Seguridad: La eterna lucha del gato y el ratón

A mayor número de aplicaciones, equipos, soluciones, dispositivos, etc. mayores son las medidas de seguridad. Sin embargo no todas las medidas parecen ser suficientes y siempre existirán agujeros por dónde se cuele el malo. Ante tal situación sólo hay dos opciones: la prevención y, en el caso de que hayamos sufrido algún ataque, paliar los posibles “desperfectos”. Por Manuel Navarro Ruiz

Por muy sofisticados que sean nuestros sistemas siempre puede existir alguien que entre en ellos, siempre podremos ser espiados y siempre pueden tumbarlos. Una vez que esto lo tengamos asimilado, entonces ya se podrá diseñar una estrategia clara en materia de seguridad. No obstante, este mercado evoluciona a la misma velocidad (a veces incluso más) que el resto de la industria TIC. Ya nada se parece a la seguridad que se implementaba en una empresa hace tan sólo un año. Así que lo primero es conocer por dónde van las tendencias y cuáles son las amenazas más importantes son las que nos encontramos. Desde la multinacional española Panda Security se asegura que los riesgos se encuentran principalmente en varias de las tendencias actuales TIC:

Creación de malware. La mayoría de este nuevo malware son variantes de ejemplares conocidos que mediante diferentes técnicas cambian de forma para evitar que las soluciones de seguridad puedan detectar las nuevas creaciones.

Vulnerabilidades. Java ha sido la causa de la mayoría de infecciones ocurridas a lo largo de 2013, y todo indica que lo seguirá siendo a lo largo del año 2014. El hecho de que este lenguaje se encuentre instalado en miles de millones de ordenadores y tenga un número aparentemente infinito de agujeros de seguridad hace que sea una de las elecciones predilectas por parte de los ciberdelincuentes. No existe en el mercado negro un Exploit Kit que se precie que no incluya al menos un puñado de vulnerabilidades de Java en su “menú”.

Ingeniería social. La ingeniería social es un apartado en el que los ciberdelincuentes han brillado por su creatividad. Tras el uso de vulnerabilidades, la segunda causa de las infecciones que sufren los usuarios son ellos mismos, tras resultar víctimas de algún engaño. Aunque muchos de ellos llegarán a través de mensajes de correo electrónico, la mayoría tendrán lugar en redes sociales, que es dónde los usuarios se reúnen para compartir información, convirtiéndose en el medio ideal para propagar rápidamente malware.

Móviles. Android seguirá siendo el principal objetivo de los ciberdelincuentes dentro de esta área, y se batirá un nuevo récord de amenazas para esta plataforma.

Ransomware. Es un método mediante el que los ciberdelincuentes pueden obtener una ganancia económica directa, motivo por el que estos ataques aumentarán e incluso se extenderán a otro tipo de dispositivos, como los smartphones.

Seguridad en empresas. Los ataques son cada vez más agresivos (como los llevados a cabo por Cryptolocker) y las empresas además sufren ataques dirigidos, lo que llevará a que demanden medidas extras de seguridad que vayan mucho más allá de la protección que les proporciona un antivirus “tradicional”. Por no hablar de los propios gobiernos espiando a empresas (NSA, etc.). Es por todo esto que veremos surgir nuevas soluciones que respondan a esta demanda y ofrezcan un nivel de fortificación que garantice de forma mucho más efectiva la seguridad de la información.

Internet of Things. El número de todo tipo de aparatos conectados a Internet no deja de aumentar, y va a seguir por este camino. Cámaras IP, televisores, reproductores multimedia ya forman parte de Internet, y en muchos casos además cuentan con una característica que los diferencia de los ordenadores o móviles y tabletas: raramente son actualizados por parte de los usuarios. Esto significa que son extremadamente vulnerables a agujeros de seguridad, por lo que es muy probable que comencemos a presenciar ataques que tengan como objetivo este tipo de dispositivos.

Descárgate el PDF completo del Tema de portada (Gratis)

Sabemos por tanto dónde se encuentran los principales riesgos y por ello las empresas deberían saber dónde poner el foco, aunque sólo fuera por la ley de la probabilidad. Sin embargo y a pesar de que podemos tener implantada la mejor política de seguridad hay debemos saber que no nos encontramos a salvo. Tal y como afirma Ramsés Gallego, Security Strategist & Evangelist, Dell Software, “uno de los mayores riesgos a los que nos debemos enfrentar es al de la falsa sensación de seguridad, a creer que nosotros y nuestros clientes estamos plenamente seguros. En la actualidad, existen muchos ángulos a tener en cuenta en cuanto a la seguridad de la información, y las amenazas son cada vez más cambiantes y heterogéneas. Debemos tener en cuenta que no solo la protección perimetral es fundamental, sino que hay que tener una visión holística, completa de la seguridad, que vaya desde el gateway hasta la base de datos, desde la red hasta la seguridad en aplicaciones, desde el perímetro hasta el control de acceso a la información”. Y la realidad es que todos los ataques tienen que ver con un solo fin: la obtención rápida de dinero. Y es que, “el objetivo principal de la mayoría de estos ataques es el dinero. El acceso a los datos financieros de los usuarios es el principal reto de los cibercriminales, aunque cualquier dato confidencial que pueda venderse en el mercado negro también es de su interés por lo que garantizar la protección de todos los dispositivos que manejan información confidencial es fundamental”, asegura Ovanes Mikhailov, Director General. Kaspersky Lab.

Hacia dónde deriva la inseguridad

Estar a cargo de la seguridad de una empresa representa una dedicación casi exclusiva. Las amenazas se multiplican a diario, así que los retos son constantes. Los ciberdelincuentes no descansan, ya que continúan estudiando nuevos mecanismos para apoderarse de información en todo tipo de organizaciones. Actualmente, la sofisticación de los ataques, junto a las complejidades en las TI (derivadas de la implantación de tecnologías como la virtualización, la movilidad y la nube) precisan que las organizaciones continúen adoptando un enfoque proactivo, utilizando unas medidas de seguridad para garantizar una ‘defensa en profundidad’ con el objetivo de estar por delante de los ataques. Usuarios finales, pequeñas empresas y  grandes corporaciones deben asumir que el reto en materia de seguridad pasa por darse cuenta que no son inmunes a las amenazas en Internet y en dispositivos móviles. Desde Symantec aseguran que los ciberdelincuentes buscan la información, ya sea la de una cuenta bancaria, propiedad intelectual, información confidencial de una empresa o la infraestructura crítica de un gobierno. Por lo tanto, la seguridad necesita ser tomada muy en serio y de la forma adecuada. Los retos fundamentales son por tanto, variados. Tal y como afirma Eduard Palomeras, principal consultant, CA Technologies, “Tendencias como el Internet de las cosas o la adopción de técnicas de juego, la llamada gamificación, ya están creando nuevos retos a la vez que aportando soluciones a temas tradicionales de seguridad. Las tendencias posiblemente serán: seguridad en la nube, seguridad en redes sociales para uso empresarial, seguridad amigable (o la mejora de la experiencia del usuario en los procesos de seguridad)”. Por su parte, Yolanda Ruiz, directora de marketing y ventas de ESET España cree que el principal riesgo se encuentra “en la movilidad, sin duda, y en los nuevos canales de comunicación con las víctimas. Como hemos apuntado anteriormente, smartphones y tablets pueden llegar a ser puntos débiles si no se protegen de la forma adecuada, si no se cifra la información que viaja a través de estos dispositivos, si no se protege la conexión con la red corporativa, etc. Por otro lado, el hecho de que los ciberdelincuentes estén utilizando nuevos canales de comunicación, como las redes sociales, hace que el usuario, en un entorno de mayor confianza, sea más propicio para tener un problema de seguridad al confiar en el material que llega desde un “conocido”. Antonio Martínez Algora, Regional Sales Manager de Arkoon + NETASQ Iberia cree queb “Como siempre, el mayor reto es intentar moverse –cuanto menos- a la misma velocidad que los atacantes, los cuales no cejan en su empeño de buscar nuevas vías y métodos de ataques. Las técnicas tradicionales de protección perimetral no pueden erradicar por sí mismas dichas amenazas, por lo que se hace necesario añadir nuevas tecnologías complementarias (gestión de vulnerabilidades, identificación heurística -sin necesidad de una firma específica- de amenazas, etc.) que permitan evitar este problema que pasa completamente inadvertido para las soluciones tradicionales de seguridad”.

Una de las grandes personalidades del mundo de la seguridad tecnológica es el director técnico de PandaLabs de Panda Security. En opinión de este colaborador habitual de los principales departamentos de seguridad de diversos países “En materia de seguridad, no nos cabe la menor duda de que seguirá creciendo el malware en general, así como las vulnerabilidades en entornos Java y los ataques en redes sociales. Además, junto con los troyanos bancarios y bots, los protagonistas de los ataques que amenazarán a los usuarios serán aquellos que utilizan técnicas de ransomware, pidiendo un rescate para volver a utilizar el equipo, recuperar información (CryptoLocker), eliminar una supuesta infección (Falso Antivirus) o incluso pagar una supuesta multa (virus de la policía). En suma, se trata de un método mediante el que los ciberdelincuentes pueden obtener una ganancia económica directa, motivo por el que estos ataques aumentarán e incluso se extenderán a otro tipo de dispositivos, como los smartphones De hecho, otra de las tendencias tendrá que pasar sin duda por la seguridad en entornos móviles. Android va a seguir siendo el principal blanco de los cibercriminales y batirá récords de amenazas para esta plataforma. En el ámbito empresarial, los ataques serán cada vez más agresivos y veremos cómo las soluciones de seguridad perimetral no serán suficientes. Serán necesarios nuevos enfoques que garanticen un nivel de protección mayor que el hasta ahora garantizado. Por último, en este 2014 ya estamos viendo como el número de dispositivos con Internet va en aumento. Desde cámaras a televisiones, reproductores multimedia, etc., y esto va a suponer poco a poco un foco de infección más para los usuarios, especialmente porque no suelen actualizarse con la asiduidad de los PCs o tabletas”.

La nube

La realidad está cambiando tanto, que  en muchos casos, las empresas no saben realmente qué es lo que tienen que defender. ¿sus equipos? ¿la información? ¿los datos que van a través de las redes? Sin embargo hay algo que está cambiando. La nube es una realidad hacia la que cada vez migran más empresas. Y si no se hace más es en muchos casos, por un solo motivo: la inseguridad que parece haber detrás de ella. Desde la compañía Vector, aseguran que en este sentido, “cualquier apuesta en este sector tiene que seguir contando con los mecanismos básicos para garantizar el servicio, la confidencialidad, la integridad y la disponibilidad de la información y los servicios asociados. Aunque soluciones basadas en la nube pueden ofrecer ciertas ventajas en ese sentido, sobre todo para empresas más pequeñas,  también hay retos concretos asociados con la nueva superficie de ataque que ofrece la infraestructura. Al fin y cabo el proveedor tiene que dar transparencia en ese sentido y a su vez el cliente debería asegurar que el SLA cumple sus expectativas en cuanto la seguridad”.

En general, cualquier apuesta en este sector tiene que seguir contando con los mecanismos básicos para garantizar el servicio, la confidencialidad, la integridad y la disponibilidad de la información y los servicios asociados. Aunque soluciones basadas en la nube pueden ofrecer ciertas ventajas en ese sentido, sobre todo para empresas más pequeñas,  también hay retos concretos asociados con la nueva superficie de ataque que ofrece la infraestructura. Al fin y cabo el proveedor tiene que dar transparencia en ese sentido y a su vez el cliente debería asegurar que el SLA cumple sus expectativas en cuanto la seguridad. David Sancho, senior antimalware researcher de Trend Micro cree que “cuando se habla de «la nube», generalmente uno se refiere a servidores remotos donde se almacenan datos. Estos servidores no pertenecen a la empresa y por lo tanto la clave de defender la nube es la de proteger el dato del usuario en un servidor no-corporativo. Trend Micro ofrece medios para cifrar los datos de tal forma que incluso un ataque directo no sería capaz de leer los datos sin permiso de la empresa. Una segunda dimensión del problema de la nube es que estos servidores suelen estar virtualizados. La protección de entornos de este tipo es otra de nuestras prioridades”. Y es que, “la nube requiere un enfoque de seguridad diferente.  No podemos confiar en que una infraestructura tradicional de productos nos ofrezca el nivel de seguridad que necesita nuestra cloud. La tecnología de virtualización que constituye la base de la nube requiere garantías de seguridad especiales para proteger los datos que fluyen a través de las máquinas virtuales. En este entorno, la entrada y salida de datos de la nube debe ser objeto del mismo nivel de escrutinio que en la red corporativa. Las tecnologías de red como firewall, prevención de intrusiones, control de la aplicación y filtrado del contenido ofrecen este nivel de escrutinio.  Otro de los retos adicionales asociados con la seguridad del dato en la nube es que la arquitectura de seguridad debe también asegurar la naturaleza multi-usuario del tráfico. Es decir, dicha arquitectura debe tener capacidad para implementar políticas de tráfico diferentes dependiendo del multitud de parámetros. Por otro lado, una vez que el dato está en la nube, surgen nuevos retos de seguridad. Hay que mantener el control sobre los datos que se mueven entre máquinas virtuales. Los dispositivos basados en hardware no pueden controlar los datos dentro de la nube, por lo que se requiere la presencia de dispositivos de seguridad virtuales para inspeccionar y proteger el dato en un entorno virtualizado también desde dentro. Asimismo, los entornos cloud y centros de datos demandan actualizaciones regulares de su arquitectura de seguridad. A pesar de los esfuerzos que realizan los proveedores cloud, una vulnerabilidad tipo zeroday puede comprometer a cualquier usuario o máquina que se encuentre dentro de la red del proveedor cloud”, asegura Acacio Martín, Director General de Fortinet.

Finalmente y tal y como afirma el portavoz de Dell Software, “de nuevo, la nube no ha hecho más que amplificar nuestra perspectiva de riesgo. Ha multiplicado el número de observaciones que tenemos que hacer cuando hablamos de proteger la información; es un entorno más, una plataforma que, muy rápidamente, se ha extendido y ya forma parte de todos los sistemas operativos de manera transparente. El reto de la nube en materia de seguridad (existen otros retos alrededor de la gestión) está a nivel de la legislación aplicable, del control de la identidad en entornos que normalmente agradecerían federación, de la necesidad de un marco de auditoría que permita obtener garantías… Pero las preguntas, como en el mundo ‘on-premise’ siguen siendo quién tiene acceso a mis datos, quién aprobó el acceso, por cuánto tiempo… ya sea en casa, en la nube, en la plataforma móvil o en acceso remoto. La nube parece que presenta muchos cambios pero en un deseo de volver a lo básico, de vuelta a los orígenes, creo que las cuestiones de proteger la información, defender la marca, salvaguardar información sensible, son las mismas, independientemente de la plataforma. Sin duda, la nube aporta la ubicuidad y esa ‘dispersión’ que forma parte de la naturaleza de la nube… pero un responsable de seguridad, un auditor, un director de riesgo o un abogado comprenden que el dónde es una pregunta tan importante como el qué, quién, cómo, cuándo y por qué. Las respuestas a esas preguntas, contando con personas, procesos y tecnología forman parte de la necesaria ecuación de seguridad”.

El mercado del todo gratis

Una de las trampas en las que suelen caer las empresas, sobre todo aquellas muy pequeñas, es la de la obtención de productos gratuitos, completamente legales, con las que creen que están seguros. En realidad este tipo de soluciones son muy básicas, que pueden servir para un usuario doméstico, pero que en general no suelen asegurar la infraestructura de una empresa, por muy pequeña que esta sea. En este sentido, Eduard Palomeras, principal consultant, CA Technologies, cree que “en el ámbito empresarial, las soluciones freeware de calidad permiten optar a pequeñas implementaciones y evaluaciones de tecnología. Por ejemplo, CA ofrece CA Nimsoft Monitor Snap, una solución descargable y fácil de implementar que permite monitorizar rápidamente hasta un máximo de 30 dispositivos. En cambio, no es de sorprender, que para grandes proyectos de valor añadido las soluciones comerciales son más adecuadas por la completitud de una oferta conjunta que incluye documentación de calidad, cursos de formación, soporte formal, procedimientos de solicitud de nuevas funcionalidades, etc”.

Más o menos en esa misma línea de opinión se sitúa Pedro Castillo, CEO de Logtrust que huye de la disputa entre el gratis o de pago. En opinión de este directivo, “no hay un enfrentamiento. Nosotros mismos ofrecemos planes gratuitos para desarrolladores o empresas que tengan necesidades no muy grandes. Creo que el mercado ofrece soluciones con distintas características y que cada una tiene su público. En general las soluciones OpenSource ofrecen funcionalidades muy interesantes, pero de una forma en la que el despliegue, la integración, el servicio ha de ser prestado por técnicos altamente cualificados. Y este tiempo ya no es gratuito. Probablemente si se pensara en una solución de seguridad contemplando el ciclo de vida completo y sus costes ocultos, veríamos que el coste de la tecnología no es más que una parte y la diferencia de coste a veces no solo no existe sino que pueden ser más costosas ciertas soluciones gratuitas. Nosotros creemos en un mercado adaptativo, dar gratis ciertos niveles y cobrar cuando ofreces un servicio diferencial. Sin costes ocultos y ofreciendo no solo una tecnología sino un servicio completo para resolver problemas completos”.

El otro punto de vista es el más intermedio, es decir, aquel que considera las soluciones gratuitas como buenas, pero no para determinados entornos. Este es el caso de Luis Corrons de Panda Security: “Hay excelentes productos de seguridad freeware, el hecho de que sean gratuitos no implica que su nivel de protección sea peor, simplemente no es suficiente. De hecho desde Panda Security apostamos por dicha fórmula con la primera solución de seguridad del mundo basada completamente en la nube, Panda Cloud Antivirus, y los laboratorios de pruebas de seguridad más prestigiosos del mundo, como son AV-Test y AV-Comparatives, llevan otorgando a nuestra solución los máximos galardones, superando en muchas ocasiones a todo tipo de productos de pago de otras compañías. El problema es que nos encontramos frecuentemente con que las Pymes creen que con un antivirus gratuito es bastante, y no es así. Los antivirus gratuitos tienen cierto nivel de protección pero ante los nuevos ataques basados en vulnerabilidades no son suficientemente efectivos”. Por su parte el portavoz de Trend Micro afirma que “Las soluciones de seguridad gratuitas suelen caer en dos grupos: las abiertas y las recortadas. Las abiertas son aquellas producidas por entusiastas, normalmente en régimen de open source. Este tipo de aplicaciones, al ser creadas de manera espontánea, no tienen un soporte técnico riguroso y tampoco hay garantías de que su desarrollo continúe. Muchos de estos proyectos entusiastas acaban cayendo en el olvido cuando el interés por el proyecto decae en la comunidad. Además, aquellas que necesitan de fuentes de inteligencia continuas, como son antivirus o gestión de contenidos, se ven limitadas debido a la falta de inversión. El segundo grupo, las recortadas, parecen gratuitas pero en realidad son versiones limitadas de empresas que ofrecen productos completos. En realidad son herramientas de marketing para que estas empresas ofrezcan el resto de su portfolio. Es recomendable mirar bien dónde está el recorte respecto a la versión completa para comprobar que el software de seguridad cumple con lo que se espera de él. Ninguna de estas aplicaciones gratuitas compite con las soluciones corporativas de Trend Micro por cuestión de solidez en el desarrollo, inversión en infraestructuras y red de inteligencia corporativa. Partiendo de esta base, en general, pocas empresas serias se arriesgarían a que sus aplicaciones críticas de negocio se ejecutaran en soluciones gratuitas”. Y para terminar con este grupo, el director general de Kaspersky en España asegura que en su empresa trabajan “en crear soluciones de seguridad robustas que protejan los equipos de nuestros usuarios y garantizar la actualización 24/7 de nuestras bases de datos de virus. Si las opciones son: AV gratuito o nada, mejor  tener el gratuito, por supuesto. Pero en la mayoría de los casos los productos free ofrecen sólo una “sensación” de protección en lugar de una verdadera protección . Nadie puede garantizar un nivel de protección del 100%, pero las empresas líderes en seguridad TI son las que están más cerca de conseguirlo. No se puede esperar que un servicio gratuito sea tan completo como uno de pago, tal y como sucede en cualquier otro ejemplo del mundo real”.

Movilidad

Junto con la nube, se trata de otra de las tendencias TIC de los próximos años. A pesar de que los dispositivos móviles se encuentran totalmente asentados en todos los ámbitos, es en materia de seguridad donde todavía queda mucho por andar. Los principales riesgos no están sin embargo en las aplicaciones sino que en la gran mayoría de los casos los agujeros vienen por culpa del propio usuario del dispositivo. Y dentro de los dispositivos a atacar hay claramente un rey: Android. La plataforma de Google, por ser la más abierta y la que tiene una mayor cuota de mercado ha pasado a ocupar el lugar que antaño le correspondía a Windows en el entorno del PC.

Sólo en el año 2013, el equipo de expertos en la lucha contra amenazas de Fortinet, los Laboratorios FortiGuard, identificaron más de 1.300 nuevas aplicaciones maliciosas al día y realizaron el seguimiento de 300 familias de malware y más de 400.000 aplicaciones maliciosas para Android.

Aparte del crecimiento exponencial, es especialmente significativo cómo el malware para móvil evoluciona en línea con los virus para PC, aunque a un ritmo mucho mayor.  La adopción generalizada de smartphones y el hecho de que, a través de ellos, se pueda acceder fácilmente a los sistemas de pago (en números de teléfono con tarifas premium)  les convierte en objetivos clave.

Uno de los retos que plantea el uso de los dispositivos móviles es la correcta gestión de la identidad, componente clave de la solución de seguridad a adoptar. Otra de las áreas que merecen una atención especial es la problemática en torno a la confidencialidad de datos.

Pero es en Android donde parece que se encuentran las mayores vulnerabilidades. De hecho, hasta los propios fabricantes de soluciones de seguridad se centran casi exclusivamente en este tipo de dispositivos. Sin embargo, los ataques a plataformas Android están creciendo de forma exponencial, pero aún se encuentran a años luz de los que sufren los PCs. De todas formas y como asegura Luis Corrons de Panda Security: “No es muy normal que alguien vaya sin protección en su ordenador, sin embargo en el caso de los móviles no es así. Puedes estar sin protección y no ser víctima de ningún ataque. Pero el riesgo real existe y ya se han producido cientos de miles de infecciones en todo el mundo por aplicaciones descargadas desde Google Play. Como ya sucediera el pasado mes de febrero en el que Panda Security identificó varias aplicaciones de Google Play que suscribían a SMS Premium sin permiso. En donde al menos 300.000 usuarios fueron infectados. Ante este tipo de ataques, los usuarios se encuentran indefensos. Algo que se puede hacer es tratar de obtener información del fabricante cuya aplicación queremos descargar e instalar, para verificar que es alguien legítimo. Al instalar la aplicación, antes de aceptar leer atentamente los permisos que solicita la aplicación… pero siendo realista, un usuario normal no va a hacer esto. Y es aquí cuando un antivirus que se encargue de analizar cualquier aplicación que vayamos a instalar nos puede proporcionar la tranquilidad que buscamos. En este contexto, como comentaba Panda cuenta ya con Panda Mobile Security, una solución pensada para seguridad en exclusiva de los smartphones”. Y es que casi todos han visto los riesgos asociados a Android. También en Trend Micro: “Nos dirigimos específicamente en entorno Android, que es el más atacado debido a su filosofía tan abierta, aunque también contamos con soluciones para iOS, BlackBerry, WindowsPhone,… Volviendo a Android, conviene puntualizar que tener un antivirus sólido en este tipo de plataforma ya no es suficiente, también tenemos herramientas dirigidas a analizar aplicaciones para asegurarse de que los proveedores no estén diseminando malware como parte de su oferta de aplicaciones. Esto es especialmente relevante para tiendas online y proveedores de aplicaciones móviles. Una apuesta realmente novedosa es la creación de entornos virtuales remotos para las empresas. Gracias a esto, podemos hacer que los móviles accedan a la información corporativa sin riesgo, incluso desde móviles personales”, afirma David Sancho, senior antimalware researcher de la compañía.

Independientemente del sistema operativo que se utilice, son muchas veces los propios usuarios los que ponen en riesgo la seguridad de los datos de los dispositivos con prácticas de alto riesgo. Y es que muchas veces son esos propios usuarios los que se olvidan de que llevan un ordenador en su bolsillo. Como asegura Yolanda Ruiz de ESET, “Un dispositivo móvil no deja de ser un ordenador en otro formato con movilidad y deslocalización, pero con el que hacemos prácticamente lo mismo que con el PC de la empresa: tenemos datos de clientes, se realizan transacciones bancarias, nos conectamos a la red de la empresa, etc. Por lo tanto, como ya hemos comentado anteriormente, es necesario proteger no solo los ordenadores y servidores, sino los smartphones y las tablets que utilicemos. Y existe otro riesgo añadido, que es cuando el trabajador es el que utiliza sus dispositivos particulares para el trabajo, sin que cumplan las reglas de seguridad corporativa: lo que se llama BYOD (Bring Your Own Device, o “Utiliza Tu Propio Dispositivo”). Un smartphone sin protección, perdido o robado puede dar entrada a la empresa a un usuario malintencionado, o a nuestra información financiera”.

Ramsés Gallego, Security Strategist & Evangelist, Dell Software asegura que “La movilidad es un capítulo más en el libro de gestión de TI. Se trata de otro entorno, otra plataforma que, de repente, ha amplificado la gestión de seguridad de la información, pero las preguntas continúan siendo las mismas: quién tiene acceso a la información, desde dónde, hacia dónde, cómo, cuándo y por qué. En Dell Software pensamos que la movilidad debe estar incluida en el programa de gestión de activos de una corporación, debe ser considerada otra plataforma que requiere gestión, políticas, guías de cumplimiento, procesos y tecnología. Por supuesto, si en movilidad incluimos BYOD, por la que las personas traemos nuestro propio dispositivo, las preguntas cambian, pero solo ligeramente. Es decisión de la compañía si adopta y adapta BYOD como parte del programa de gestión corporativo pero la cuestión sigue siendo, siempre, proteger la marca y  defender los datos corporativos, estén donde estén”. En definitiva, “la movilidad es un capítulo más en el libro de gestión de TI. Se trata de otro entorno, otra plataforma que, de repente, ha amplificado la gestión de seguridad de la información, pero las preguntas continúan siendo las mismas: quién tiene acceso a la información, desde dónde, hacia dónde, cómo, cuándo y por qué. En Dell Software pensamos que la movilidad debe estar incluida en el programa de gestión de activos de una corporación, debe ser considerada otra plataforma que requiere gestión, políticas, guías de cumplimiento, procesos y tecnología. Por supuesto, si en movilidad incluimos BYOD, por la que las personas traemos nuestro propio dispositivo, las preguntas cambian, pero solo ligeramente. Es decisión de la compañía si adopta y adapta BYOD como parte del programa de gestión corporativo pero la cuestión sigue siendo, siempre, proteger la marca y  defender los datos corporativos, estén donde estén”, afirma Ovanes Mikhailov, Director General. Kaspersky Lab.

Y aun así…

… el ciberdelicuente va a seguir yendo por delante de nosotros. La seguridad al 100% no existe, precisamente porque el ciberdelincuente está pensando nuevas fórmulas para obtener datos, información y sobre todo dinero, que es por lo que principalmente se mueven la mayoría de los delitos en Internet. Así que lo único que se puede intentar hacer es prevenir. Álvaro Villalba Poncet, Regional Sales Manager Iberia de Corero Network Security, cree que para ello “la monitorización es vital para la detección de nuevas amenazas y obviamente cuanto antes de detecte, más pronto se mitigará. Aparte de esto, la clave está en invertir y desarrollar sistemas basados en comportamientos, y no tanto en firmas como antaño, de manera que sean capaces de detectar los nuevos ataques lo antes posible”.

Pero según se pregunte a uno u otro desarrollador cada uno da una solución diferente. Por ejemplo en Dell Software, consideran que “Los malos, los hackers, no utilizan magia para comprometer los sistemas de información, sino que utilizan la misma tecnología que está disponible para proteger los sistemas. En el ámbito de lo que se conoce como APTs (Advanced Persistent Threats), comprendemos que los hackers, y sus ataques, son avanzados y persistentes. Y una vez entendido este punto, la pregunta que cabe hacerse es cuán avanzados y persistentes queremos ser nosotros a la hora de proteger la información. Lo que hacemos desde Dell Software para acortar las distancias entre los que quieren dañar y los que debemos proteger es entender qué herramientas utilizarán, qué vulnerabilidades suponen un riesgo, qué procesos globales se están utilizando… y, por supuesto, correlacionar y compartir información con otros actores del sector, con empresas públicas y privadas que tengan el mismo afán de defender el segundo activo -tras las personas- más importante de una compañía: la información”.

Por su parte en Kaspersky Lab consideran que “En los últimos años se ha invertido mucho en aprender del pasado y evitar vulnerabilidades sencillas que aprovechaban los atacantes para infectar nuestros equipos. Estas contramedidas han sido efectivas y han logrado que muchos de los ataques existentes no fueran efectivos, durante un tiempo. Posteriormente surgen nuevos métodos que evitan las defensas y volvemos a empezar. Es un ciclo iterativo, pero es la naturaleza de este tipo de entornos”. Trend Micro, por su parte intenta adecuar los medios de protección a las capacidades de los hackers allá donde se encuentren los datos a proteger. Desde la defensa de las plataformas móviles hasta el blindaje de entornos virtuales en centros de datos, por supuesto el cifrado de los datos en la nube y métodos anti-fuga de datos. “Aunque triunfamos en el mercado con soluciones antivirus y de gestión de contenidos, nuestras soluciones van mucho más allá. Lo más novedoso de nuestra filosofía de protección es la apuesta por la ciberinteligencia, lo que nos ha llevado a la creación de una red de protección inteligente: hacemos que cada puesto protegido por productos Trend Micro reporte cualquier incidencia a nuestros servidores centralizados para alertar al resto de clientes de tal forma que la inteligencia de cada ataque beneficie al resto de clientes. Cuantos más ataques vemos, mejor protegidos estamos todos” asegura el portavoz de Trend Micro.

Finalmente y por ser la más novedosa y la que seguramente marcará la tendencia del futuro de las herramientas de seguridad destacamos las soluciones de Panda Security. En la multinacional española, y en palabras de Luis Corrons, Director Técnico de PandaLabs de Panda Security, “para poder luchar contra la ventaja con la que nos adelanta el hacker, desde Panda buscamos ponernos en su lugar, y tratar de averiguar cuál va a ser el siguiente paso a realizar. Por eso, el uso de tecnologías de seguridad basadas en la nube, en las que en Panda Security somos pioneros, nos permite tener una visión de lo que está sucediendo. De esta forma nuestra capacidad de reacción es muy rápida y podemos adaptarnos a cualquier cambio que se produzca”. Lo novedoso de esta filosofía es que se basa en la nube, en la seguridad como servicio: Panda Advanced Protection Service (PAPS) es un servicio gestionado capaz de proteger aplicaciones, sistemas operativos y datos con un grado máximo de seguridad. Este nuevo servicio para el control de aplicaciones plantea un modelo disruptivo para la empresa en el que sólo se ejecuta lo que es seguro, reduciendo la ventana de oportunidad para el malware a cero.

Seguridad TI: A grandes peligros, grandes soluciones

La complejidad actual de los ciberataques obliga a los responsables de la seguridad de las organizaciones a no bajar la guardia en ningún momento. Una formación continua y rodearse de especialistas capaces de ir siempre un paso por delante de posibles amenazas, son antídotos eficaces ante vulnerabilidades que, como ha ocurrido recientemente en el caso de Heartbleed, pueden permanecer latentes en las infraestructuras corporativas sin siquiera sospecharlo.

En seguridad informática es necesario reestructurar y reforzar las fronteras constantemente. El enemigo cada vez es más numeroso y sofisticado, conoce los agujeros de Internet y cuenta métodos sigilosos para colarse en el ámbito privado y empresarial con el fin de hacerse con la jugosa información que cotiza muy al alza en el mercado negro, realizar trabajos de espionaje, boicotear sistemas, suplantar identidades o cometer fraudes financieros.

Paradigmas como la virtualización, los accesos remotos, la movilidad y el cloud, han añadido una nueva dimensión al concepto de infraestructura TIC, en la que participan un número exponencial de usuarios, dispositivos, aplicaciones, equipos y redes. Es un nuevo entorno imposible de cubrir de forma segura con métodos tradicionales mediante la implantación de meros firewalls y otras medidas reactivas.

En la actualidad, las arquitecturas TIC de las organizaciones forman parte de una red hiperconectada a nivel global en la que, por ejemplo, los ataques DDoS llegan a alcanzar velocidades por encima de los 400 Gbps, teniendo como objetivos tanto la capa de red como la capa de las aplicaciones. En este nuevo escenario la seguridad, para ser eficaz, tiene que avanzar y centrarse en medidas enfocadas directamente hacia la protección de las aplicaciones, los sistemas de cifrado y el blindaje de la identidad de los usuarios, y no solo en atender a las incidencias comunes de red.

En este sentido, hemos detectado una nueva generación de amenazas multidimensionales que combinan ataques DDoS con ataques a la capa de las aplicaciones y vulnerabilidades de SQL. Para poder afrontarlas es necesario diseñar una estrategia que abarque múltiples ángulos. Por eso proponemos combinar seguridad DNS con protección DDoS, firewall de red, gestión de accesos y una gestión inteligente del tráfico para proteger las aplicaciones.

Y todo ello en plena migración hacia los centros de datos definidos por software. Un nuevo reto que obliga a combinar firewalls para aplicaciones web y controladores de entrega de aplicaciones si se quiere alcanzar una verdadera protección. Como respuesta a esta demanda del mercado, en F5 hemos desarrollado la arquitectura Synthesis, que asegura la entrega y orquestación de servicios de aplicaciones definidos por software (SDAS™) en entornos de centros de datos, la nube e híbridos.

Hoy por hoy, Synthesis ofrece la mayor protección contra ataques DDoS del mercado gracias a las capas de seguridad que aplica a los elementos críticos de toda aplicación (red, DNS, SSL, HTTP) ante sofisticados ataques DDoS. Sus amplias capacidades se ven potenciadas en combinación con el controlador de entrega de aplicaciones BIG-IP, que permite enfrentarse a ataques de hasta 470 Gbps. Teniendo en cuenta que un ataque de DDoS alcanza de media los 2,64 Gbps, las organizaciones cuentan, gracias a F5, con un remanente de ancho de banda suficiente para asegurar la continuidad de su negocio, incluso cuando está sufriendo un ataque.

Es la ventaja de aliarse con socios solventes en la vanguardia de la seguridad. Algo que acaban de comprobar los clientes de F5 BIG-IP Local Traffic Manager, cuya infraestructura no se vio afectada por Heartbleed porque las conexiones SSL que incorpora cuentan con las protecciones necesarias para asegurar sus aplicaciones ante este grave error de software en el método de cifrado OpenSSL que ha comprometido a tantas empresas.

Replanteando una nueva estrategia de seguridad

Big Data, Cloud, virtualización, redes sociales, movilidad, BYOD… son nuevas tecnologías surgidas en un espacio de tiempo relativamente breve y todas, directa o indirectamente, relacionadas con la seguridad. Esto obliga a que las empresas se replanteen su estrategia.

El viejo modelo de defensa basada en el perímetro queda desfasado, pues los datos ya no sólo están en “movimiento” o en “reposo”, sino que entran y salen del entorno. A esto se suma la variedad de plataformas existentes, la normativa a cumplir, la sofisticación de las amenazas y, todo esto, manteniendo la transparencia en relación a la información, cómo se mantiene, quién accede a qué, etc.

Partiendo de esto y ante la rápida evolución del entorno, las empresas se replantean el papel que juega la seguridad para avanzar hacia una defensa personalizada y adaptada a los nuevos tiempos. Dado que es imposible detener un ataque, el objetivo debe ser detectar un incidente lo antes posible. Y esto sólo se logra mediante el uso de tecnologías inteligentes de defensa personal y completa, que realmente encaje en el entorno de las compañías y refleje su estado, no siendo sólo otro elemento más de software o hardware de seguridad.

Por tanto, la estrategia de seguridad se pone al servicio de los datos, el activo más estratégico e imprescindible para identificar oportunidades de mercado, comprender el comportamiento del cliente, identificar herramientas de productividad y tomar decisiones acertadas. Pero los datos no sólo son valiosos para las empresas, también lo son para los cibercriminales.

A pesar de ser cada vez más conscientes de la importancia de proteger la información, existen casos en los que la seguridad no se percibe como un elemento que ayude a mantener la competitividad e imagen de marca, sino como un coste extra.

La estrategia a seguir deber ser trabajar con un partner de confianza y no apostar por un producto específico, sino por soluciones que cubran diferentes capas o puntos de entrada, ofreciendo la visibilidad adecuada y alertas tempranas precisas al usuario. En definitiva, la estrategia debe centrarse en proteger todos los dispositivos en riesgo en todos los entornos (movilidad, Cloud, entornos físicos, privados, públicos o híbridos). Y como prioridad, asegurar los datos. La mejor forma de conjugarlo todo, teniendo en cuenta nuestro global y cambiante mundo, es apostando por la ciberinteligencia aplicada a la ciberseguridad. Esto permitirá realizar análisis de grandes volúmenes de datos en tiempo real detectando posibles incidentes o vulnerabilidades al instante.

Conscientes de los desafíos a los que nos exponemos, debemos estar mejor preparados para afrontarlos. Para hacer del mundo un lugar más seguro para el intercambio de información digital es crítico contar con tecnologías y estrategias de ciberinteligencia que nos ayuden a combatir el nuevo entorno de ciberamenazas, donde las amenazas persistentes avanzadas (APT) y los ataques dirigidos cobran especial protagonismo. Aquí, la detección temprana es crucial para la prevenir ataques a datos confidenciales de cualquier tipo de organización.

Windows XP es seguro (de momento)

Uno de los problemas de seguridad a los que se enfrentan muchas empresas es el fin de soporte por parte de Microsoft a Windows XP. La multinacional lleva meses de bombardeo constante sobre los peligros que conlleva seguir teniendo instalado ese sistema operativo. Bien sea por estrategia comercial, para que los usuarios adquieran su nuevo sistema operativo Windows 8 (que no termina de despegar, sobre todo en el ámbito empresarial) o bien por no dedicar más recursos a un SO de hace 12 años, la realidad es que la multinacional de Redmond ya no ofrece ninguna actualización.

Sin embargo, esto no es el fin del mundo. Como bien explican desde Panda Security:

Si eres usuario de Windows XP seguramente te hayas hecho esta pregunta: “¿Qué va a pasar el 8 de abril?”.

No te preocupes. Tu ordenador con Windows XP y Office 2003 seguirá trabajando con total normalidad. El lunes no será más peligroso utilizar Windows XP  que el domingo. Lo único que sucede es que, oficialmente, Microsoft ya no dará soporte ni habrá más actualizaciones.

Si tienes instalado en tu ordenador un producto de seguridad de Panda Security no tienes de qué preocuparte, ya que seguiremos dando soporte a Windows XP y protegiendo esta plataforma.

Consejos para los usuarios de Windows XP

Sí hay que destacar que, con el tiempo, aparecerán vulnerabilidades (agujeros de seguridad) para Windows XP y Office 2003 que dejarán una puerta abierta en nuestro ordenador. Estos agujeros pueden permitir, por ejemplo, que por el hecho de navegar por una página web nos podamos infectar.

Esto es algo que sucede actualmente, por ello siempre destacamos la importancia de aplicar todas las actualizaciones de seguridad, tanto del Sistema Operativo como del resto de software que tenemos instalado. Pero, desde el 8 de abril, ya no habrá más actualizaciones de Windows XP y Office 2003, lo que hará que con el tiempo aumente el riesgo de un ataque. No se trata de si se descubrirán nuevas vulnerabilidades, sino de cuándo sucederá.

A pesar de ello, no hay que entrar en pánico porque tengamos un Windows XP, pero ahora sí nos tenemos que plantear seriamente migrar a una nueva versión que nos ofrezca más seguridad.