios puede tener un efecto directo en cientos o miles de empresas.

Entender la preparación es imperativo

Entender la preparación de tu organización para la amenaza de ransomware es imperativo, y saber cómo los proveedores en tu cadena de suministro influyen en tu preparación es una pieza crítica de tu estrategia general.

Puede ser abrumador intentar asegurar que todas tus defensas estén cubiertas y que hayas hecho todo lo posible para prevenir o reducir el impacto de un ataque de ransomware. Una estrategia sólida es de amplio alcance y multicapa —abarcando arquitectura, endpoints, usuarios y mucho más.

¿Por dónde empezar? Un enfoque estructurado y lógico puede ayudar a traer algo de orden a la comprensión de la preparación contra ransomware de tu organización. Para ayudar a hacer esto, veamos tres categorías principales: prevención, contención y recuperación.

Prevención

Nuestro objetivo principal es mantener el ransomware fuera de nuestro entorno, previniendo que entre desde el principio. Desde esta postura defensiva, necesitamos analizar tu infraestructura desde los controles perimetrales hasta los usuarios finales. Aunque podríamos cubrir este tema en profundidad, enfocaremos nuestra atención en las brechas donde el ransomware se introduce más comúnmente.

• Protocolo de escritorio remoto (RDP). Aunque no es una tecnología nueva ni un nuevo vector de ataque, RDP ha sido un objetivo regular debido a vulnerabilidades, mala configuración o susceptibilidad a ataques de fuerza bruta. Con el reciente aumento en la fuerza laboral remota y el correspondiente aumento en el uso de RDP, los atacantes están teniendo un campo de juego con los nuevos objetivos. Las actividades de prevención aquí incluyen limitar el número de puertos abiertos, controles de autenticación fuertes (incluyendo autenticación multifactor) y un sólido programa de gestión de vulnerabilidades.
• Phishing. Los correos electrónicos de phishing pueden ser especialmente peligrosos ya que pueden burlar muchos de tus controles de seguridad permitiendo que contenido malicioso sea entregado directamente a lo que a menudo es tu eslabón de seguridad más débil —el usuario final. Los correos de phishing típicamente intentan obtener credenciales de usuario o contienen adjuntos o enlaces maliciosos, proporcionando finalmente a los atacantes un camino directo a tu entorno. Las actividades de prevención aquí incluyen el uso de una solución de seguridad de correo electrónico, capacitación en seguridad y concientización para usuarios finales, y soluciones de detección y respuesta en endpoints.

En última instancia, las técnicas de prevención recomendadas no son nuevas. Son los mismos principios clave que la comunidad de seguridad de la información ha estado discutiendo por algún tiempo —restringir lo que es accesible desde internet, escaneo de vulnerabilidades, parcheo y controles de autenticación fuertes.

Contención

Así que, a pesar de tus mejores esfuerzos, el ransomware entra en tu entorno. ¿Cómo puedes detener la propagación? Considera un incendio en un edificio: la estrategia de contención viene antes del incendio real mediante el uso de cortafuegos, materiales ignífugos, etc. Es lo mismo para ataques como el ransomware. Aquí hay dos estrategias clave de contención:

• Uso de cuentas privilegiadas. A los atacantes les encanta atacar cuentas privilegiadas ya que proporcionan altos niveles de acceso a sistemas y datos, así como los permisos necesarios para ejecutar código malicioso. Reutilización de contraseñas, contraseñas de cuentas de servicio almacenadas en texto plano, contraseñas fáciles de adivinar, etc. son todos problemas comunes que contribuyen al compromiso de cuentas.

Un enfoque holístico para la gestión de cuentas privilegiadas es la clave aquí. Esto incluye entender qué cuentas privilegiadas tienes y a qué tienen acceso; cómo se usan (ej. admin de dominio vs. cuenta de servicio); y cómo se accede y gestionan esas cuentas (ej. el uso de una solución de gestión de cuentas privilegiadas).

• Segmentación de red. Las redes planas son un escenario soñado para un atacante. Una vez que se obtienen credenciales, pueden moverse libremente a través de toda la red de una organización y tener acceso sin restricciones a sistemas y datos. Como mínimo, deberías usar segmentación para restringir el movimiento lateral tanto como sea posible, de modo que un atacante tenga mucha más dificultad para atravesar tu red y acceder a sistemas y datos adicionales.

Recuperación

Además de un plan de respuesta a incidentes, el plan más crítico para ayudar en tus esfuerzos de recuperación es un plan de resiliencia empresarial. ¿Cómo continuará funcionando el negocio? Un plan de resiliencia fuerte ayudará a restaurar la funcionalidad de tus sistemas de negocio centrales.

Los vectores de ataque comunes para organizaciones incluyen proveedores de terceros en la cadena de suministro. Entonces, ¿cómo podemos identificar y reducir los riesgos que presentan nuestros proveedores? Primero, responde estas preguntas críticas:

• ¿Quiénes son tus proveedores?
• ¿Qué servicio proporciona cada proveedor a tu organización?

Identificar realmente quiénes son tus proveedores no es una tarea simple. ¿Es posible que tengas proveedores que tengan acceso a tu red o datos y no lo sepas? Absolutamente. La realidad es que existe la capacidad de ir directamente a una solución basada en la nube y con nada más que una tarjeta de crédito y unos clics, ahora tienes un proveedor con acceso a tus datos. Si no sabes quiénes son, es imposible evaluar su riesgo para tu organización. En cuanto a lo que hacen, los proveedores en tu cadena de suministro pueden realizar todo tipo de servicios. Algunos inherentemente proporcionan un mayor riesgo a tu empresa basado en los datos o sistemas internos a los que tienen acceso.

Responder estas preguntas es un excelente punto de partida para realizar actividades de evaluación adecuadas contra esos proveedores. El objetivo es ganar suficiente confianza de que los proveedores tienen los controles apropiados para proteger tus sistemas o datos basados en los servicios que te proporcionan. Hay muchas estrategias de evaluación para aprovechar, incluyendo la revisión de certificaciones como SOC o ISO, cuestionarios de evaluación como SIG, resultados de pruebas de penetración, etc. Independientemente de cómo lo abordes, validar que tus proveedores tienen estos controles puede reducir el riesgo de que tu organización sea impactada en caso de un ataque.

A medida que los sistemas se vuelven más conectados y complejos, los atacantes aún pueden encontrar alguna forma a través de tus defensas. Pero estar preparado para un ataque de ransomware puede reducir significativamente el impacto y la interrupción a tu organización. Con una estrategia de defensa en profundidad, junto con planes apropiados de contención y resiliencia, la fortaleza cibernética de tu organización solo puede aumentar.

Gary Brickhouse es director de seguridad de la información en GuidePoint Security.