La seguridad de las redes privadas virtuales (VPN), siempre importante, se ha vuelto imprescindible ante la actual pandemia de COVID-19. El teletrabajo se ha convertido rápidamente en la nueva normalidad y, en consecuencia, la demanda de capacidades VPN se ha disparado. Por desgracia, aunque no resulte sorprendente, los ataques contra las VPN también han aumentado considerablemente. Como muestra de la gravedad de la situación, en marzo la Agencia de Seguridad de Infraestructuras y Ciberseguridad (CISA) del Departamento de Seguridad Nacional de Estados Unidos publicó la alerta AA20-073A sobre la seguridad de las VPN empresariales.
En esencia, las VPN amplían el perímetro de la red empresarial y permiten a los usuarios acceder a las aplicaciones corporativas desde cualquier lugar. En la práctica, la infraestructura local queda a «un salto» (o un clic) del dispositivo del usuario. Del mismo modo, el riesgo de seguridad para los activos corporativos también queda a un solo salto. Es posible que los atacantes ya no tengan que vulnerar sofisticadas capas de seguridad perimetral (proxies, WAF, sistemas de detección de intrusiones, etc.); una única vulnerabilidad o una implementación poco segura de una VPN podría bastar para dejar expuestos los activos corporativos y la información personal.
En este artículo, nos centraremos en algunas de las áreas clave que resultan fundamentales para evaluar la seguridad de su VPN.
Estado de seguridad de los endpoints
Los usuarios suelen iniciar un túnel VPN SSL desde sus dispositivos de punto final, como ordenadores de sobremesa, portátiles y móviles. Estos dispositivos se convierten tanto en puntos de entrada como en objetivos prioritarios para los agentes maliciosos que intentan utilizarlos como vectores de ataque. Por lo tanto, es importante asegurarse siempre de que un dispositivo de punto final sea seguro antes de establecer un túnel VPN. La seguridad de los puntos finales es un enfoque estratégico para garantizar que un dispositivo cliente no suponga un riesgo de seguridad antes de concederle una conexión de acceso remoto a la red. Esta estrategia puede incluir, por ejemplo, la comprobación sistemática del certificado del equipo cliente, la verificación del tipo de cliente o de la versión del navegador del cliente, la comprobación de los parches del software antispyware y antivirus, y la inspección de las reglas del cortafuegos del cliente.
La evaluación de la postura de seguridad de los endpoints suele realizarse al iniciar la sesión, antes de establecer un túnel VPN, aunque también puede llevarse a cabo periódicamente durante la sesión VPN del usuario. La evaluación continua de la postura de seguridad de los endpoints mitiga los riesgos posteriores al comprobar que estos no se hayan visto comprometidos tras el establecimiento del túnel VPN inicial.
Autenticación y autorización de usuarios
La autenticación consiste en verificar la identidad de los usuarios antes de establecer un túnel VPN. La verificación de las credenciales de los trabajadores remotos garantiza que solo los usuarios legítimos tengan acceso a los recursos y las aplicaciones internos.
Sin embargo, con el auge de las técnicas de relleno de credenciales y apropiación de cuentas (ATO), un atacante podría estar en posesión de credenciales de usuario válidas y eludir la autenticación de un solo factor. Por tanto, resulta esencial implementar la autenticación multifactor en su VPN.
Autenticación multifactor (MFA)
La MFA mejora la seguridad al exigir que los usuarios proporcionen dos o más factores de autenticación verificables antes de establecer un túnel VPN. Según las estimaciones del sector, este enfoque permite a la MFA bloquear eficazmente el 99,9 % de los ataques de apropiación de cuentas (ATO). Los factores de autenticación más habituales son:
- Algo que el usuario sabe, como una contraseña, un PIN o un gesto en el panel táctil
- Algo que el usuario tiene, como un token físico o de software, o un certificado
- Algo que el usuario es, es decir, un dato biométrico, como una huella dactilar, un escaneo de retina o el reconocimiento facial o de voz
Una vez autenticado el usuario, las políticas de autorización evalúan su conjunto de permisos para concederle acceso específico a recursos y aplicaciones internos, así como para aplicar las restricciones pertinentes. El acceso se concede mediante distintos modelos de permisos, como el control de acceso basado en roles (RBAC). Se pueden aplicar privilegios y preferencias específicos a los usuarios de VPN mediante la implementación de controles de seguridad adicionales, como las listas de control de acceso (ACL), durante el establecimiento del túnel VPN.
Confidencialidad e integridad de los datos
El cifrado garantiza la confidencialidad y la integridad de los datos corporativos mientras se transmiten a través de redes compartidas o públicas mediante el túnel VPN.
Para revelar datos confidenciales, los actores maliciosos pueden intentar robar claves privadas, aprovechar vulnerabilidades conocidas en la implementación criptográfica o vulnerar parámetros criptográficos débiles.
Al configurar una VPN SSL, debe tener en cuenta la gestión del intercambio de claves y la robustez de los cifrados criptográficos. Las versiones anteriores a TLS1.3 contienen vulnerabilidades conocidas tanto en la definición del protocolo como en su implementación. Otros ataques incluyen el uso indebido de la renegociación del cliente y el empleo de primitivas criptográficas débiles, como el cifrado de flujo RC4 y los cifrados de grado de exportación.
Ataques DDoS contra VPN
Cuando la mayoría o la totalidad de sus empleados trabajan de forma remota, la disponibilidad de su servidor VPN (también denominado en ocasiones concentrador VPN) se vuelve fundamental para la continuidad del negocio. Por otro lado, los servidores VPN pueden convertirse en un objetivo prioritario para los agentes maliciosos que intentan saturarlos con solicitudes automatizadas, distribuidas y aleatorias, impidiendo así que los usuarios legítimos puedan acceder a la VPN.
Las VPN SSL son accesibles a través de una dirección IP/URL (desde el navegador web o configuradas en un cliente VPN), lo que las hace vulnerables a los mismos patrones de ataque DDoS dirigidos contra servidores web, como las inundaciones HTTP, las inundaciones SSL, la renegociación SSL, los ataques combinados TCP, etc.
Por lo tanto, para garantizar la continuidad del negocio a través de su VPN, puede ser esencial configurarla para detectar y mitigar los ataques DDoS como parte de una estrategia de seguridad más amplia.
Más recursos:
Sobre los autores
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.