¿Cómo protegernos contra Ransomware?

Posted on 26/04/202226/04/2022

Por: Gustavo Medina / Cisco Systems

Si el cibercrimen se midiera como un país, entonces el delito cibernético ya sería la tercera economía más grande del mundo después de EE. UU. y China y el Ransomware definitivamente es una de sus practicas mas lucrativas. El ransomware es un software malicioso (malware) que se utiliza en un ciberataque para cifrar los datos de la víctima con una clave de cifrado que es conocida solo por el atacante, lo que hace que los datos sean inutilizables hasta que se realice el pago de un rescate (normalmente en criptomonedas, como Bitcoin); además los atacantes a menudo extorsionan y amenazan con vender o filtrar datos extraídos si no se paga el rescate.

En estos últimos días este tema ha estado en muchos titulares de noticias. Por ejemplo, el grupo cibercriminal Conti permanece muy activo y los ataques de ransomware de Conti reportados contra organizaciones estadounidenses e internacionales han aumentado a más de 1,000 según la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA). Navegando al propio blog de este grupo en la dark web donde publican o venden archivos confidenciales robados a las víctimas que se niegan a negociar el pago del rescate podemos ver que publican información para ejercer presión.

En general, algunas organizaciones consideran que pagar el rescate es la forma más rentable de recuperar sus datos y desafortunadamente, esto puede ser cierto; el año pasado el grupo de ransomware conocido como DarkSide fue responsable de un ataque en Estados Unidos que provocó que Colonial Pipeline (un sistema de oleoducto) cerrara 5550 millas de tubería, dejando varados innumerables barriles de gasolina, diésel y combustible para aviones en la costa este y la compañía terminó pagando cerca de 5 millones de dólares a este grupo para retomar las operaciones.

Sin embargo, los organismos encargados de hacer cumplir la ley recomiendan no pagar debido a que hacerlo fomenta que esta actividad delictiva continue e incluso ya en algunos países pagar el rescate podría ser ilegal ya que proporciona financiación a actividades delictivas. Otro punto importante cuando se trata del sector público es que seguramente ningún contribuyente estaría contento si el dinero de sus impuestos se utilizara para pagar a cibercriminales.

Recientemente el FBI giró una alerta advirtiendo que las agencias gubernamentales locales son objetivos atractivos para que los cibercriminales ataquen con ransomware porque supervisan servicios críticos de los que depende el pueblo causando interrupciones en la atención médica, los servicios de emergencia y las operaciones de seguridad.

Muchas personas me han preguntado de este tema en estos días y una de las cosas que me llama la atención es la idea equivocada que se tiene de como operan estos grupos criminales, algunos creen que operan como en las películas en las que un hacker esta en su garaje o habitación tratando de vulnerar un objetivo. La realidad es que estos grupos funcionan como cualquier compañía de tecnología lícita con un departamento de recursos humanos, programas de empleado del mes e incluso revisiones de desempeño. Como en cualquier compañía también pueden existir empleados descontentos; justamente esto hizo que un empleado de Conti filtrara en la dark web un Manual de Ransomware utilizado por este grupo.

Nuestro equipo de investigación e inteligencia frente a amenazas Talos cuenta con un equipo de hablantes nativos dedicados que tradujeron estos documentos en su totalidad al inglés para entender mejor su operación. Estos documentos traducidos de cirílico revelan que en estos grupos cibercriminales hasta personas no muy técnicas pueden llevar a cabo ataques de ransomware contra organizaciones siguiendo instrucciones detalladas.

¿Cómo protegernos?

Invertir en resiliencia de seguridad, también conocida como resiliencia cibernética, le permite a las organizaciones resistir las amenazas impredecibles de hoy y emerger más fuertes. La resiliencia cibernética se refiere a la capacidad de una organización para identificar, responder y recuperarse rápidamente de un incidente de seguridad de TI. Desarrollar resiliencia cibernética incluye hacer un plan centrado en el riesgo que asume que la empresa en algún momento enfrentará una brecha o un ataque. Ademas es fundamental prestar atención al panorama de amenazas actual y mantenerse al día, así como asegurarse que la inteligencia detrás de las inversiones en soluciones de ciberseguridad esta respaldada por un grupo reconocido en la industria.

Los métodos de seguridad no solo deben centrarse en la detección, sino que también deben incluir la capacidad de mitigar el impacto una vez que entra el atacante. Las organizaciones deben analizar su modelo de seguridad de manera holística y obtener visibilidad y control en todos los niveles: antes de que ocurra un ataque, durante el tiempo que está en progreso e incluso después de que comience a dañar los sistemas o robar información.

En Cisco contamos con una guía de diseño validada para la protección contra Ransomware que incluye los siguientes componentes:

Seguridad de DNS con Cisco Umbrella
Seguridad de Correo Electrónico con Cisco Secure Email
Multi-Factor de Autenticación y Evaluación de Postura con Cisco Secure Access by Duo
Anti-Malware con Cisco Secure Endpoint y Cisco Secure Malware Analytics
Detección y Respuesta de Red con Cisco Secure Network Analytics
Investigación y Respuesta de Incidentes con Cisco SecureX Threat Response
Inteligencia frente a amenazas con Cisco Talos

Para obtener más detalles sobre esta guía de diseño pueden ir al siguiente enlace:

https://www.cisco.com/c/en/us/solutions/collateral/enterprise/design-zone-security/breach-defense-design-guide.html

Podemos ayudarlo a detectar y proteger su empresa de amenazas: De click aquí.

Los 9 temas principales para los CISO de cara a 2022

Posted on 25/01/202225/01/2022

Por: Juan Marino / Cisco Systems

Es esa época del año en que inevitablemente terminamos reflexionando un poco sobre lo que pasó. Generalmente, hacemos una lista de resoluciones para el próximo año, nuestras prioridades y cómo alcanzarlas. Durante los últimos meses, tuve la oportunidad de conversar con decenas de CISOs de diferentes países y, de estas conversaciones surgieron nueve temas prioritarios para 2022.

#1: Mejorar la comunicación entre los directivos

Existe el potencial de optimizar la comunicación entre los equipos de alta dirección, los consejos asesores, los equipos de liderazgo ejecutivo y los CISO. Si bien algunos informaron que tenían oportunidades adecuadas para interactuar, la mayoría de los CISO que escuchamos compartieron que las conversaciones que tenían a menudo no estaban estructuradas y a menudo no tenían una cadencia regular. Como era de esperar, también hubo una sensación de que el rol de CISO sigue siendo más valorado cuando hay una crisis y, por el contrario, empujado hacia abajo en la lista de prioridades cuando no está sucediendo un incidente.

Las tres formas en que esto podría mejorarse como se discutió en los eventos a los que asistimos son 1) un modelo de gobierno estructurado con representación de alto nivel 2) un conjunto acordado de KPI que reflejen los requisitos comerciales y 3) oportunidades regulares para demostrar cómo la seguridad es un facilitador del negocio.

#2: Garantizar que la seguridad sea resistente al cambio empresarial

Los CISO revelaron que la resiliencia es un tema cada vez más importante en un sentido más amplio y, por lo tanto, es esencial que la seguridad sea resistente al cambio y pueda moverse con el negocio. Esto se puede lograr planificando las actividades de continuidad del negocio / recuperación ante desastres con anticipación y compartiendo la propiedad de ellas. Los CISO deben incluirse en las actividades de BC/DR, ya que su aporte sigue siendo esencial en este proceso, pero existe una clara necesidad de más acciones, como el ejercicio superior tangible para incluir la gestión empresarial en la discusión.

#3: El riesgo debe ser un problema compartido

En más de una ocasión, los CISO dijeron que cuando el tema del riesgo surgió durante las discusiones de la junta, el equipo de seguridad fue descrito como una pequeña isla por sí sola. Establecer la propiedad del riesgo y el reconocimiento del riesgo con los colegas de negocios a menudo puede ser difícil, pero para mitigar los riesgos futuros, existe una gran necesidad de identificar a varios propietarios de riesgos en el negocio y no simplemente delegarlo en el CISO.

#4: Preparándose para “La Gran Resignación”

Hubo una opinión de que la contratación de nuevo personal era difícil e incluso con requisitos amplios, puede llevar meses identificar una nueva contratación, lo que a menudo conduce a la situación indeseable de correr con equipos esbeltos. Actualmente se está escribiendo mucho sobre la “gran renuncia”, que es probable que continúe interrumpiendo todas las industrias en este nuevo año. Por lo tanto, es justo decir que es probable que este problema empeore antes de mejorar. Algunos CISO están viendo el trabajo remoto como una posible solución; Los equipos distribuidos se ven como una necesidad en algunas circunstancias, pero también existe la necesidad de que los equipos se reúnan cara a cara de manera regular.

#5: Mantener al equipo de TI fuera de la oscuridad

Para muchos CISOs, un problema creciente que debe ser abordado es de nuevas soluciones creadas sin el conocimiento de los equipos de seguridad, incluso cuando se establecen directrices claras que prohíben tal comportamiento dentro de las empresas. Con frecuencia, la velocidad y la disponibilidad tienden a prevalecer sobre los factores de seguridad. Como resultado, se enfrentan constantemente al problema del equipo de “TI en la oscuridad”, que aumentará a medida que más y más empresas se mueven en la nube. La solución de los desafíos de TI comienza con la usabilidad, evitando soluciones alternativas arriesgadas

#6: ¿Luz al final del túnel para la gestión de riesgos de terceros?

Esto sigue siendo un problema, especialmente en torno a las evaluaciones de terceros que a menudo son muy largas, en un formato no estándar y realizadas con plazos muy cortos para una respuesta. La buena noticia aquí es que se está trabajando para producir marcos que garanticen una certificación estandarizada para terceros, como en el sector de servicios financieros del Reino Unido, con la Declaración de Supervisión del Banco de Inglaterra – SS2/21: Outsourcing y gestión de riesgos de terceros, que entra en vigencia el 31 de marzo de 2022. El progreso en esta área seguramente será muy bienvenido, dado lo mucho que los CISO necesitan poder confiar en los procesos probados, pero los CISO aún deben asegurarse de que su alcance de áreas de riesgo sea lo suficientemente amplio como para incluir a cualquier proveedor o empleado que tenga acceso de inicio de sesión remoto a cualquier aplicación empresarial. Eso incluye a cualquier subcontratista que pueda trabajar para el contratista, ya que el intercambio de credenciales es común en todas las empresas.

#7 Más enfoque en los datos y la privacidad

Este es un problema en el que no se reconoce el valor de los datos. La privacidad se está regulando cada vez más con la entrada en vigor de la regulación regional y local. El juicio de Schrems también requerirá que los CISO se centren más en los datos y en dónde se almacenan.En los últimos años ha habido un gran enfoque en las reglas GDPR de la UE, lo que ha revelado las áreas en las que los CISO han estado enfocando su energía cuando se trata de datos y privacidad. En términos generales, estos incluyen verificar la identidad del usuario, verificar el estado de todos los dispositivos del usuario y asegurar el acceso a cualquier aplicación. Para obtener más detalles sobre cada uno de estos, a continuación se puede encontrar un enlace a nuestra guía de privacidad de datos que se puede aplicar a áreas fuera de GDPR.

#8 Gestión de la deuda de seguridad

Los CISO dejaron en claro que el tema de la deuda técnica o la deuda de seguridad está ganando importancia. La necesidad de gestionar sistemas más antiguos mientras se adapta al nuevo entorno y el riesgo y el costo en que esto incurre es especialmente importante a considerar en el área de tecnología operativa (OT).Además, algunos sistemas OT no se pueden parchear fácilmente o incluso tienen herramientas de seguridad básicas como anti-malware instalado en ellos. Finalmente, este problema es especialmente pertinente cuando los sistemas todavía utilizan software de fin de vida útil (EOL) que sigue siendo crítico para la organización.Para citar a mi colega de CISO de Global Advisory, Dave Lewis, en su presentación de la Cumbre Virtual de Ciberseguridad 2021 a principios de este año, “Deuda de seguridad, corriendo con tijeras” para rastrear y abordar la deuda de seguridad, las organizaciones deben desarrollar e implementar procesos definidos y repetibles. Deben buscar estrategias como el modelo de confianza cero, confiar pero verificar, saneamiento de entradas y salidas, y por supuesto, asegurarse de ejecutar parches.

#9 Ransomware, ransomware y más ransomware

Este es el principal problema táctico que preocupa a los CISOs. Para obtener información sobre lo que puede hacer para proteger su empresa contra el ransomware, consulte el reciente estudio de Cisco Secure sobre el tema. En este informe, les ayudará a decidir dónde enfocar sus esfuerzos. El Security Outcomes Study vol.2, se realizó de forma independiente y se basa en una encuesta con más de 5.000 profesionales activos de TI, seguridad y privacidad en 27 países. Usted encontrará las cinco principales prácticas clave para aumentar la eficiencia de la seguridad de la información de su empresa, principalmente contra los ataques de ransomware.

Cisco SASE – Agilidad, automatización y seguridad para todo tipo de usuarios en la modalidad de trabajo híbrido

Posted on 14/09/202114/09/2021

Por: Ramón Viñals / Cisco Systems

Este último año nos ha enseñado las eficiencias operativas y productivas relacionadas con diferentes formas de trabajar. No hay empresa que no haya reevaluado, la forma más costo-efectiva para que sus colaboradores trabajen.

Algunas empresas han definido que algunos usuarios se queden trabajando desde casa o en lugares de espacio compartidos. Otras empresas están evaluando que sus colaboradores sólo vayan dos o tres días a la semana a la oficina, reduciendo los espacios de oficinas. En otros casos, vemos cómo sucursales que tenían un fin para usuarios que atendían a clientes, ahora albergarán a usuarios administrativos con el propósito de distribuir de mejor forma a los diferentes tipos de colaboradores.

Sea cual sea la decisión, las condiciones actuales nos están llevando a un mundo de trabajo híbrido. Esto combinado con la aceleración de adopción de servicios basados en nube, se requiere una aproximación diferente para proporcionar flexibilidad para conectar a los usuarios de manera eficiente desde casa, desde la sucursal o desde cualquier lugar.

Sin embargo, esta flexibilidad rompe con los paradigmas tradicionales de conectividad y de seguridad, ya que las organizaciones no pueden poner en peligro la seguridad y el control de los datos, aplicaciones y dispositivos. Se requiere de una forma sencilla para que las áreas de tecnologías de información tengan visibilidad de lo que ocurre, puedan automatizar fácilmente y de manera ágil cambios en la conectividad de los usuarios y se tengan los mejores mecanismos de prevención y seguridad, independiente del lugar donde estén los usuarios.

Para afrontar estos retos, Cisco SASE cubre los diferentes casos de uso que las empresas puedan tener en base a sus decisiones del trabajo híbrido, identificando una única arquitectura de conectividad y seguridad convergente para cada caso.

Los casos de uso principales a nivel general son:

Usuarios Remotos Seguros – Cisco SASE puede adaptarse a los requerimientos de cada tipo de usuario remoto. No todos los usuarios remotos tienen los mismos requerimientos. Hay usuarios que principalmente requieren acceso a las aplicaciones basadas en nube. Otros necesitan acceso constante a información confidencial. Los ejecutivos y usuarios con interacción con clientes requieren una garantía de alta disponibilidad de la red en todo momento para poder tener videoconferencias y acceso a la información sin falla.

Cisco SASE puede adecuar los elementos de seguridad, confidencialidad, conectividad y observabilidad para cada uno de estos usuarios, y permitir a los departamentos de tecnologías de información tener el control que se tenía en la red interna y extenderla ahora a donde esté el usuario mediante servicios de nube de seguridad, automatización de la conectividad y visibilidad.

Sucursales y Oficinas Seguras – Con el incremento del tráfico directo hacia servicios de nube, como Office 365 o servicios de videoconferencia, se vuelve indispensable un esquema costo-eficiente que permita a los diferentes tipos de usuario que laboran en una oficina remota tener la mejor experiencia al acceder estas aplicaciones. Así mismo, se requiere proporcionar los servicios de seguridad y conectividad de una forma ágil ante cualquier cambio en el trabajo híbrido.

Con Cisco SASE, las políticas de conectividad y de seguridad de las sucursales se pueden cambiar de manera ágil adecuándose a los cambios de los usuarios y los movimientos de las aplicaciones a la nube. Con la inteligencia centralizada de conectividad de SD-WAN y los servicios de seguridad en nube convergentes, los usuarios tienen una experiencia unificada en el acceso de sus aplicaciones homogénea a cuando operan desde sus casas.

MITRE ATT&CK: La magia de las mitigaciones

Posted on 03/05/202103/05/2021

Por: Marco Martínez / Cisco Systems

Ese momento de “¡oh, así era!” no siempre sucede de inmediato.

Al aprender cosas nuevas, a veces necesitamos reducir la velocidad e ir asimilando todo poco a poco. Entender MITRE ATT&CK es así. La noción de pensar cómo un atacante tenía sentido y su estructura era clara pero luego llegó el momento del “¿y ahora qué?” entonces descubrí la clave para empezar y me gustaría compartirla contigo…

Conceptos básicos de ATT&CK

ATT&CK es la abreviatura de Tácticas Adversarias, Técnicas y Conocimiento Común. Durante años, los investigadores de MITRE han estado investigando las tácticas, técnicas y procedimientos (TTTPs) utilizados por los atacantes cibernéticos. Luego catalogaron TTPs en matrices ATT&CK, lo que resultó en una amplia base de conocimiento y lenguaje común sobre el comportamiento adversario.

Es un enfoque único, algo así como el contrario de las mejores prácticas como el marco de ciberseguridad NIST o los controles CIS. Por ejemplo, en lugar de decir “proteger contra amenazas de correo electrónico”, ATT&CK describe cómo los hackers envían correos electrónicos con enlaces acortados por URL diseñados para engañar a la gente. Los correos electrónicos parecen legítimos y sus enlaces abreviados disfrazan el destino real. Cuando los usuarios hacen clic, el sitio web continúa su explotación contra el usuario o dispositivo. ¿Ves cómo ATT&CK es diferente? Comienza mostrando cómo se comportan los atacantes.

¿Cómo empezar con ATT&CK?

Parece que no soy el único que se preguntó cómo empezar. MITRE tiene varios recursos disponibles para ayudar con eso: una serie de blogs, un ebook, un artículo de filosofía. Estoy siendo un poco gracioso aquí, pero tal vez necesitan una guía de introducción para empezar. La primer sugerencia es comenzar con una táctica a la vez. En Enterprise Matrix, sólo hay 12 pero la complejidad crece una vez que profundizas en las Técnicas y Sub-Técnicas asociadas con cada una de ellas. Más aún cuando se profundiza en ejemplos de procedimiento = 156 Técnicas y 272 Sub-Técnicas, ¿alguien? Ni siquiera he intentado contar todos los procedimientos. Pero aquí está la cosa a pesar de la larga lista de tácticas, técnicas y procedimientos, todos ellos conducen a una lista finita y relativamente corta de mitigaciones de ATT&CK y las mitigaciones son el “qué hacer” sobre los TTTPs. Así que, a mi parecer las mitigaciones son la clave.

La magia de la mitigación

Si estás empezando con ATT&CK, recomiendo encarecidamente mirar mitigaciones primero. Puede evaluar su programa y descubrir debilidades en ellos y luego puede hablar sobre sus prioridades con proveedores que también hablan ATT&CK. Después de todo, es mucho más fácil tener conversaciones sobre la necesidad de “Restringir el contenido basado en web” que hacer una letanía de preguntas como, “¿cómo evitar que alguien robe un token de acceso a la aplicación? ¿Y cómo detener un compromiso de conducción?” Es precisamente por eso que, aquí en Cisco, hemos asignado nuestras capacidades a mitigaciones ATT&CK. Después de todo, una vez que hayas examinado la lista de mitigaciones y decidido tus prioridades, lo más probable es que necesites un producto cibernético o servicio para ayudarte. Y ahí lo tienes: La magia de las mitigaciones es la clave para empezar a usar ATT&CK.

Las técnicas y procedimientos de ATT&CK son útiles para conversaciones más profundas. Si ya has descubierto los casos de uso de MITRE, probablemente puedas decir que he centrado toda esta discusión en la evaluación de brechas defensivas. Asumo que es la razón por la que también te interesa ATT&CK. Pero tal vez me equivoque. Hay mucho valor más allá de la mitigación, así que no pases por alto el detalle.

En Cisco, entendemos MITRE ATT&CK, conocemos nuestras soluciones, y podemos responder a todas las preguntas técnicas que tiene. Sólo pregúntanos. Estamos aquí para ayudar.