Ordenadores, redes de comunicaciones, dispositivos móviles, malware, phising, espionaje… A diario aparecen en la prensa generalista todo tipo de noticias relacionadas con la seguridad de las TICs. La realidad es que nunca estaremos seguros al 100%, pero sí podemos tomar muchas medidas preventivas para reducir ese porcentaje. Por Manuel Navarro Ruiz
Los riesgos están ahí. Hay que asumirlos y todos, usuarios y empresas, debemos ser conscientes de que nos puede pasar a nosotros. Esa debería ser la primera de todas las reglas por las que regirse en materia de seguridad: por muy sofisticados que sean nuestros sistemas siempre puede existir alguien que entre en ellos, siempre podremos ser espiados y siempre pueden tumbar nuestros sistemas. Una vez que esto lo tengamos asimilado, entonces ya se podrá diseñar una estrategia clara en materia de seguridad. No obstante, este mercado evoluciona a la misma velocidad (a veces incluso más) que el resto de la industria TIC. Ya nada se parece a la seguridad que se implementaba en una empresa hace tan sólo un año. Así que lo primero es conocer por dónde van las tendencias y cuáles son las amenazas más importantes son las que nos encontramos. Por ejemplo, desde la empresa de seguridad Sophos creen que hay algo que ahora está calando con más fuerza y es la proliferación de ataques cibercriminales debidos al actual clima de descontento generalizado de la ciudadanía. Estos tienen dos fines muy claros; el clásico: obtener beneficios económicos en un momento de crisis aguda (casos como los del virus de la policía) o bien, la denuncia social y la lucha contra la indefensión de los ciudadanos en un entorno cada vez más controlado por los organismos oficiales (el más reciente, el caso de filtración de información en EEUU y UK). Por su parte en la empresa de seguridad germana GData consideran que las amenazas cada vez son más sofisticadas y son capaces de saltar entre plataformas lo que multiplica los riesgos de infección. Los dispositivos móviles constituyen sin duda una amenaza creciente y se están convirtiendo en los verdaderos caballos de Troya de las organizaciones. La banca online constituye otra gran amenaza que no deja de crecer y generar pérdidas.
La realidad es que, como señalan desde Symantec, los riesgos informáticos han alcanzado su punto máximo y representan un auténtico reto para todas las personas, desde las corporaciones a consumidores o proveedores de seguridad. De acuerdo con el Informe sobre Amenazas a la Seguridad en Internet (ISTR 18) de esta compañía, los ataques dirigidos a objetivos específicos son uno de los principales riesgos TI, y en 2012 aumentaron un 42%, en comparación con el año anterior. Estos ataques de ciberespionaje dirigidos a objetivos específicos, diseñados para robar propiedad intelectual, están impactando cada vez más al sector de la manufactura y a las pequeñas empresas, las cuales son víctimas del 31% de dichos ataques. Las pequeñas empresas son un blanco atractivo en sí mismas y son también una forma de entrar finalmente en compañías más grandes, utilizando técnicas del tipo “abrevadero” (“watering hole”). Asimismo, los consumidores siguen siendo vulnerables ante amenazas ransomware de extorsión y amenazas móviles, especialmente en la plataforma Android.
Las fugas de datos son otra amenaza que preocupa a las organizaciones. En este sentido, el Estudio de 2013 sobre el Coste de las Fugas de Datos del Instituto Ponemon indica que los errores humanos y los problemas en los sistemas causaron dos terceras partes de las fugas de datos en 2012 e incrementaron la media a nivel mundial hasta $136 dólares por registro. Entre estos problemas se incluye el manejo no apropiado de los datos confidenciales por parte de los empleados, la falta de controles en los sistemas y la infracción de las normativas industriales y gubernamentales. Además, la protección de infraestructuras críticas de los países está en las agendas de un gran número de los gobiernos del mundo, ante los recientes ciberataques que estamos observando. Como señala María Ramírez, senior sales engineer de Trend Micro, “a día de hoy, las principales amenazas y ataques que se están sucediendo son las conocidas amenazas persistentes avanzadas (APT) y los ataques dirigidos. En un principio, este nuevo tipo de intrusiones y malware estaba más enfocado a grandes empresas, organismos gubernamentales, etc. que muestran un claro interés económico y que podían beneficiar económicamente a los hackers. Pero ahora los fabricantes de seguridad estamos apreciando que el panorama del malware, en este sentido, se extiende a empresas y organizaciones de todo tipo. Las nuevas herramientas de creación de exploits, el Big Data, la consumerización, la nube y otros factores de actualidad informática conducen a que el panorama del malware se vuelva más agresivo, sofisticado y con capacidad de llegar a todas partes”.
No te enteras
Lo que han manifestado algunas empresas consultadas para la realización de este reportaje es que, en muchos casos, el principal riesgo se encuentra en la empresa o en el propio usuario que bajo la creencia de que “a mi no me va a pasar” cree que sus equipos están totalmente a salvo de cualquier riesgo. Es cierto que se trata de casos minoritarios y que cada vez las empresas se preocupan por su seguridad. En este sentido, Luis Corrons, Director Técnico de PandaLabs en Panda Security asegura que “Las empresas son conscientes de que existen riesgos, sin embargo muchas no acaban de darse cuenta de las consecuencias que puede tener un ataque. Ya no se trata de que el ordenador vaya un poco más lento o aparezca algún mensaje molesto en pantalla. La mayoría de los ataques están enfocados a conseguir dinero. Para conseguirlo, los ciberdelincuentes emplean principalmente dos enfoques diferentes: el robo de información y el secuestro de información. El daño que puede provocar el robo de información es incalculable, ya que puede ir desde la información necesaria para acceder a la cuenta bancaria de la empresa hasta hacernos perder la base de datos de clientes, o cualquier tipo de información confidencial. Respecto al secuestro, existen ya grupos organizados de ciberdelincuentes que cifran documentos de ordenadores (incluyendo servidores) y piden un rescate para poder volver acceder a ellos. Si no se paga, no se podrá volver a recuperar dicha información”. Por su parte, Vanessa González, directora de comunicación de Kaspersky Lab Iberia afirma que entre las empresas “la preocupación es palpable en el ámbito corporativo. Según un informe de Kaspersky Lab, se prevé que las ciberamenazas se conviertan en el principal riesgo para las empresas en los próximos dos años. Actualmente, estos ciberataques ocupan el segundo puesto (40%), tras la incertidumbre económica por la crisis que se establece en el primer puesto en términos de riesgo de negocio (54%). No obstante, en España, un 42% de los casos confirma que la infraestructura de su empresa carece de la necesaria protección para poder manejar con efectividad los ataques online”.
Según una encuesta realizada por Check Point hace pocos meses, sólo una de cada cuatro empresas forma a sus empleados en seguridad. Esto revela la falta de concienciación existente en la materia, ya que la formación debe ser un pilar más en la estrategia global de seguridad. Mientras los ataques de ingeniería social son cada vez más frecuentes y sofisticados y en muchos casos van dirigidos hacia el eslabón más débil –el propio empleado-, gran parte de las empresas aún no ve la formación como una herramienta efectiva para hacer frente a estas amenazas.
No obstante, y según pone de manifiesto Mario García, director general de Check Point “los profesionales en seguridad creen efectivamente que todas las empresas deberían pensar que en algún momento pueden ser atacadas y, con esa idea en la cabeza, prestar atención a las formas en que los atacantes intentan hacerse con la información, recreando y analizando los ataques del pasado para comprender dónde suelen estar los fallos y qué formas de prevención y protección deben implantarse. Desafortunadamente, la frase “a mi empresa no le va a pasar” se sigue escuchando, si bien, aunque de forma paulatina, la concienciación va calando poco a poco”.
Los retos
Estar a cargo de la seguridad de una empresa es un constante stress. Las amenazas se multiplican a diario, así que los retos son constantes. Los ciberdelincuentes no descansan, ya que continúan estudiando nuevos mecanismos para apoderarse de información en todo tipo de organizaciones. Actualmente, la sofisticación de los ataques, junto a las complejidades en las TI (derivadas de la implantación de tecnologías como la virtualización, la movilidad y la nube) precisan que las organizaciones continúen adoptando un enfoque proactivo, utilizando unas medidas de seguridad para garantizar una ‘defensa en profundidad’ con el objetivo de estar por delante de los ataques. Usuarios finales, pequeñas empresas y grandes corporaciones deben asumir que el reto en materia de seguridad pasa por darse cuenta que no son inmunes a las amenazas en Internet y en dispositivos móviles. Desde Symantec aseguran que los ciberdelincuentes buscan la información, ya sea la de una cuenta bancaria, propiedad intelectual, información confidencial de una empresa o la infraestructura crítica de un gobierno. Por lo tanto, la seguridad necesita ser tomada muy en serio y de la forma adecuada.
Además nos encontramos con la multitud de dispositivos y sistemas sobre los que trabajamos. Los ingredientes de la ensalada son cada vez más numerosos así que los retos se multiplican. En este sentido, Luis Corrons, Director Técnico de PandaLabs en Panda Security afirma que “las tablets están consiguiendo sustituir a los ordenadores en muchos hogares, por lo que en un futuro próximo veremos cómo comienzan a aparecer amenazas enfocadas a este tipo de dispositivos. Si miramos más allá, los retos a los que nos tendremos que enfrentar son inimaginables desde el punto de vista actual: cada vez más dispositivos tendrán conexión a la red, desde aparatos para el hogar (no sólo televisores, también el resto de electrodomésticos), hasta coches. Ya existen grandes fabricantes, como Ford, que han mostrado vehículos que estarán conectados a la nube, y cuya configuración de suspensión, etc. variaría en función de la información recibida”. Por su parte Eduardo Martín, Senior Security Consultant, F-Secure señala como retos, “el perfeccionamiento de las técnicas de detección, que obligatoriamente pasan por mejorar el análisis del comportamiento sin afectar al rendimiento de los dispositivos, y por otra extender la protección a los nuevos dispositivos que se están incorporando a las organizaciones. Hoy en día no hay una integración ni una gestión sencilla de los dispositivos móviles en las organizaciones, y no me refiero a los aspectos tecnológicos, sino a la forma en la que tratamos este tipo de dispositivos y el uso que les damos. El hecho de que un trabajador traiga su propio ordenador de casa al trabajo no se concibe como algo normal, pero sin embargo esto no sucede con los móviles”.
Claramente, una de las tendencias que ya estamos viendo coger forma está relacionada con las redes sociales. Pocas innovaciones han afectado tanto a la manera en que el mundo se comunica como lo han hecho los medios de comunicación social. Sin embargo, la interconexión masiva y la constante disponibilidad de individuos han introducido nuevas vulnerabilidades provocando un cambio fundamental en la manera de recopilar la información. Según los datos obtenidos en el último informe X-Force 2012 de riesgos y tendencias de seguridad de IBM, los cibercriminales están accediendo con facilidad a los diferentes canales en redes sociales para obtener información sobre personas específicas de cara a la planificación y ejecución de sus ataques. No en vano, de los 10 sitios web más populares, todos contienen un enlace a una red social y el 48% de los millones de sitios web más utilizados contienen también estos enlaces. Esta proliferación intensa plantea nuevos retos para las organizaciones que necesitan controlar el intercambio de información confidencial.
Las organizaciones se están percatando de que los datos personales sobre la vida de sus empleados pueden ser de gran valor para los cibercriminales ya que pueden determinar fácilmente los cumpleaños, aniversarios y otras fechas importantes, así como redes de contactos profesionales y personales de un individuo, y utilizar esta inteligencia en su beneficio. Por ello, todas las organizaciones deben desarrollar un conjunto de directrices de uso de redes sociales para sus empleados, y educarles en las ventajas y desventajas de hacer publicaciones personales y profesionales.
Dispositivos móviles
Son los señalados. Tal vez por ser los últimos en incorporarse al mundo tecnológico son los más vulnerables y por tanto, un filón para los ciberdelincuentes. Pero, son eficientes las soluciones de seguridad que por ejemplo usamos en nuestros smartphones. Pues parece que no según lo publicado en algunos estudios norteamericanos. Los fabricantes no son de la misma opinión. Así en Panda Security , que acaba de sacar recientemente su solución para dispositivos Android, consideran que “es cierto que los ataques a plataformas Android están creciendo de forma exponencial, pero aún se encuentran a años luz de los que sufren los PCs. A nadie en su sano juicio se le ocurre ir sin protección en su ordenador, sin embargo en el caso de los móviles no es así. Puedes estar sin protección y no ser víctima de ningún ataque. Sin embargo el riesgo real existe, agravado por la falsa creencia de que mientras se instalen aplicaciones únicamente desde la tienda oficial de Google (Google Play) no existe ningún peligro; y es un error que nos puede salir muy caro. Ya se han producido cientos de miles de infecciones en todo el mundo por aplicaciones descargadas desde Google Play. Ante este tipo de ataques, los usuarios se encuentran indefensos. Algo que se puede hacer es tratar de obtener información del fabricante cuya aplicación queremos descargar e instalar, para verificar que es alguien legítimo. Al instalar la aplicación, antes de aceptar leer atentamente los permisos que solicita la aplicación… pero siendo realista, un usuario normal no va a hacer esto. Y es aquí cuando un antivirus que se encargue de analizar cualquier aplicación que vayamos a instalar nos puede proporcionar la tranquilidad que buscamos”. Por su parte, María Ramírez de Trend Micro cree que “dependiendo de la solución antimalware instalada en el teléfono, esta afirmación puede llegar a ser cierta. Siempre, antes de instalar un antivirus en nuestro Android, hemos de comprobar y analizar su eficiencia, pedir opinión a expertos, leer comparativas y mirar la trayectoria del fabricante de seguridad que nos lo aprovisiona. En nuestro caso, la solución antimalware para Android hace uso de la misma tecnología que el resto de nuestros productos. Y disponemos de un equipo de expertos (Trend Labs) que se ocupan de analizar el panorama del malware relacionado con dispositivos móviles. De esta manera, creamos una solución con capacidad de escanear en tiempo real la información que se mueve a través del dispositivo y sin descuidar el rendimiento del mismo”.
Otros consideran que esos estudios se sacan de marras por parte de los medios de comunicación. Es el caso de Josep Albors, director del laboratorio de ESET España: “Tras revisar el estudio detenidamente creemos que algunos medios han exagerado los resultados. Es cierto que todavía queda margen para la mejora, pero las miles de amenazas que detectamos cada día en estos dispositivos nos hacen ver que estamos en la buena dirección. Además, hay que tener en cuenta que el sistema de seguridad para dispositivos móviles no consiste solo en el bloqueo de amenazas, sino que dota también al usuario de herramientas para frenar el spam telefónico o para solventar uno de los graves problemas de la actualidad, como es la pérdida del terminal o su sustracción, con el quebradero de cabeza que conlleva el hecho de que caiga en manos inadecuadas, por poner solo unos ejemplos”.
La nube
Es claramente la otra tendencia en materia de seguridad. Se trata de proteger datos que las empresas no saben dónde se encuentran. Así que además de la seguridad en lo dispositivos móviles, cloud computing se va a convertir en el centro de gravedad de las obsesiones de los fabricantes de soluciones de seguridad. Así para Ramsés Gallego, Security Strategist and Evangelist de Dell Software “cloud es un nuevo modelo de negocio, una nueva manera de aportar tecnología y uso de infraestructura, con una nueva forma de consumirla y pagar por ella. Pero como en una respuesta anterior, las preguntas siguen siendo las mismas: quién puede hacer qué, cómo, cuándo, por qué, etc.
Así, la gestión de la nube debe hacerse en términos de productividad, de disponibilidad, de confidencialidad, etc. En Dell Software tenemos una plataforma de gestión no solo de una nube (pública, privada, híbrida o de comunidad) sino de varios entornos nube para poder definir diferentes niveles de seguridad y de control. En Dell Software creemos que las empresas tendrán varias nubes a su disposición y poder definir qué pasa en cada una de ellas, quién accede, con qué niveles de servicio, con qué infraestructura asociada y, en consecuencia, a qué coste, resultará fundamental en el futuro. Y nosotros estamos construyendo esto desde el presente con soluciones que ya están en nuestro portafolio”. Otra empresa experta en la materia es S21Sec. Desde esta compañía se asegura la importancia que tiene y va a tener todo lo relacionado con el mundo de la nube y por ello han puesto en marcha una amplia gama de servicios de seguridad orientados al cloud computing, con los que no sólo asesorará a las empresas en la adopción de servicios en la Nube, sino que además auditará los que ya los utilizan. Este lanzamiento busca mejorar las medidas de seguridad que las empresas y los proveedores de servicios tienen para hacer frente al incremento de los riesgos asociados a esta tendencia imparable.
Una cuestión que se plantean las empresas es que si la nube es más insegura que los entornos tradionales, entonces ¿por qué hay que pasarse a la nube? Segñun afirma Acacio Martín, Director General de Fortinet, “No se puede afirmar que un entorno físico sea más seguro que un entorno virtual, aunque sí es cierto que la nube conlleva una serie de retos a los que debemos hacer frente y que son de diversa índole”. Según el directivo los retos son los siguientes:
– Una intrusión en una parte de la estructura podrá replicarse fácilmente al resto, comprometiendo posiblemente la seguridad de todo el sistema.
– Existe también el problema cotidiano de inseguridad en las aplicaciones y frontales web utilizadas en los sistemas de Internet de cara a los usuarios, que son un punto común en los objetivos de ataques a estas infraestructuras.
– La tecnología compartida para muchos usuarios tiene sus ventajas, pero una vez comprometido el sistema a nivel de seguridad, en lugar de extraer datos del tipo que sea de un único usuario o compañía, se tendrá la capacidad de robar información de gran cantidad de usuarios o compañías, como ejemplo, no será lo mismo tener como objetivo el robo en el domicilio de un particular únicamente, que perpetrar el robo de un furgón blindado.
– La posibilidad de la pérdida de datos, si no hay mecanismos fiables de seguridad y backup de los datos en la infraestructura de la nube, los usuarios correrán riesgos de pérdida de la información que pueda estar contenida en estos repositorios.
Gratis total
Finalmente hablamos con las empresas sobre su opinión acerca de la aparición de todo tipo de soluciones de seguridad gratuitas y puestas en marcha por los propios fabricantes. ¿Cómo afectan estas soluciones a sus negocios? ¿se ve afectada su I+D+i? Miguel Suarez, especialista en seguridad de Symantec asegura que “estamos seguros de que los productos y servicios que ofrece Symantec protegen la información y las identidades de nuestros clientes, ya que cuentan con tecnología de seguridad de última generación, como por ejemplo el escaneo basado en firmas, la protección contra intrusiones (IPS), la tecnología “Insight” basada en la reputación, la tecnología de conducta SONAR, entre otras. Los productos gratuitos no incluyen todas estas capacidades de protección, las cuales son cruciales actualmente ante la evolución del malware día a día”. En IBM, por su parte afirman que “sin entrar a valorar este segmento de mercado, sí puedo decir que nuestro enfoque es muy diferente ya que buscamos ayudar a las organizaciones a proteger sus operaciones de negocio y poner en marcha programas integrados de gestión del riesgo para toda la empresa. Esto sólo se puede ofrecer desde una plataforma integral y con la inversión en I+D descrita anteriormente. Por ello IBM apostó por la creación de una división de seguridad dedicada en exclusiva a desarrollar tecnologías de seguridad en base a tres pilares: inteligencia, integración y conocimiento”.
Una de las empresas que ha apostado por introducir en el mercado soluciones de seguridad gratuitas es Stonesoft. Su country manager, María Campos afirma que “Stonesoft ha desarrollado su propia herramienta gratuita de prueba (Evader) para que las organizaciones puedan comprobar, sin compromiso y sobre el escenario real de su negocio, si su red está preparada para protegerse contra los ciberataques. Para una protección eficaz a largo plazo, siguiendo una estrategia de seguridad bien definida y que abarque todos los puntos de acceso a la red, es difícil que una solución gratuita de las que pueden descargarse en internet resuelva las necesidades de una empresa. Es más, muchas veces estas soluciones gratuitas de origen desconocido son la puerta de entrada para muchos ataques. Las empresas deben estar muy alerta en este ámbito y confiar siempre en los proveedores de confianza”.
Desde GData se afirma que “Las licencias de las soluciones gratuitas dicen que son solo una opción para usuario final y no para clientes corporativos, que es algo que no siempre se tiene en cuenta cuando hablamos de estos programas. Ofrecen una seguridad solo relativa pues por regla general no ofrecen tecnologías fundamentales para garantizar una protección eficaz (cortafuegos, filtro web, antispam…) y no disponen, por ejemplo, de un servicio de atención al cliente que resulta fundamental a lo largo de la vida del software. La apuesta de G Data es ofrecer una solución que mejora notablemente la seguridad ofrecida por los productos gratuitos a un precio que, en nuestra opinión, es competitivo”.
Finalmente, son muchos las que consideran que ese tipo de herramienta gratuitas no aportan prácticamente nada y no solucionan buena parte de los problemas de seguridad ni de un usuario ni mucho menos de una empresa, por lo que ni las consideran como competidoras. En este sentido, Antonio Martínez Algora, Regional Manager de NETASQ afirma: “No consideramos las soluciones de seguridad gratuitas como competencia. De hecho, son complementarias para determinados casos y entornos, no así para cubrir necesidades específicas en las que siempre va a ser necesario recurrir a productos especializados”.
BYOD: la delgada línea entre lo personal, lo profesional y lo seguro
Autor: Carlos Vieira, Country Manager de WatchGuard para España y Portugal
Lo que hace unos años comenzó siendo una especie de “privilegio” para un determinado grupo de trabajadores, generalmente los profesionales del entorno directivo que podían tener acceso a las redes corporativas desde sus teléfonos móviles o desde sus casas, hoy se ha convertido en una práctica habitual en cualquier empresa y para cualquier empleado. Sí, estamos hablando del fenómeno “bring your own device”, o lo que ya popularmente se conoce como BYOD, unas siglas que están pasando a formar parte del ADN de las corporaciones como consecuencia de la “consumerización de las TI”.
Todos estos términos y expresiones son sólo una forma de definir algunas de las prácticas y usos que han aparecido gracias a determinadas tecnologías y dispositivos, lo cual también ha sido clave para que el panorama del malware se haga más peligroso, se hayan incrementado los desafíos para las organizaciones y para que los administradores de TI se enfrenten a un nuevo reto. Ahora, los responsables de la toma de decisiones en las empresas deben abordar un nuevo marco estratégico que aúne gestión BYOD y seguridad si desean aprovechar los beneficios de este fenómeno.
No todo es hablar de productividad, pues también hay desafíos y riesgos asociados al BYOD. Uno de ellos es la pérdida de información, cuyas consecuencias pueden ser nefastas para la organización. De acuerdo con un estudio de Ponemon Institute, una fuga de datos podría costar a una empresa unos 200 dólares por registro comprometido, sin contar con los costes asociados a la pérdida de negocio provocada por un incidente de este tipo, el coste legal, los gastos de divulgación relacionados con los contactos del cliente y la respuesta del público; la ayuda en consultoría y la inversión a realizar en tecnologías de seguridad y formación para remediar tal desaguisado. Junto a esto, debe considerarse la necesidad de cumplir las normativas y la legislación vigente en cada ámbito y territorio.
Otro de los riesgos son los virus y malware que entra en la red corporativa a través de los dispositivos de consumo. Muchos terminales móviles, por no decir la gran mayoría, carece de antivirus y/o protección antimalware. Los ataques e intrusiones perpetradas mediante dispositivos móviles a redes corporativas están creciendo de forma exponencial. Se prevé que los hackers logren romper los sandboxes del navegador del dispositivo y accedan a otras funciones, lo que podría provocar fácilmente ataques de robo de directorioa o nuevos tipos de botnets impulsadas por el BYOD.
Al hilo de esto, y en relación al navegador web que funciona en estos dispositivos de consumo, se espera un creciente aumento de los ataques Man-in-the-Browser (MitB). A diferencia del malware tradicional, que tiene da infectar el sistema operativo. MitB o los navegadores zombi, aparecen como extensiones del navegador maliciosas, plugins, objetos de ayuda, o piezas de JavaScript. Estos no infectan a todo el sistema, sino que toman el control completo del navegador del dispositivo y se ejecutan cuando el usuario navega por la web.
Además de los ataques directos, el departamento de TI se enfrenta al reto de aplicar las políticas corporativas. Ante la diversidad de terminales, los departamentos de TI simplemente están mal equipados para crear políticas individuales, dispositivo por dispositivo. Es fundamental poder identificar a cada aparato que se conecta a la red corporativa, y ser capaz de autenticar tanto el terminal como a la persona que lo usa.
Igualmente, es importante contar con el suficiente conocimiento sobre lo que está sucediendo en la red. Si el departamento de TI no es capaz de ver lo que está pasando en la red corporativa, se ve obstaculizado en su capacidad para proteger los activos empresariales y la información. Esa falta de conocimiento (tanto en términos de registro y presentación de informes) alude al dicho de que «no se puede proteger lo que no se sabe”. Riesgos aparte, también existen problemas de productividad relacionados con BYOD. Partiendo de la base de que el trabajo es una actividad que hacen los empleados, y no necesariamente es el lugar donde se va, deben proporcionarse soluciones de acceso seguras, como las redes privadas virtuales (VPNs), con el objetivo de que los empleados puedan trabajar en cualquier lugar. También debe instruir para que los trabajadores colaboren más a través de la web, utilicen soluciones de acceso remoto y tener la libertad de utilizar sus dispositivos móviles personales en el entorno de trabajo.
La gestión de la seguridad en mi empresa es un infierno
Luis Corrons, Director Técnico de PandaLabs en Panda Security
Muchos responsables de seguridad de empresas se sentirán identificados con el título de este artículo. Aunque hoy en día las cúpulas directivas de muchas compañías se muestran preocupadas por los ataques dirigidos, los más frecuentes en los medios (recordemos los más recientes sufridos por Twitter, Facebook, Apple o Microsoft, entre otros), lo cierto es que los responsables de seguridad saben mejor que nadie a qué riesgos se enfrentan y tienen claras sus prioridades:
– Impedir que ningún ataque afecte a la producción de la empresa.
– Evitar el robo de información.
Uno de los principales quebraderos de cabeza de cara a conseguir estos dos “simples” objetivos viene de la mano de nuevas tendencias, como es el caso del fenómeno BYOD (“Bring Your Own Device”, “trae tu propio dispositivo” en castellano) y el uso de la nube. Ambas prácticas implican cambios muy importantes en la gestión de los datos. Los departamentos de IT van muchas veces por detrás de los usuarios, y en la mayoría de ocasiones no existe un control claro de todos los dispositivos que utilizan en su red. Además, a través de las aplicaciones de almacenamiento en cloud, los usuarios almacenan datos en la nube sin control del departamento de IT, con todos los problemas de seguridad que ello conlleva.
A pesar de que las soluciones perimetrales siguen siendo necesarias, ahora el perímetro debe incluir también a todos los nuevos dispositivos (principalmente móviles) que pueden manejar información sensible de la empresa. Hay que tener en cuenta que además estos mismos dispositivos pueden convertirse en vías de acceso a la compañía por parte de terceros, convirtiéndose en un punto crítico que debe controlarse.
A todo esto hay que añadir que la mayoría de infecciones / ataques se producen a través de vulnerabilidades que explotan fallos de seguridad para los que ya existen actualizaciones. Por este motivo, un área crítica en este apartado es la gestión de parches, teniendo control y visibilidad del estado del parque informático.
Estas necesidades no se cubren con lo que entendemos por un antivirus tradicional, sino que hace falta otro tipo de soluciones más avanzadas. La principal tendencia viene de soluciones de tipo Endpoint Protection Platforms (auditoría de hardware y software, gestión de parches y vulnerabilidades, control de aplicaciones, etc.). Un antivirus tradicional es necesario e imprescindible pero no suficiente.
Desde el punto de vista de los responsables de la seguridad en la empresa es también muy importante que la herramienta a utilizar para controlar la red no requiera a su vez de nuevos servidores, configuración de nuevas conexiones VPN, etc. Y en este contexto, van ganando terreno soluciones sencillas que mediante un navegador web permitan la instalación de un pequeño agente en los dispositivos a gestionar, de tal forma que tengamos el control de todos ellos sin importar que estén dentro o fuera de la oficina.
Infraestructuras convergentes: una oportunidad y un riesgo
Autor: Jorge Hormigos, senior sales engineer de Trend Micro
Todos sabemos que la virtualización ha hecho más por la transformación del centro de datos que quizás cualquier otra tecnología en los últimos 30 años. Sin embargo, otra tendencia posiblemente no tan documentada, también está agitando a la industria. Ésta no es otra que la infraestructura convergente (una arquitectura para soportar alta disponibilidad y continuidad del negocio en los centros de datos).
Empresas de todos los tamaños en todo el mundo tratan de aprovechar los beneficios de rendimiento, eficiencia de negocio y mejora de la agilidad de las TI que aporta una infraestructura convergente en torno a una plataforma virtual. No obstante, los nuevos retos de seguridad asociados a estos sistemas informáticos unificados son menos conocidos. De ahí que sea más importante que nunca que los responsables de los centros de datos los comprendan para poder gestionar el riesgo y garantizar que estos famosos sistemas integrados cumplen sus promesas.
El mercado de los sistemas integrados está creciendo rápidamente y, tal y como revela Gartner, los ingresos aumentaron a un ritmo del 53,7% anual desde el segundo trimestre de 2012, mientras que las estadísticas independientes de Wikibon hablan de un mercado que rondará los 402.000 millones de dólares en 2017.
Con ese tipo de cifras no es de extrañar que prácticamente todos los grandes proveedores de infraestructura como HP, Oracle, Dell e IBM, estén tratando de hacerse un hueco en el espacio convergente. Sin embargo, es la joint venture entre VMware, Cisco y EMC, conocida como VCE, la que parece estar liderando la tendencia con su solución empaquetada para el centro de datos, Vblock.
La idea pasa por simplificar la gestión de la infraestructura del centro de datos y maximizar la flexibilidad mediante la combinación de componentes de red, almacenamiento y virtualización en una caja. Lo que los clientes tienen que hacer es simplemente desplegar el software en la parte superior de esta infraestructura, y como se trata del mismo fabricante, sólo hay un sitio por el que contener un evento en caso de que algo vaya mal. Otro de los productos ofrecidos en el ámbito de la infraestructura convergente es la plataforma FlexPod de Cisco, VMware y NetApp. Aquí, los elementos individuales no están prefabricados, por lo que la arquitectura ofrece mayor flexibilidad a la hora de configurarlos e integrarlos en una unidad física.
¿Qué pasa con la seguridad?
Pero mientras estas dos ofertas están cambiando la forma de los centros de datos modernos, históricamente, la seguridad ha sido la mayor barrera para su adopción, algo que amenaza con socavar los esfuerzos de transformación de las empresas de TI.
Las arquitecturas de infraestructura convergente pueden ofrecer mayor simplicidad para los equipos de TI en un único nivel, pero las plataformas de virtualización en las que ellos se basan pueden albergar riesgos de seguridad inesperados y problemas de visibilidad. Los atacantes centran cada vez más su objetivo en explotar sistemas virtualizados al comprometer una máquina virtual para, posteriormente, transferir esa infección a otras máquinas virtuales alojadas en el mismo host -algo que los sistemas de detección/prevención de intrusiones y firewalls tradicionales no detectarán-. Dado que las máquinas virtuales de los diferentes niveles de confianza a menudo residen en el mismo equipo host, es de vital importancia implementar versiones para la defensa de intrusiones especialmente diseñadas para entornos virtuales con el fin de poder mitigar el riesgo de este tipo de ataques entre máquinas virtuales.
El hypervisor es otro de los elementos clave del sistema que es vulnerable a un ataque, ya que es la única pieza de software que controla todos los aspectos de las máquinas virtuales que se ejecutan en el centro de datos. Asegurar este elemento de la infraestructura es esencial para proteger los datos de misión crítica. También pueden surgir otras brechas de seguridad debido a la naturaleza dinámica de los entornos virtuales –con máquinas virtuales que rápidamente se aprovisionan, son clonadas, están sujetas a migraciones y son desmanteladas, y todo al mismo tiempo-. Esto puede dar lugar a las denominadas “lagunas en el sistema de encendido instantáneo”, cuando máquinas virtuales inactivas son activadas de nuevo, pero sin la protección adecuada. La respuesta está en un dispositivo de seguridad virtual que fortalece cada máquina virtual contra los ataques durante su ciclo de vida.
Por último, la gran cantidad de máquinas virtuales que operan en una máquina alojada en un momento determinado pueden, a menudo, alcanzar un alto rendimiento si se implementan soluciones de seguridad basadas en agente, tales como antivirus y reputación web. La llamada “tormenta de antivirus” que se produce se debe a que este consumo excesivo de memoria puede debilitar la única razón para ejecutar entornos virtuales –la consolidación de servidores y la mejora del rendimiento-. Como resultado, una solución de seguridad sin agente es la mejor opción en virtud de la cual, el escaneado y las acciones que consumen muchos recursos están centralizadas en un appliance virtual para todas las máquinas virtuales.
Mientras que los productos para la infraestructura de los centros de datos convergentes han tratado de simplificar los entornos de TI, la mejora en la gestión y el aumento del rendimiento es evidente que en la mayoría de organizaciones, si no en todas, no hay un verdadero sistema homogéneo como tal. VMware podría estar promocionando el «centro de datos definido por software» -, donde además de una capa inicial de silicio, todo lo anterior puede ejecutarse a través de un software especializado en vez de hardware -pero la realidad es que la mayoría de los clientes operan en entornos mixtos–. Esto, en sí mismo, plantea más desafíos de seguridad, ya que los administradores de TI deben buscar la protección que funcione tanto en sistemas físicos como virtuales y cloud. Muchos confiarán en la virtualización de la mayor parte del servidor, pero puede que deseen utilizar los servicios de nubes públicas como Amazon en momentos puntuales para explotar rápidamente la potencia informática, por ejemplo. Por otras razones, ya sea por cuestiones regulatorias o cualquier otra, algunos datos y aplicaciones puede que tengan que mantenerse en los entornos físicos tradicionales.
En este caso, se trata de elegir una solución perfectamente integrada que funcione en todos los puntos manteniendo la política de seguridad de la organización, garantizando el cumplimiento y lo más importante de todo, permitiendo a la empresa prosperar. Organizaciones tan diversas y grandes como los Sistemas Integradores y proveedores de servicio, servicios de salud e instituciones financieras han entendido esto y están aprovechando los innegables beneficios de la infraestructura convergente mientras protegen su activo más importante: los datos.
http://www.vce.com/asset/documents/gartner-market-share-analysis-report.pdf
http://wikibon.org/wiki/v/Converged_Infrastructure_Takes_the_Market_by_Storm
Conozca a sus enemigos: sepa quiénes son los ciberdelincuentes actualmente
A medida que las empresas actuales trabajan para mantener seguros sus recursos, los ciberdelincuentes diversifican sus tácticas en una carrera armamentística cada vez mayor. El campo de batalla es Internet y, como se contraataca cada una de las amenazas, los malos siempre se encargan de crear algo nuevo. El año pasado, hemos observado varias tendencias en progreso relacionadas con las conductas de consumidores y empleados y, por ello, los ciberdelincuentes están ajustando sus tácticas para centrarse en las víctimas que les interesan. Por otra parte, delincuentes ocultos financian estas actividades ilícitas, apoderándose de secretos comerciales para obtener una ventaja competitiva o para elaborar planes secretos para una nación.
El volumen 18 del Informe de Symantec sobre Amenazas a la Seguridad en Internet (Internet Security Threat Report, ISTR), es una valoración anual de las tácticas prevalentes de las amenazas que afectan a las empresas a través de Internet. Con el aumento de la popularidad de las redes sociales, amenazas como las ofertas falsas infectan sitios populares y ponen en peligro cuentas e identidades. El malware móvil también se encuentra en aumento y las filtraciones de datos son aún hechos frecuentes, exponiendo millones de identidades todos los años. Otra táctica popular en aumento es el Ransomware: una amenaza que engaña a sus víctimas para que paguen grandes cantidades para (supuestamente) desbloquear sus ordenadores.
Estas son algunas de las principales tendencias en seguridad identificadas en el Informe de este año.
Las pequeñas empresas ya no son invisibles a los atacantes
La primera y más importante conclusión del informe es que todas las empresas necesitan ser conscientes y tomar medidas sobre el gran aumento de los ataques dirigidos a objetivos determinados. Muchas pequeñas empresas se han considerado inmunes a los ataques debido a su pequeño tamaño, pero el informe de este año muestra que el 31% de todos los ataques dirigidos a objetivos determinados se dirigen a empresas con menos de 250 empleados. En 2011 esta cifra solo era del 18%, lo que muestra el cambio de objetivo por parte de los atacantes, a medida que reconocen las ganancias potenciales que pueden conseguir con el acceso a compañías con menores controles de seguridad.
Una herramienta que están utilizando para lograr este objetivo son los ataques a través de Internet que, posteriormente, se utilizan para los llamados “ataques de abrevadero” (“watering hole”). Mediante estos ataques, un atacante pone en peligro un sitio web que se sabe a ciencia cierta que visita la víctima para que, cuando ésta acuda de nuevo a dicho sitio web, el malware se instale silenciosamente en su ordenador. En general, se observó un aumento del 30% en ataques dirigidos a objetivos determinados en 2012.
Otra amenaza que puede afectar en gran medida a las pymes es el ransomware – una categoría de software malicioso que es extremadamente difícil de eliminar cuando se instala. Esta amenaza bloquea el equipo del usuario y exige el pago de una cantidad – a menudo entre $50 y $400 – para (supuestamente) dejar de controlar el sistema y hacerlo volver a sus funciones habituales. Un ataque de este tipo puede afectar a 5.300 ordenadores, de los que pagan un 3%, aportando a los delincuentes $30.000, lo que demuestra la rentabilidad de este tipo de actividad.
Los autores de malware se apoderan de todo lo que pueden
El objetivo final de los hackers y de otros ciberdelincuentes es el beneficio financiero y tienen una creatividad continua para lograr sus objetivos. Los atacantes recopilan información sobre sus víctimas para lanzar ataques dirigidos a objetivos determinados. En 2011, los principales objetivos de estos ataques fueron los ejecutivos, pero el año pasado observamos un cambio para dirigirse a trabajadores del conocimiento como los empleados en I+D y los empleados en ventas. Estos los ataques dirigidos a objetivos determinados también sufrieron un aumento en 2012, con un incremento del 42%.
No solo han cambiado las personas objetivo de estos ataques, sino que también se ha observado una evolución en relación a los sectores afectados. En 2011 el gobierno fue el sector favorito, con un 25% de todos los ataques. En 2012, el sector de fabricación experimentó un aumento, desde el 15% al 24%, convirtiéndose en el sector más atacado, seguido del financiero.
Los ciberdelincuentes se centran en la movilidad
A medida que los usuarios móviles incrementan su actividad, los ciberdelincuentes centran sus esfuerzos en la obtención del máximo provecho de las plataformas con menor énfasis en seguridad en años pasados. Aproximadamente un tercio de las amenazas resultantes han sido diseñadas para apoderarse de información. Sin embargo, el ISTR de este año muestra que las vulnerabilidades no producen necesariamente amenazas consiguientes. El sistema operativo Apple iOS registró la mayoría de las vulnerabilidades – un total de 387- pero, sorprendentemente, solo se creó una el año pasado, lo que indica que las vulnerabilidades no son necesariamente el mejor indicador del peligro. Por el contrario, es probable que los ciberdelincuentes se centren en plataformas con sistemas abiertos y métodos fáciles de distribución de aplicaciones.
Los antivirus para Android SI sirven
Recientes estudios han asegurado que los antivirus para Android no sirven para nada. Axelle Apvrille, experta en malware en FortiGuard Labs de Fortinet asegura justo lo contrario:
Desde nuestro punto de vista esta conclusión es errónea. La investigación de DroidChamelon es muy interesante pero tiene una serie de carencias que pueden llevar a conclusiones incorrectas. Por un lado, los investigadores solo probaron los antivirus frente a 6 ejemplos distintos. Hay más de 150.000 virus para Android. Incluso si los 6 elegidos fueran una muestra representativa de las familias de malware más destacadas, ¿sería correcto afirmar que esos 6 representan el comportamiento de los 150.000?
Por otro lado, hay que tener en cuenta que los investigadores de DroidChameleon aplicaron transformaciones al malware real. Diseñaron las modificaciones – muy interesantes, por cierto, pero éstas no tienen que ser necesariamente las que realizarían los autores del malware. Así, testaron la eficiencia de un antivirus frente a modificaciones que no ocurrirían, mientras que otros no fueron probados.
Con todo ello podemos concluir que estamos ante un estudio muy interesante que muestra las áreas de mejora de las soluciones antivirus (que, por supuesto, son mejorables). Pero también podemos afirmar que el estudio NO demuestra que los antivirus son inútiles.
Para demostrar esta opinión, remito al lector al link del informe sobre antivirus de febrero de 2013 en el que, por el contrario, se muestra que los productos antivirus para Android son muy eficientes: buena detección y escaso consumo de batería.
http://www.av-test.org/en/tests/mobile-devices/android/jan-2013/
