La potencia de los logs
¿Cómo prevenir y responder de manera eficaz a los ataques recibidos en nuestra organización? Los logs o registros tienen mucho que ver con esto.
Cuando hablamos de protección de redes es imposible no hacer referencia a la prevención o lo preventivo. Las herramientas habituales de seguridad de redes suelen accionar solamente de manera correctiva si no les integramos alguna inteligencia de análisis por detrás que las conviertan en preventivas, analíticas y automatizadas.
Las organizaciones que utilizan este tipo de tecnologías basadas en la inteligencia del análisis consiguen una avanzada protección ante amenazas y transitivamente son las que mejor responden ante los distintos tipos de ataques cibernéticos, entre ellos el ransomware, analizado en mi artículo anterior. Pero ese es sólo un beneficio de tantos que surgen a través del análisis de los logs.
Herramientas analíticas y logs
Las herramientas de analítica se encargan de recolectar y estudiar cada log generado que decidamos captar para cuestiones del interés de la organización. Anteriormente mencionamos cómo se utiliza dicha recolección y análisis de logs para la protección avanzada ante amenazas, pero ese no es su único uso, ya que también puede ser utilizada para realizar auditorías y compliance de cada organización, como también para dar una rápida respuesta ante incidentes.
Las organizaciones se ven beneficiadas al poder contar con visibilidad de extremo a extremo con la correlación de eventos y la detección de amenazas, por lo cual reducen el tiempo de detección gracias a los Indicadores de Compromiso (IoC) que rápidamente ayudan a identificar las amenazas.
Un caso puntual
La herramienta analítica FortiAnalyzer de Fortinet, además de lo mencionado, es capaz de proporcionar cientos de informes y plantillas preconfiguradas que sean del interés específico de la organización para el cumplimiento de regulaciones y pruebas. También, podrá automatizar todas las acciones relacionadas a la seguridad reduciendo la complejidad y el costo e impactando positivamente en el negocio de la organización, ya que se desestima el accionar manual de uno o varios operadores.
Para poder aplicar estas características y tener una alta disponibilidad de grado empresarial, es necesario que contraigamos el FortiAnalyzer dentro de nuestra arquitectura, ya que se encargará de realizar automáticamente copias de respaldo de la propia base de datos de todos los eventos (logs) recolectados hasta en cinco nodos distintos.
En resumen, a la hora de proteger la arquitectura de una organización es esencial que pensemos qué sentido le queremos dar a los eventos que suceden en nuestra red, ya que los renombrados Next-generation firewalls tienen una capacidad mínima de recolección de eventos y el análisis de los mismos no cuenta con la inteligencia analítica que nos podría salvar ante una amenaza desconocida.
Modelo MSP: 4 beneficios de ser proveedor de servicios administrados (MSP)
Conocé las claves del modelo MSP de Sophos, un tipo de negocio que permite a las empresas desplegar, gestionar y vender servicios de seguridad informática desde una plataforma central.
Al hablar de MSP, Sophos se refiere a los Proveedores de Servicios Administrados. Esta modalidad se ajusta a las distintas y dinámicas necesidades de las empresas interesadas en desplegar, gestionar y vender servicios de seguridad informática desde una misma plataforma. Te contamos los 4 posibilidades principales que brinda este modelo, con un único proveedor, programa y catálogo de soluciones de seguridad:
- Ofrecer a los clientes una protección completa y probada.
- Aumentar la rentabilidad mediante la facturación agrupada.
- Convertir Capex a Opex con opciones de facturación mensual.
- Disfrutar de la configuración a demanda para añadir y aprovisionar a los clientes.
Generando valor
Esta modalidad de negocio permite a las compañías generar valor agregado para los clientes como proveedor de servicios de seguridad, respondiendo a cada una de sus necesidades de manera unificada. Como vimos en los artículos «La sombra del ransomware» y «Detener el exploit es detener el ataque» el peligro de ciberataques a empresas es moneda corriente y es fundamental contar con la protección adecuada para enfrentarlos. Ser MSP posibilita ofrecer servicios que van desde la protección de endpoints, servidores, correo electrónico, Internet, dispositivos móviles y redes inalámbricas hasta la simulación de phishing y el cifrado completo de discos.
Y, lo más interesante de este programa es que no tiene un costo inicial, por lo cual, simplemente puede empezar a comercializar todo el catálogo de productos de Sophos disponible en modo de licenciamiento. Una vez que se tiene acceso a la consola de gestión unificada de los clientes, estará listo para licenciar a cada uno de ellos según su necesidad o dolencia.
Flexible ante todo
Una funcionalidad destacada del modelo MSP es su flexibilidad, dado que permite ofrecer a los clientes la elección de cómo prefieren ser licenciados: puede ser mediante suscripción mensual, lo cual le permite ser muy flexible y ajustable a las necesidades que vayan surgiendo. También existen suscripciones por 1, 2 y 3 años.
Seguridad bajo control
La consola MSP permite gestionar todos sus clientes, así como controlar todos sus productos de Sophos, a través de una única interfaz intuitiva, lo que reduce drásticamente las horas de administración manual. El dashboard que incluye la consola garantiza contar siempre con la información que necesita para poder actuar preventivamente. Al ser una plataforma Cloud está basada en Internet, por ende, es posible acceder a ella en cualquier momento y lugar, incluso desde un smartphone. El panel de control ayuda a identificar rápidamente brechas en la protección de los clientes, encontrando oportunidades de cross-selling de forma efectiva.
En síntesis, este programa -diseñado específicamente para las compañías que prefieren la facturación mensual- permite controlar cómo y cuándo se distribuyen las licencias, a tiempo de ofrecer precios competitivos que optimizan su margen.
Detener el exploit es detener el ataque
Aunque la mayoría de las empresas concuerdan en la importancia de contar con tecnología antiexploits en el endpoint, más de la mitad no la poseen, aumentando su vulnerabilidad a ataques.
Los exploits, las técnicas que utilizan los hackers para aprovechar las vulnerabilidades del software legítimo, se han desplegado en numerosos ataques de gran repercusión. El uso del exploit Eternal Blue en el ataque de ransomware WannaCry generó titulares en todo el mundo. A la luz de esta cobertura mediática, no resulta sorprendente que 98 % de los encuestados en el estudio independiente “Estado actual de la seguridad para endpoints” (Sophos) estén de acuerdo en que es importante tener tecnología antiexploits en el endpoint. Sin embargo, más de la mitad de las empresas del estudio (54 %) dicen que no cuentan con ninguna tecnología antiexploits en el endpoint, con lo que son vulnerables a ataques.
Aunque el 46 % de las empresas afirman que cuentan con dicha tecnología, menos de un tercio de los encuestados (31 %) pudieron identificar correctamente la definición del software antiexploits. Esto sugiere que una parte importante de las empresas creen equivocadamente que están protegidas contra esta técnica de ataque común, cuando en realidad están corriendo un riesgo considerable.
- El 54 % de las empresas no cuentan con tecnología antiexploits.
- 2/3 de los directores de TI no conocen qué es.
- EE. UU. es el país que mejor maneja esta tecnología, seguido de México.
¿Cuál es la mejor descripción para el software antiexploits?
Ante esta pregunta, el nivel de conocimiento varía de un país a otro, con EE. UU. a la cabeza de la lista con un 39 % de encuestados que la definen correctamente, frente a solo el 22 % en Francia. Puede resultar sorprendente que las empresas más pequeñas hayan demostrado un mejor conocimiento de la tecnología antiexploits que las de mayor tamaño: el 34 % de las empresas en la categoría de 100-1000 usuarios lograron definirla correctamente, frente al 29 % en el grupo de 1001-5000 usuarios.
Recomendaciones
Dado el uso extendido de exploits en los ataques de hoy día y la notable falta de tecnología antiexploits en todos los frentes, se necesitan acciones urgentes para entender cómo detener estos ataques. Si no entiende los exploits, es momento de aprender. Si cree que entiende los exploits, vale la pena refrescar la memoria para asegurarse de que conoce los enfoques más recientes. Ha llegado el momento de actualizar su tecnología. Para protegerse contra las técnicas de explotación utilizadas en los ataques de malware, asegúrese de tener implementadas las soluciones de seguridad adecuadas para detenerlos.
La sombra del ransomware
A pesar de haberse producido una serie de ataques de ransomware de gran repercusión en los últimos años, las empresas no previenen el secuestro de sus datos.
El ransomware, mecanismo de bloqueo del sistema operativo y extorsión mediante el pedido de rescate de datos, es actualmente un gran problema en todo el mundo: más del 54 % de las empresas encuestadas en el estudio independiente “Estado actual de la seguridad para endpoints” (Sophos) sufrieron ataques en el último año, y se espera que un 31 % más sean víctimas en el futuro. Desafortunadamente, los ataques de ransomware pueden repetirse, ya que las empresas afectadas sufrieron una media de dos en los 12 meses anteriores.
Si bien el ransomware logró paralizar empresas en todos los países de la encuesta, el alcance de los ataques varía notablemente en todo el grupo de estudio. La India está a la cabeza de las víctimas del ransomware; en este país, dos tercios de los encuestados (67 %) se vieron afectados durante el año previo. En el otro extremo, encontramos a Japón, donde cuatro de cada diez (41 %) sufrieron un ataque. Es probable que el idioma tenga un papel importante en este sentido, puesto que los ataques de ransomware suelen comenzar con un correo electrónico de phishing. Un mismo correo en inglés puede utilizarse en al menos seis de los países estudiados, mientras que un correo en japonés solo puede emplearse en un área geográfica. En este caso, la complejidad del idioma sirve a los japoneses como protección adicional.
Los ataques de ransomware son recurrentes
- El 54 % de las empresas se vieron afectadas por el ransomware en el último año.
- Dos ataques de ransomware por empresa en promedio.
- Media del impacto por empresa afectada ≈ 133.000 USD.
- El sector sanitario fue el principal objetivo, seguido por el energético, los servicios profesionales y la venta al por menor.
- La India es el país que sufrió más infecciones, seguida de México, EE. UU. y Canadá.
- El 77 % de las empresas contaban con una solución de seguridad para endpoints actualizada en el momento del ataque.
- El 54 % de las empresas no disponen de una protección antiransomware específica.
El alto costo de un ataque de ransomware
El costo de un ataque de este tipo va mucho más allá del rescate pagado. La encuesta reveló que el impacto financiero total (incluido el tiempo de inactividad, las horas de trabajo, el costo de dispositivos, el costo de redes, las oportunidades perdidas y el pago del rescate) es invariablemente de muchos miles de dólares, euros, yenes, libras, pesos, rands o rupias. El costo promedio de un ataque de ransomware es de casi 133.000 USD, dividido a partes casi iguales entre las empresas que afirmaron que el costo fue superior a esta cifra (51 %) y las que afirmaron que fue inferior (49 %). El costo más habitual para las empresas fue de entre 13.000 y 70.000 USD, pero casi la mitad de los encuestados incurrieron en costos de entre 13.000 y 133.000 USD.
Su empresa es un objetivo en cualquier caso, así que debe prepararse
El ransomware ha atacado a todo tipo de empresas, ya sean grandes, medianas o pequeñas. Empiece por los conocimientos. Asegúrese de concientizarse usted y a sus usuarios finales. Forme a sus empleados mediante simulaciones de ataques para que sean capaces de identificar uno cuando lo vean. Los usuarios finales (y los errores humanos) son a menudo el eslabón más débil en un sistema de seguridad, pero unos usuarios bien formados pueden convertirse en su mejor arma. Estudie las tecnologías avanzadas para saber cuáles son sus opciones.
Los productos antivirus o de seguridad para endpoints tradicionales solo bloquearán el ransomware conocido y, con la velocidad a la que se desarrolla y distribuye nuevo malware, se necesita una verdadera protección antiransomware para bloquear los ataques de día cero.
Actualice su tecnología. Las opciones disponibles han mejorado notablemente en los últimos años a la hora de detener el ransomware e impedir el uso de exploits. Y recuerde que el costo de invertir en tecnología de defensa no es nada en comparación con el impacto de un ataque. Al protegerse, ahorrará dinero y salvará su reputación.
Perspectiva y recomendaciones
A pesar de haberse producido una serie de ataques de ransomware de gran repercusión en los últimos años, la protección en las empresas sigue siendo inadecuada. Mientras tanto, quienes estén implementando tecnología antiransomware deberán asegurarse de que la opción que eligieron incluya funciones antiransomware específicas en lugar de una protección contra amenazas genérica. Ha llegado el momento de realizar más pruebas independientes por parte de terceros sobre la eficacia de los productos antiransomware y su capacidad de detener amenazas previamente desconocidas, para que las empresas y los profesionales informáticos puedan tomar decisiones informadas.
Por último, esperamos ver incluso más ataques de ransomware en adelante, impulsados por el ransomware como servicio (RaaS) y amplificados por el resurgimiento de los gusanos. Este no es el momento de posponer la actualización de su tecnología, sino de añadir una protección antiransomware especializada, antes de que sea demasiado tarde.
