La receta perfecta para la seguridad de endpoints exige control de privilegios

Hoy, los ataques de ransomware más efectivos no necesitan malware; necesitan un inicio de sesión. Los actores de amenazas modernos no requieren irrumpir. Pueden aprovechar identidades legítimas y sus privilegios para afianzarse, luego moverse lateralmente en busca de más oportunidades y manipular vulnerabilidades para propagar ransomware y spyware. Una identidad o cuenta vulnerable vinculada a un endpoint puede convertirse rápidamente en el boleto de un atacante hacia los activos y controles más valiosos.

Con las identidades legítimas usadas como punto de apoyo inicial en más ataques, estamos viendo menos actividad 'anómala' y muchas más acciones aparentemente normales realizadas por un usuario privilegiado de confianza. Los atacantes saben lo fácil que es 'esconderse' detrás de estas cuentas de usuario legítimas.

Por eso, la Detección y Respuesta de Endpoints (EDR) es solo una pieza del rompecabezas de la protección de endpoints. Ofrece funcionalidades clave para detectar amenazas en tiempo real y responder rápidamente ante exploits de día cero, pero tiene un punto ciego. Detecta amenazas que generan alertas, pero no puede detener las que se camuflan usando privilegios legítimos. Y carece de muchas características necesarias para una estrategia proactiva de seguridad de endpoints.

Ahí es donde entra la Gestión de Privilegios de Endpoints (EPM).

¿Cuál es la diferencia entre EPM y EDR?

Durante años, EPM y EDR han sido considerados conjuntos de herramientas críticos para proteger endpoints. Sin embargo, cubren etapas muy diferentes del ciclo de vida del ataque.

EDR está diseñado para detectar y responder a actividades maliciosas en tiempo real que puedan ejecutarse en un endpoint. Descubre amenazas como malware y ransomware que usan archivos y procesos maliciosos, y en algunos casos, ataques 'sin archivos'. También ayuda a proteger contra exploits de día cero. EDR destaca en identificar comportamientos sospechosos y permitir una respuesta rápida a incidentes una vez que el ataque está en marcha.

EPM, por otro lado, adopta un enfoque preventivo eliminando derechos de administrador innecesarios y aplicando el principio de mínimo privilegio. Incluso si un actor de amenazas logra afianzarse, EPM minimiza la superficie de ataque y limita la capacidad de escalar privilegios o moverse lateralmente. Mientras EDR alerta sobre una amenaza activa, EPM ayuda a limitar el radio de explosión e impide que los atacantes accedan a los privilegios necesarios para completar sus objetivos.

Por qué la detección en endpoints por sí sola se queda corta

Debido a la naturaleza reactiva de las soluciones EDR, las organizaciones terminan esperando a que ocurra algo malicioso para luego detectarlo, alertar y responder. Y eso asumiendo que un analista o herramienta del SOC pueda localizar la detección entre un gran volumen de alertas y registros.

Como muchas otras herramientas de detección y respuesta, las soluciones EDR son ruidosas por naturaleza: generan enormes registros que los analistas de operaciones de seguridad deben revisar y analizar. El gran volumen de alertas también conlleva muchos falsos positivos.

Las organizaciones que dependen únicamente de EDR para la protección de endpoints a menudo se encuentran en una situación difícil, tratando de filtrar ruido significativo mientras posiblemente pierden las alertas más importantes.

Cómo la Gestión de Privilegios de Endpoints cierra la brecha

Volvamos a la jugada por jugada de un ataque típico a endpoints basado en identidad. Los atacantes no solo buscan 'iniciar sesión' en lugar de 'hackear', sino que buscan iniciar sesión en cualquier cuenta, incluso si no es privilegiada.

Cada vez vemos más atacantes que primero obtienen acceso a cuentas humanas y no humanas aparentemente de bajo privilegio, y luego encuentran vías para escalar privilegios desde allí, ya sea mediante membresías de grupo, configuraciones incorrectas u otras relaciones de confianza implícitas. Debido a esta realidad, cada identidad debe considerarse privilegiada y protegida como tal.

Esto es especialmente crucial en la protección de endpoints, donde un usuario aparentemente de bajo privilegio podría operar como administrador local en su propio dispositivo en un entorno BYOD, o incluso ejecutar aplicaciones o alterar datos. Si se ve comprometida, esta cuenta de 'bajo privilegio' puede infligir daños considerables en la red corporativa. Estrategias fundamentales de seguridad de identidades como el Mínimo Privilegio (incluyendo privilegio cero permanente), Confianza Cero y Defensa en Profundidad son críticas en estos contextos de endpoints.

EPM proporciona la pieza proactiva del rompecabezas que puede apuntalar estos fundamentos de seguridad de identidades. Aborda específicamente dos actividades clave:

1. Eliminación de derechos de administrador en todos los endpoints

Si quieres bloquear a los atacantes en el endpoint, empieza por negarles los privilegios que esperan. Las soluciones EPM minimizan las posibles vías de escalada de privilegios asegurando que los usuarios operen como usuarios estándar, sin privilegios, derechos de administrador o incluso derechos delegados.

Para permitir que los usuarios sigan realizando tareas diarias sin interrupciones, EPM traslada los derechos de administrador y privilegios en esos endpoints a las aplicaciones y ejecutables. En lugar de requerir que los usuarios usen derechos elevados al ejecutar aplicaciones, las propias aplicaciones se elevan, lo que significa que los usuarios siempre operan como cuentas estándar.

2. Superposición de medidas de control de aplicaciones con elevación de privilegios

Al aprovechar el control de aplicaciones que ofrecen muchas soluciones EPM, las organizaciones pueden instituir opciones de 'Permitir' y 'Denegar' para controlar lo que los usuarios pueden o no hacer con mucha más granularidad. Esto también da visibilidad sobre el inventario de aplicaciones de endpoints y licencias, donde pueden descubrir problemas de licencias ocultos o violaciones que no sabían que existían en su entorno. Estos beneficios adicionales ayudan a las organizaciones a descubrir versiones de aplicaciones obsoletas o vulnerables, mientras abordan la proliferación de TI en la sombra.

Al comenzar con la elevación de privilegios y el control de aplicaciones, los equipos pueden reducir significativamente el ruido producido por sus soluciones EDR. El número de falsos positivos también se reduce considerablemente. Como resultado, los analistas de operaciones de seguridad pueden responder mucho más rápido a amenazas reales.

Protegiendo al propio EDR: cómo detener los ataques de bypass

EPM puede mejorar aún más EDR al ayudar a abordar los ataques de bypass a EDR. Estamos viendo ejemplos crecientes de este tipo de ataque a medida que los ciberdelincuentes dominan técnicas más avanzadas, como explotar herramientas o utilidades del sistema existentes, lanzar ataques a la cadena de suministro para infiltrarse a través de herramientas de terceros legítimas, y mucho más.

EPM aborda directamente los intentos de bypass a EDR registrando señales de alerta temprana, incluidos intentos de deshabilitar herramientas de seguridad, el abuso de herramientas o utilidades legítimas del sistema ('Living Off the Land'), ejecución remota de código y signos de explotación de 'Bring Your Own Vulnerable Driver' (BYOVD). Las herramientas EPM también pueden detectar el uso de aplicaciones conocidas como 'EDR-Killer', como HRSword, EDRSilencer y EDRKillerShifter.

En muchos sentidos, EPM puede considerarse una capa protectora para tu solución EDR. Protege contra los esfuerzos maliciosos por neutralizar EDR antes de que pueda responder.

Reflexiones finales: EDR + EPM = protección de endpoints altamente efectiva

Si bien EDR juega un papel vital en la seguridad de endpoints, no es suficiente por sí solo para combatir las amenazas sigilosas y persistentes de hoy. Al combinar la defensa proactiva de EPM con la seguridad reactiva de EDR, las organizaciones pueden defenderse mejor contra toda la gama de amenazas de endpoints. Esto incluye protección contra malware, ataques sin archivos, amenazas novedosas como los días cero, además de ataques de bypass a EDR y otras actividades aparentemente 'legítimas' que podrían parecer realizadas por un usuario del sistema, pero que en realidad son usadas por un actor malicioso.

En resumen, EDR puede decirte si algo está mal en tu entorno, pero EPM puede evitar que ese algo ocurra. Si confías solo en EDR, solo estás resolviendo la mitad del problema.

Este artículo fue escrito y contribuido por Christopher L. Hills, Chief Security Strategist en BeyondTrust. Con más de 20 años de experiencia en seguridad y tecnología, veterano militar de la Marina de los EE. UU., autor del libro 'Cloud Attack Vectors', colaborador y editor de varios libros sobre vectores de ataque de identidad y privilegios, y autor de varios artículos en Dark Reading, CSO y Security Brief.