Hace dos años escribí sobre siete mitos de la ciberseguridad que generan riesgos empresariales y hacen que los equipos de seguridad, pese a sus buenas intenciones, se centren en aspectos equivocados.
En aquel momento nos encontrábamos al comienzo de una pandemia mundial, y tanto nuestra vida real como la digital estaban cambiando rápidamente, en algunos aspectos de forma permanente. Desde entonces, el mundo ha sufrido conmociones económicas, políticas y tecnológicas. El avance de la tecnología se ha acelerado aún más desde el ritmo ya vertiginoso que llevaba. Los Estados que participan en guerras cibernéticas han golpeado a los ciudadanos de a pie directamente en el bolsillo. Seguro que, después de dos años, esos mitos serían totalmente distintos, ¿verdad?
Falso. Como nos recuerda el dicho «plus ça change», cuanto más cambian las cosas, más siguen igual. Los siete mitos originales siguen siendo muy relevantes, pero propongo otros siete mitos sobre ciberseguridad que surgen de la inmutabilidad de la condición humana.
Mito n.º 1: Solo un pequeño número de cuentas de redes sociales son falsas.
Muchas empresas saben que tienen bots, pero la realidad es que las empresas de redes sociales a menudo no saben cuántos bots tienen realmente ni quieren saberlo.
Hace años hicimos una prueba de concepto con una red social que demostró que el 98 % de sus inicios de sesión correspondían a bots automatizados. La empresa estaba muy orgullosa de su rápido crecimiento y entusiasmada con el futuro, pero resultó que solo tenía una décima parte de los suscriptores que creía tener.
La importancia de disponer de esta información ha quedado patente públicamente con la adquisición de Twitter. El valor de la empresa se basa en gran medida en el número de usuarios. La exigencia de Elon Musk de que la empresa demuestre que los bots de spam y las cuentas falsas representan menos del 5 % es una expectativa razonable para cualquier inversor, anunciante, posible socio comercial e incluso para sus usuarios.
Predigo que el porcentaje de bots de Twitter se acerca más al 50 % o incluso lo supera. (Nota: A raíz de investigaciones posteriores, he revisado esta estimación en una entrada de blog más reciente). Se debería exigir a las empresas que verifiquen que los usuarios son humanos y que gestionen y reduzcan eficazmente el tráfico de bots.
En pocas palabras, el éxito de los bots maliciosos indica un fallo de seguridad. Prevenir la actividad de los bots es fundamental para garantizar la integridad de la información que circula por estos sitios, así como para que las empresas dispongan de datos precisos con los que tomar decisiones empresariales importantes y para quienes hacen negocios con ellas.
Mito n.º 2: La prevención de bots es un proyecto interno que puede hacerse por cuenta propia.
Hemos visto a buenas empresas, con grandes presupuestos y personal técnico brillante, luchar contra los bots durante años. Sin embargo, cuando analizamos el tráfico de bots en estas organizaciones, esperando encontrar bots sofisticados que hubieran evolucionado para superar sus defensas, comprobamos que no es así.
Las empresas llevan tiempo combatiendo los bots mediante el bloqueo de direcciones IP, regiones y sistemas autónomos, y es aquí donde observamos la evolución del tráfico de bots maliciosos: ahora los ataques proceden de cientos de miles, incluso millones, de direcciones IP. Esas defensas de la capa de red tienen un alcance limitado.
Mi máxima es que las señales del lado del cliente son fundamentales. Es imprescindible contar con biometría del comportamiento. Hay que analizar el navegador y el dispositivo. El conjunto de todas esas señales permite identificar no solo a los bots, sino también a los usuarios malintencionados.
Las empresas también creen que pueden salir de esta situación contratando más personal, pero es imposible contratar a suficientes profesionales de TI para resolver un problema de tal magnitud. La única forma de combatir realmente la automatización es mediante la automatización.
Mito n.º 3: La atención debe centrarse siempre en una nueva y misteriosa amenaza que se vislumbra en el horizonte.
Quienes trabajamos en el ámbito de la seguridad, la prensa tecnológica y las relaciones públicas corporativas compartimos el temor a esos actores maliciosos que innovan constantemente y siempre van un paso por delante de nosotros. Sin embargo, en muchos sentidos, los ataques siguen siendo los mismos, con apenas pequeños ajustes a lo largo del tiempo.
La mayoría de los bots que vemos hoy muestran el mismo nivel de sofisticación que hace cinco años. Simplemente proceden de lugares distintos. El relleno de credenciales sigue funcionando a pesar de la autenticación de dos factores y/o los CAPTCHA. Los atacantes no desarrollarán nuevos vectores de ataque mientras el vector original siga dando resultado. Lo único que tienen que hacer es encontrar una forma de eludir las nuevas defensas.
Las empresas deben tener en cuenta las amenazas emergentes e intentar prepararse para afrontarlas, pero el sector también debe seguir mitigando las amenazas del año pasado.
Mito n.º 4: Gestionar múltiples nubes es un reto difícil que requiere un talento imposible de encontrar.
El mundo de las múltiples nubes es una realidad para muchas empresas, si no para la mayoría. Ya sea debido a una adquisición, a la integración con un socio o simplemente al deseo de aprovechar las mejores funcionalidades disponibles, la multinube ha llegado para quedarse.
Sin embargo, cuando pregunto a las empresas si utilizan varias nubes, una respuesta que oigo repetidamente es alguna variante de «sí, por desgracia». Las empresas que operan en varias nubes a veces lo hacen a regañadientes y no aprovechan la oportunidad de obtener lo mejor de cada una.
Hoy en día, no hay motivo para que gestionar y proteger su infraestructura de TI en varias nubes resulte complicado. Los proveedores de servicios en la nube han incorporado la interoperabilidad a sus estrategias, y existen muchos otros proveedores cuyas soluciones están diseñadas para eliminar la carga que supone la integración, abstraer sus funcionalidades en las distintas nubes y ofrecerlas a través de una interfaz sencilla y unificada.
Mito n.º 5: Proteger la arquitectura y los dispositivos de la empresa es suficiente.
Los equipos de seguridad se centran en la infraestructura de la empresa, sus servidores, sus ordenadores y sus equipos de sobremesa; es decir, en todo lo que se encuentra dentro de la organización. Sin embargo, en gran medida no prestan atención a las redes domésticas de todos los empleados de la organización.
Un atacante podría querer centrarse en el director ejecutivo para acceder a información sobre fusiones y adquisiciones u otros datos estratégicos, pero monetizarla no es tan fácil como atacar a un empleado de cuentas por pagar o a un administrador de TI. En un momento en el que trabajar desde casa es más habitual que nunca, las redes domésticas se están convirtiendo en una nueva vía de entrada para los ciberdelincuentes.
Mito n.º 6: Puedes confiar en tus empleados.
Las amenazas internas cuentan con una enorme ventaja, sencillamente porque es propio de la naturaleza humana pensar lo mejor de quienes nos rodean. Pero lo cierto es que no se puede contratar a 50 o 100 empleados sin correr el riesgo muy real de que haya una o dos manzanas podridas en el cesto.
Los empleados descontentos no se limitan a dejar malas reseñas en Glassdoor. Pueden copiar archivos confidenciales en una memoria USB y salir por la puerta con ellos. Incluso existe una preocupación creciente de que puedan dejar software malicioso en el sistema.
Desde hace tiempo sostengo la teoría de que probablemente también haya personas de dentro detrás de muchos ataques de ransomware. Un administrador de TI puede crear fácilmente una identidad en la web oscura, darle acceso al sistema para instalar malware y, a continuación, exigir un rescate para luego defender que la empresa se limite a pagarlo. Es importante señalar que aún no he visto pruebas de que esto ocurra, pero sin duda existen incentivos para hacerlo.
Mito n.º 7: Nuestras mayores amenazas cibernéticas proceden de actores estatales que atacan infraestructuras.
Cuando el oleoducto Colonial Pipeline sufrió un ataque hace un año, lo que provocó largas colas en las gasolineras y causó molestias a los consumidores de la costa este, la noticia tuvo una gran repercusión internacional.
Sin embargo, apenas se habla de los millones de estadounidenses que cada año son víctimas de fraudes en internet, muchos de ellos personas mayores que viven de sus ahorros para la jubilación. Esto supone una enorme amenaza para nuestra red de protección social y puede tener consecuencias devastadoras para las personas y sus familias, mucho más que tener que hacer cola y pagar más por la gasolina.
Pasé años trabajando en las fuerzas de seguridad e investigando delitos informáticos, casi siempre con resultados frustrantes, y este es un tema que me apasiona. Los ataques contra nuestras infraestructuras son importantes y muy reales, pero, al escuchar las historias de estas víctimas, queda claro que el fraude informático generalizado debería recibir más atención de la que recibe.
Si le interesa obtener más información sobre cómo gestionar los bots y protegerse frente a ellos, identificar y mitigar amenazas o implementar un modelo de confianza cero en su organización, le recomendamos las siguientes lecturas complementarias:
- Gestión de bots: soluciones de seguridad y protección de aplicaciones
- Distributed Cloud Bot Defense
- eBook sobre cómo identificar y mitigar las amenazas automatizadas
- Servicios de F5 Distributed Cloud
- Cómo usar la confianza cero para proteger su empresa al adoptar el trabajo remoto
- Cómo implementar un modelo de seguridad de confianza cero
_____
Por Dan Woods, director global de Inteligencia de F5
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.