Frustra los ataques y devuelve el favor: la respuesta de F5 ante incidentes de seguridad corre por nuestra cuenta
La mayoría de los atacantes no van a por ti. Al menos, no al principio. Por lo general, adoptan un enfoque extremadamente amplio antes de centrarse en organizaciones que presentan la vulnerabilidad específica que intentan explotar. A menos que seas un objetivo especialmente valioso (por ejemplo, una entidad financiera, una gran empresa minorista o un organismo público), no es nada personal. Probablemente, simplemente tengas la vulnerabilidad que buscan, lo cual, hay que reconocerlo, no sirve de mucho consuelo cuando estás sufriendo un ataque.
Desde una perspectiva más amplia, los atacantes suelen buscar el mismo tipo de cosas en todos los casos, por lo que, en teoría, compartir conocimientos resulta muy beneficioso. Sin embargo, esto suele fallar en la práctica, ya que la mayoría de las organizaciones no disponen de un mecanismo para: a) incorporar las lecciones aprendidas de incidentes de seguridad anteriores en el sector; o b) comunicar sus experiencias de forma anónima para que otras puedan evitar los mismos errores. Por consiguiente, la información sobre campañas de ataque activas que aprovechan vulnerabilidades nuevas (o conocidas) no se difunde tanto como debería, y seguimos viendo titulares sobre brechas de seguridad que tienen su origen en las mismas vulnerabilidades y exploits subyacentes. Por ejemplo, en 2017, ¿cuántas víctimas de WannaCry utilizaban software sin soporte o que había llegado al final de su vida útil y cuyos problemas estaban ampliamente documentados? La respuesta: muchas.
Para ser justos, gran parte de esto resulta comprensible en su contexto. Proporcionar información a la comunidad en general no es lo primero en lo que piensa un profesional de la seguridad mientras sufre un ataque, posiblemente una brecha de seguridad, y afronta la presión de responder a un incidente de emergencia, al tiempo que se encuentra bajo el escrutinio de un departamento jurídico que hace todo lo posible por contener la información sobre el incidente hasta que se esclarezcan los hechos. Suponiendo que no esté sometido a un nivel de estrés abrumador y que aún se sienta lo bastante altruista, ¿qué podría hacer, en teoría, para ayudar al resto del sector? Compartir los archivos descubiertos con VirusTotal podría ser una opción, pero probablemente no podría hacer mucho más que dejarlos allí antes de volver a la tarea más urgente de proteger su organización (y, quizá de forma más inmediata, su puesto de trabajo). Lo ideal sería contar con un equipo de refuerzo cualificado, preparado y capaz de ayudarle rápidamente a responder a la crisis: profesionales especializados que puedan analizar la información, ofrecer orientación inmediata para mitigar el problema y, después, ayudarle a usted (y a los demás internautas) a preparar mejor la red para repeler futuros ataques.
Vuelta al trabajo
Aquí es donde entra F5. Si es cliente, su contrato de soporte incluye asistencia gratuita (sí, GRATIS) para responder a incidentes de emergencia. Esto no solo le permite obtener la ayuda que necesita en los momentos más críticos, sino que también ofrece una vía para analizar, recopilar y sintetizar las experiencias de múltiples organizaciones en beneficio del conjunto. Si se enfrenta a una amenaza inminente, basta con llamar al soporte técnico de F5 y explicar que está sufriendo un incidente de seguridad para que le pongan directamente en contacto con el Equipo de Respuesta a Incidentes de Seguridad de F5 (SIRT). Este equipo internacional está formado por ingenieros de seguridad —con atención en más de una docena de idiomas— que cuentan con una amplia experiencia en respuesta a incidentes y están disponibles las 24 horas del día, los 365 días del año. Y, aunque posteriormente abordarán los aspectos generales de seguridad pertinentes para ayudarle a prepararse mejor ante futuros incidentes, el principal objetivo del SIRT de F5 es ayudarle a contener los daños y darle tiempo para desarrollar una solución de mitigación a más largo plazo para su empresa.
El personal global del SIRT de F5 también puede recurrir a una amplia selección de opciones de mitigación que ofrecen los productos o servicios de F5 en los entornos de los clientes, como Advanced WAF (incluidos Proactive Bot Defense, CAPTCHA y otros), AFM, IP Intelligence (IPI), GeoIP, diversas opciones de protección contra ataques de fuerza bruta y muchas otras soluciones. También puede solicitar la intervención del equipo de Silverline de F5 o recomendar protección adicional contra ataques DDoS o mediante WAF basada en la nube cuando resulte oportuno. Cuando corresponda, estas y otras soluciones están disponibles a través del equipo de ventas de F5.
El equipo SIRT está especialmente capacitado para trabajar con las iRules programables de F5, que se desarrollan e implementan rápidamente para modificar los flujos de tráfico. ¿Con qué rapidez? Aunque la complejidad del problema siempre será un factor determinante, las iRules personalizables pueden prepararse en cuestión de minutos y el cliente puede implementarlas en cuestión de horas (siguiendo, por supuesto, los procedimientos adecuados de control de cambios de emergencia).
Veamos un breve ejemplo: un cliente de F5 estaba sufriendo un ataque de fuerza bruta contra servidores RDP situados detrás de un dispositivo F5. Los servidores estaban abiertos a Internet y debían ser accesibles para que la empresa pudiera desarrollar su actividad, pero solo desde un conjunto específico de rangos de red. Para mitigar el ataque, se desarrolló junto con F5 SIRT una iRule que utilizaba un grupo de datos para comprobar la IP del cliente frente a un conjunto de redes externas «conocidas y de confianza» y descartar todo el tráfico que no procediera de una de ellas. Esto permitió mitigar el ataque de forma eficaz y mejorar la postura de seguridad del cliente. Además, este enfoque conservaba la posibilidad de añadir o eliminar redes de la lista de confianza —el cliente podía configurar grupos de datos específicos en la interfaz gráfica de usuario— para prevenir ataques similares en el futuro.
Volver a la comunidad
Si, durante la investigación de un incidente, se descubren detalles relevantes, como un nuevo exploit, una campaña, un malware o una vulnerabilidad que no se haya observado antes en entornos reales o que no se conozca especialmente bien, el equipo SIRT de F5 puede recurrir a una red de equipos de toda la empresa para obtener perspectivas adicionales. Este enfoque permite aunar eficazmente los conocimientos de los investigadores de amenazas, los desarrolladores de productos de seguridad y otros expertos de F5 para analizar los hallazgos y ofrecer mejores medidas correctivas de cara al futuro. Si se considera oportuno publicar algún elemento para beneficiar al sector en general, no se divulga ningún dato sobre clientes concretos ni incidentes específicos. La información se limita al descubrimiento y el comportamiento de una amenaza determinada —como hicimos con PyCryptoMiner—, junto con orientaciones generales cuando corresponda.
Puede proteger y gestionar mejor su infraestructura sabiendo que los equipos de expertos de F5 están preparados para ayudarle y que, en caso de sufrir un ataque, no tendrá que enfrentarse a una montaña de trámites burocráticos y papeleo para obtener la ayuda que necesita. Además, tendrá la tranquilidad de saber que otros clientes no tendrán que correr la misma suerte y que, con el tiempo, su organización también estará más segura gracias a este enfoque basado en compartir conocimientos de valor incalculable.
Entonces, ¿qué gana F5 con todo esto? Evidentemente, queremos que las empresas estén operativas y desarrollen su actividad con éxito y de forma segura; el éxito de nuestros clientes impulsa el de F5. Además, somos conscientes de que los incidentes de seguridad no solo afectan a la entidad atacada, sino que suelen tener un efecto dominó sobre sus clientes y socios y, en ocasiones, llegan mucho más lejos. (A modo de ejemplo, los usuarios suelen utilizar contraseñas iguales o similares en varios sitios, lo que aumenta considerablemente el alcance de un incidente de seguridad; por ejemplo, se descubrió que los usuarios de Sony y Yahoo utilizaban las mismas contraseñas para ambas cuentas en el 59 % de los casos). Sin caer demasiado en la hipérbole, este efecto dominó puede afectar a cualquiera que haga negocios en Internet. (Otro inciso: las investigaciones indican que, actualmente, hay una media de tres registros comprometidos por cada usuario de Internet).
Nosotros —es decir, el sector— podemos mejorar la forma en que abordamos los problemas subyacentes que hacen vulnerables a los sistemas creando oportunidades para compartir información relevante sobre los ataques y las principales lecciones aprendidas. Con el SIRT de F5, esto comienza por facilitar que los clientes contribuyan de forma ventajosa al bien común y, al mismo tiempo, mejoren su propia situación.
Para obtener más información y ponerse en contacto con el equipo de respuesta a incidentes de seguridad (SIRT) de F5, visite su página web.