La mayoría de los profesionales de seguridad informática coinciden en que el ingrediente clave para proteger las redes es «reducir la superficie de ataque». Cuantas menos vías de intrusión existan, menor será el riesgo y el número de incidentes en una empresa: los hackers no pueden atacar lo que no ven. Reducir la superficie de ataque es esencial para asegurar la red, las aplicaciones y, lo más importante, los datos.
Llamando a todos los servidores…
La «superficie de ataque» comprende la suma de todos los puntos expuestos a través de varios vectores que un atacante podría utilizar para comprometer un dispositivo o una red. Estos vectores se agrupan en tres categorías principales: el canal (un puerto TCP/UDP a la escucha), los activos (aplicaciones, servicios, páginas web, archivos, ejecutables, etc.) y el acceso (credenciales de usuario). A continuación, se detallan las distintas opciones de vectores de ataque disponibles para los atacantes.
El canal —normalmente un protocolo de comunicaciones expuesto a Internet como TCP o UDP— permite que todas las entidades de Internet se comuniquen entre sí. Así es como se obtiene acceso a redes, aplicaciones y datos. También es lo que expone estos mismos activos a los ataques.
Por ejemplo, un handshake SYN de TCP consiste en una solicitud SYN a un servidor web (en el puerto 443), una respuesta SYN/ACK del servidor y un ACK final del emisor. Esto establece una conexión y permite enviar y recibir datos, antes de que se autentique el origen. Los actores maliciosos usan esta conexión para comprometer el servidor web mediante una vulnerabilidad conocida o un día cero: una vez dentro, los hackers pueden intentar moverse «este-oeste» dentro de la red.
Reducir la superficie de ataque requiere asegurarse de que un servidor web no se comunique con entidades no autorizadas o no autenticadas. En las arquitecturas de seguridad tradicionales de castillo y foso, esta conexión de red garantiza el acceso a gran parte, si no a todos, los activos de la red. Los atacantes pueden comprometer las credenciales de acceso o encontrar puertos abiertos para explotarlos.
Volverse «oscuro»: camuflaje para tu red corporativa
«Volverse oscuro» oculta la red de Internet en general para evitar que los actores maliciosos accedan a ella a través de un servidor web (u otras entidades de red). Piensa en la seguridad física de tu casa: las puertas y ventanas representan la superficie de ataque. Cada puerta o ventana es literalmente un vector de ataque de canal, similar a un puerto TCP abierto en un sistema informático esperando que alguien se conecte. Al volverte oscuro, ocultas todas tus puertas y ventanas de la vista. En su lugar, creas un túnel subterráneo seguro para cada activo valioso de tu casa, y solo puedes entrar al túnel de un activo si pasas una verificación de identidad.
La identidad del usuario y del dispositivo deben autenticarse antes de que se cree una conexión de canal TCP (o, en nuestra analogía, un túnel subterráneo). Con una red oscura, usamos la mirilla para verificar la identidad antes de abrir la puerta, cada vez que alguien llama, sin importar quién sea.
¿Por qué no usar simplemente una VPN?
¡Buena pregunta! Una VPN reduce la superficie de ataque, pero tiene varios problemas importantes. El concentrador VPN en sí mismo se convierte en una nueva superficie de ataque: las VPN son como poner una valla alrededor de tu casa para proteger todas las puertas y ventanas. Pero es una valla con una puerta, y esa puerta es visible y puede ser vulnerada. Si el ladrón derriba la puerta, el atacante puede ver todas las puertas y ventanas (que están abiertas porque pensabas que la valla era segura). Además, las VPN no protegen contra dos grandes riesgos de seguridad: el movimiento este-oeste y la visibilidad de IP.
Cuando un usuario se autentica con la VPN, generalmente obtiene acceso completo al protocolo IP de la red, incluido el Protocolo de Mensajes de Control de Internet (ICMP), que los hackers pueden explotar. Los atacantes pueden usar ICMP para reconocimiento en la fase de ataque. Esto permite que un atacante sondee tu red y centro de datos, o peor aún, dirija ransomware a objetivos adicionales.
Los usuarios pueden conectarse a una red mediante comunicación IP directa a través de una dirección IP. Esto expone el puerto de escucha de la red a los atacantes. Un atacante puede usar un escaneo de puertos de varias subredes para obtener una lista completa de servicios abiertos en el servidor. Un método para prevenir esto es permitir solo conexiones desde una solicitud DNS autorizada y un número de puerto válidos, lo que garantiza que las aplicaciones y servicios solo sean visibles una vez que el usuario está autenticado. Esto mitiga el riesgo y es lo que la industria ha denominado Acceso a Red de Confianza Cero (ZTNA).
¿Cómo volverse oscuro?
Reducir la superficie de ataque requiere cuatro pasos:
- Cerrar el firewall
- Eliminar la comunicación peer-to-peer
- Ocultar el centro de datos
- Establecer una medición del progreso
Comienza tu viaje hacia una superficie de ataque cero cerrando el firewall local de Windows para todos los servicios entrantes y permitiendo solo conexiones entrantes de confianza desde una fuente autenticada y confiable.
¿Cómo se puede reducir la superficie de ataque en el centro de datos? Primero, asegúrate de que los usuarios no puedan conectarse directamente al centro de datos. Deben conectarse a través de un servicio que oscurezca la red. Luego, reduce las conexiones internas peer-to-peer en el centro de datos tanto como sea posible utilizando nuevas tecnologías de Confianza Cero que microsegmentan datos y aplicaciones mediante su huella de identidad criptográfica.
Veamos los números: supongamos que en tu gran empresa tienes 20,000 clientes Windows 10. Esto equivale a 100,000 posibles vectores de ataque de canal, asumiendo que cada cliente tiene los cinco puertos Windows «estándar» abiertos (por ejemplo, 135, 445, etc.). Cierra estos puertos de escucha entrantes comunes con reglas de bloqueo del firewall de Windows a través de una directiva de grupo de dominio y reducirás tu métrica de superficie de ataque en más de 100,000 puertos.
Los principios de Confianza Cero se basan en adoptar una estrategia de privilegio mínimo y hacer cumplir estrictamente el control de acceso. La seguridad de red heredada dependía del intercambio de paquetes para negociar conexiones, pero no se puede confiar en un paquete ya que no contiene identidad. Por lo tanto, primero debes identificar los paquetes usando ZTNA, establecer una conexión basada en identidad y política, y luego crear microtúneles seguros para que estos paquetes fluyan entre los usuarios y los activos de TI.
Obtén más información en zscaler.com/security.
