Las medidas de seguridad clásicas, como la autenticación multifactor o los programas antivirus, no son suficientes para una ciberseguridad integral. Por lo tanto, las empresas deben adoptar un enfoque de defensa en profundidad y centrarse principalmente en proteger las identidades y el acceso privilegiado, dice el experto en seguridad CyberArk.
En la mayoría de los ataques, independientemente de quién esté detrás de ellos, la capa de identidad es el primer punto de entrada a la red de una organización. En muchos casos, se ha demostrado que los atacantes pueden mantener un acceso persistente, no detectado y a largo plazo en entornos comprometidos mediante el uso de credenciales legítimas, entre otras cosas.
MFA, EDR, antivirus: todo cuenta
Para obtener más seguridad cibernética en los dispositivos finales, una empresa debería, por un lado, recurrir a prácticas comprobadas. Se trata, por ejemplo, de la implementación de MFA (autenticación multifactor), la introducción de soluciones EDR (detección y respuesta de punto final) y AV (antivirus), el uso de un cortafuegos, la instalación periódica de parches y, si necesario – el uso de contraseñas seguras.
Por otro lado, se requieren pasos adicionales para aumentar la seguridad cibernética como parte de un enfoque de defensa en profundidad. Esto incluye las siguientes medidas:
- Uso de soluciones para el control de aplicaciones: Las empresas deben bloquear la ejecución de archivos EXE desconocidos porque pueden contener comandos potencialmente peligrosos. La recarga de código malicioso y su ejecución en el dispositivo final comprometido es parte de un ataque en casi todas las intrusiones en los sistemas de TI.
- Restricción de los derechos de acceso: La implementación consistente de un concepto de privilegio mínimo y la desactivación de cuentas que no son requeridas son indispensables. Limitar los privilegios es fundamental porque el robo de credenciales permite a los atacantes acceder a información crítica. También debe apoyarse una expansión justo a tiempo de las autorizaciones. Esto significa: si un usuario necesita derechos elevados o más altos para trabajar en el sistema o para realizar ciertos pasos de trabajo, estos derechos solo se pueden asignar temporalmente y relacionados con el propósito, al binario o la acción. Las funciones de detección de amenazas pueden acelerar la detección y prevención de intentos de ataque.
- Detección de administrador en la sombra: Los administradores en la sombra a menudo están equipados con permisos confidenciales que les dan la capacidad de escalar privilegios en entornos de nube. Estas identidades, que a menudo surgen de configuraciones incorrectas o falta de conocimiento, pueden ser el objetivo de los atacantes, lo que deja en riesgo todo el entorno. Existen varias soluciones para detectar administradores en la sombra, como la herramienta de código abierto zbang.
- Copia de seguridad de copias de seguridad: Las empresas deben realizar copias de seguridad de los controladores de dominio de manera confiable, ya que los atacantes podrían intentar acceder o crear una copia de la base de datos de dominio de Active Directory para robar credenciales u otra información sobre dispositivos, usuarios o derechos de acceso. Las herramientas con funciones de detección de amenazas que protegen el archivo NTDS en el que se almacenan los datos confidenciales de Active Directory se pueden considerar para la copia de seguridad.
- Usando el cifrado AES Kerberos: El uso del cifrado AES Kerberos en lugar de RC4 puede evitar que un atacante haga un mal uso de un ticket de concesión de vales (TGT) de Kerberos válido o espíe el tráfico de red para acceder a un servicio de concesión de vales (TGS) recibido, que podría ser vulnerable por métodos de fuerza bruta. Por ejemplo, el módulo RiskySPN de la herramienta zBang se puede utilizar para detectar Kerberoasting.
- Protección de Certificados Credenciales: Los certificados de usuario guardados para iniciar sesión en los sistemas de destino deben protegerse de manera confiable para evitar que los atacantes intenten firmar certificados con tokens. Esto también se puede usar para mitigar amenazas como un ataque Golden SAML, en el que los atacantes reciben un token SAML válido, es decir, un elemento de autenticación falso. Esto les otorga casi cualquier autorización para casi todos los servicios de una empresa, según los servicios que utilicen SAML como protocolo de autenticación.
Seguridad cibernética: las medidas de seguridad multinivel protegen
“Las medidas de seguridad aisladas ya no son suficientes en una era de ciberdelincuencia en aumento. El orden del día es: Defensa en profundidad, ahora. Esto significa que una empresa debe tomar medidas de seguridad de varios niveles para proteger los sistemas, las aplicaciones y los datos confidenciales y para minimizar los posibles efectos negativos de un ataque", explica Christian Götz, Director de Ingeniería de Soluciones DACH en CyberArk. "Un buen punto de partida para esto es un enfoque de seguridad basado en la identidad, es decir, un concepto de seguridad que clasifica la identidad como la línea central de defensa de una empresa, independientemente de si se trata de una persona, una aplicación o una máquina".
Más en Cyberark.com
Acerca de CyberArk
CyberArk es el líder mundial en seguridad de identidad. Con Privileged Access Management como componente central, CyberArk brinda seguridad integral para cualquier identidad, humana o no humana, en aplicaciones comerciales, entornos de trabajo distribuidos, cargas de trabajo de nube híbrida y ciclos de vida de DevOps. Las principales empresas del mundo confían en CyberArk para proteger sus datos, infraestructura y aplicaciones más importantes. Alrededor de un tercio de las empresas DAX 30 y 20 de las Euro Stoxx 50 utilizan las soluciones de CyberArk.