Habilitación mediante SDN del intercambio de amenazas entre ISP

F5

Artículo invitado del director ejecutivo de TAG Cyber LLC, una empresa global de asesoramiento, formación, consultoría y servicios de comunicación en materia de ciberseguridad que presta apoyo a cientos de empresas de todo el mundo.

Una creencia ampliamente extendida en nuestra comunidad de seguridad es que el intercambio de información sobre ciberamenazas de alta calidad beneficia a los equipos encargados de las operaciones, el análisis y la respuesta. Por supuesto, para que resulte beneficioso, el intercambio de información sobre amenazas debe ser realmente de alta calidad. Por suerte, hoy en día existen buenas plataformas comerciales que facilitan la creación, la gestión y el funcionamiento de un grupo eficaz de intercambio de información sobre amenazas. Por tanto, los equipos de seguridad que aún no comparten datos tienen pocas excusas para no hacerlo.

Otra creencia ampliamente extendida en nuestra comunidad es que los ciberataques son cada vez más rápidos, inteligentes y difíciles de detectar. Estas características se están logrando mediante algunas de las tecnologías financiadas en Sand Hill Road: automatización, aprendizaje automático y autonomía. Los denominados «ataques sintéticos» resultantes son demasiado rápidos y difíciles de detectar para cualquier respuesta manual coordinada por personas, lo que supone una perspectiva alarmante para los equipos de seguridad.

F5 Networks, en colaboración con TAG Cyber, organizó recientemente un grupo de trabajo durante F5 Agility 2018 en Boston para analizar estas dos cuestiones —el intercambio de información sobre amenazas y la ofensiva cibernética sintética— en el contexto de un factor adicional. En concreto, se pidió al grupo de trabajo que llevara a cabo su análisis teniendo en cuenta una tendencia tecnológica emergente que podría ofrecer ventajas prometedoras a los equipos de seguridad: las redes definidas por software (SDN).^[1]

El grupo de trabajo, compuesto por participantes del sector invitados principalmente de la comunidad mundial de proveedores de servicios^[2], fue convocado para debatir, intercambiar opiniones y centrarse en la siguiente cuestión fundamental: ¿Puede la infraestructura emergente de los proveedores de servicios basada en SDN proporcionar una plataforma colectiva subyacente para el intercambio automatizado de información sobre ciberamenazas entre operadores mundiales, a fin de reducir el riesgo de ataques sintéticos?

Para abordar esta cuestión con múltiples vertientes, el grupo de trabajo identificó tres preguntas más específicas que permitirían organizar y centrar los debates, así como formular una respuesta conjunta:

· SDN para la seguridad – ¿Cuáles son las ventajas y desventajas relevantes de las SDN para la ciberseguridad?

· Mejora del intercambio entre ISP – ¿Qué estrategias se pueden seguir para mejorar el intercambio global entre ISP?

· Requisitos funcionales – ¿Qué funciones de la plataforma permiten el uso compartido mediante SDN?

Durante la actividad del grupo de trabajo se plantearon muchos otros temas relevantes, pero estas tres preguntas específicas resultaron eficaces para llegar a la conclusión de que la infraestructura SDN proporciona, en efecto, una base excelente para permitir el intercambio automatizado de información sobre amenazas entre operadores. De hecho, el grupo de trabajo acordó este principio básico: para detener los ataques automatizados y sintéticos, los proveedores de servicios tendrán que recurrir a defensas automatizadas.

SDN para la seguridad

La primera pregunta se centró en cómo las SDN pueden proporcionar una base eficaz para la seguridad, frente a cómo proteger las propias SDN (un tema que se consideró fuera del alcance de esta iniciativa). Para ello, los participantes expusieron sus opiniones sobre los siguientes aspectos de las SDN, considerados especialmente adecuados para el intercambio dinámico y automatizado de información sobre amenazas entre múltiples implementaciones de infraestructuras de proveedores de servicios:

• Visibilidad del controlador – El controlador SDN tiene visibilidad centralizada de todos los dispositivos gestionados. Esta visibilidad permitió automatizar por completo la recepción, el tratamiento y la entrega de la telemetría de los dispositivos gestionados para compartirla externamente. Esto podía hacerlo de forma nativa el controlador, aprovechando su visibilidad a través de la interfaz sur, o bien sensores desplegados específicamente que trabajasen con una aplicación SDN a través de la interfaz norte.
• Compatibilidad con el fallo rápido – La automatización de la función de intercambio requerirá la capacidad de innovar mediante nuevas prestaciones y funcionalidades; para ello, la infraestructura basada en software permite introducir rápidamente funciones que podrían tener éxito o fracasar con rapidez (para poder identificarlas y sustituirlas rápidamente). Así, la orientación al software de las SDN proporciona un entorno más flexible para crear nuevas capacidades.
• Potencial de autodefensa – El grupo de trabajo dedicó un tiempo considerable a analizar las posibilidades de que el software desarrolle capacidades de autodefensa. Esto parece ser un componente esencial de cualquier sistema de defensa de la seguridad que deba hacer frente a la velocidad y el alcance de los ataques sintéticos automatizados. La detección dinámica de indicadores, seguida de una respuesta autónoma, será un requisito para que las SDN permitan el intercambio de información.

Mejora del intercambio de información entre ISP

La segunda pregunta se centró en cómo podrían los ISP globales mejorar, en términos generales, el intercambio actual de información sobre amenazas. Se debatieron ampliamente las diferencias y similitudes entre los métodos utilizados en la comunidad de proveedores de servicios y los procedimientos y métodos de intercambio de gran repercusión empleados en el sector de los servicios financieros.^[3] Así pues, el grupo de trabajo formuló las siguientes recomendaciones para mejorar el intercambio en el contexto de las SDN emergentes:

• Grupos y asociaciones – Muchas de las mejores iniciativas de intercambio de información sobre amenazas en la comunidad mundial de proveedores de servicios de Internet han surgido de grupos de trabajo ad hoc o de asociaciones multilaterales entre operadores para resolver un problema concreto mediante el intercambio de información. Esto indica que la habilitación del intercambio automatizado mediante SDN deberá permitir la creación de comunidades, acuerdos temporales y grupos de confianza dinámicos.
• Inclusión de cooperativas de proveedores – La comunidad de proveedores de servicios de Internet (ISP), al igual que el sector de los servicios financieros, incluye cientos de pequeños proveedores de servicios y empresas de servicios de comunicaciones. Estas cooperativas más pequeñas necesitarán soporte funcional para el intercambio automatizado a través de sus proveedores o de sus relaciones de servicios en la nube. Se las podría incorporar a grupos de intercambio automatizado mediante diversos incentivos comerciales o financieros.
• Normas para el intercambio global – El intercambio de información sobre amenazas entre un conjunto significativo de operadores internacionales diversos no puede regirse por una única política de aplicación común. Por el contrario, cualquier iniciativa de intercambio automatizado requerirá un acuerdo basado en normas, por el que la mayoría de los operadores decidan voluntariamente incluir flujos de datos de salida y entrada en un ecosistema común de intercambio.

Requisitos funcionales

La tercera pregunta se centró en identificar los requisitos funcionales de las plataformas SDN y las soluciones de los proveedores que permitirían el intercambio automatizado de información sobre amenazas entre operadores. El grupo de trabajo coincidió en que los proveedores están motivados para atender a sus clientes y responderán mejor si los grupos de usuarios organizan sus necesidades en estándares de trabajo. Las principales características funcionales identificadas para el intercambio basado en SDN son las siguientes:

• Arquitectura del bus de amenazas – El grupo de trabajo creó el denominado concepto de bus de amenazas, que servía como destino funcional abstracto para la información compartida sobre amenazas. El bus de amenazas tendría que gestionar y proteger adecuadamente la información, así como respetar atributos tales como los grados de atribución, los niveles de confianza, etc. Sería necesario seguir trabajando para especificar cómo se implementaría el bus.
• Protocolos e interfaces estándar – El grupo de trabajo determinó que los protocolos de intercambio de información sobre amenazas basados en estándares eran esenciales para el correcto funcionamiento de cualquier ecosistema automatizado. Los conocidos protocolos STIX y TAXII se utilizaron como ejemplos de estándares que debían incluirse en los nuevos diseños de SDN. Aunque nada en SDN debería impedir este tipo de iniciativas, hasta la fecha no han constituido un objetivo explícito de ningún trabajo sobre SDN del que el grupo tuviera conocimiento.
• Soporte basado en casos de uso – El grupo de trabajo insistió en que los diseños funcionales debían basarse en casos de uso. Esto permite introducir el intercambio automatizado de forma gradual. Uno de los casos de uso analizados consistía en que distintos operadores se alertaran mutuamente —de forma automatizada— si un ataque detectado parecía proceder de la infraestructura del otro operador.

Los siguientes pasos recomendados por el equipo de trabajo fueron los siguientes: (1) publicar este artículo, fruto del debate del grupo, para ayudar a otras iniciativas relacionadas en su proceso de planificación; (2) trasladar los resultados del estudio a cada una de las organizaciones participantes para fomentar ideas sobre el intercambio basado en SDN e influir en la actividad de normalización; y (3) entablar conversaciones con la comunidad de proveedores para recomendar que se preste más atención a este ámbito fundamental.

La conclusión de este grupo de trabajo es fácil de exponer: en efecto, todos los miembros coincidieron en que, de hecho, la infraestructura emergente de los proveedores de servicios habilitada para SDN puede proporcionar una plataforma colectiva subyacente para el intercambio automatizado de información sobre ciberamenazas entre operadores globales, a fin de reducir el riesgo de ataques sintéticos. Llegar a esta conclusión resultó muy alentador para el equipo, dada la intensidad reconocida de los ataques sintéticos automatizados.

Elaborado por TAG Cyber LLC: https://www.tag-cyber.com/

[1] Se remite a los lectores que deseen un análisis exhaustivo de los fundamentos de las redes definidas por software (SDN) a Software Defined Networks – A Comprehensive Approach, de Paul Goransson y Chuck Black (Morgan Kaufman, 2014).

[2] Para respetar la privacidad de los participantes y de sus organizaciones, esta nota solo hace referencia de forma general a las conclusiones y recomendaciones formuladas durante la sesión del grupo de trabajo, en lugar de mencionar los nombres de los expertos o grupos representados en el estudio. Los participantes tuvieron la oportunidad de revisar esta nota y proponer modificaciones, pero cualquier error que aún pueda contener es responsabilidad del autor.

[3] Una de las principales conclusiones del grupo de trabajo es que el sector de los servicios financieros es el que promociona públicamente con mayor eficacia sus herramientas y métodos para compartir información sobre amenazas, así como su ecosistema FS-ISAC.

Sobre el autor

F5

Más artículos de F5