Seguridad

Actualizar el software es un proceso constante y sin fin. Esto plantea la pregunta ¿qué actualizaciones deben tener prioridad? La respuesta no es nada simple, ya que las estrategias de parcheo pueden ser muy diferentes y encontrar la que mejor funcione para la empresa puede depender de diferentes circunstancias.

Sin embargo, en esta publicación se comparte desde un punto de vista general, aquellas actualizaciones que se deben priorizar con base en el riesgo potencial de explotación de la vulnerabilidad.

Es importante destacar que el número de errores no es el problema principal, pero sí la rapidez con que aparecen los parches para solucionarlos y si estos realmente son efectivos. Los parches creados con rapidez rara vez son buena idea. Es una mala señal cuando las actualizaciones son raras y esporádicas, incluso cuando el vendedor pretende fingir que nada ha ocurrido. Por esa razón hay que evitar este tipo de software.

Sistemas Operativos

Los mejores candidatos para dar una máxima prioridad son los Sistemas Operativos. Las actualizaciones más importantes deben de instalarse con la mayor rapidez posible. Hay un riesgo evidente: un Sistema Operativo comprometido es una puerta abierta al resto del software del ordenador.

Para los usuarios de Windows, se debe revisar la lista de actualizaciones cada segundo martes del mes e instalarlas lo antes posible. Si Windows lanza un parche en cualquier otra fecha, se debe instalar cuanto antes.

Navegadores

Los navegadores representan gran parte de nuestra actividad digital, por definición, interactúan en todo momento con Internet por lo que pueden ser los primeros en verse afectados por cualquier tipo de ciberamenaza. Los atacantes no escatiman esfuerzos cuando se trata de encontrar vulnerabilidades en los navegadores.

Se deben instalar los parches lo antes posible, sin olvidar reiniciar el navegador después de la actualización. Si no lo hace, seguirá utilizando la versión anterior y las vulnerabilidades seguirán activas. El Sistema Operativo puede tener más de un navegador instalado y todos necesitan ser actualizados:

• Internet Explorer: casi ningún usuario lo elige libremente pero este navegador todavía se incluye en cualquier ordenador que tenga Windows instalado y necesita los parches correspondientes.
• Muchas aplicaciones de escritorio, como por ejemplo las de mensajería, están basados en el marco Electron, un navegador de Chromium que se abre en una aplicación web. Se deben actualizar debido a que heredan los defectos que pueda tener Chromium.

Paquetes de oficina

Los ataques a través de correo electrónico malicioso son de lo más común, en su mayoría contienen archivos infectados, especialmente documentos de Microsoft Office y en PDF. Esto significa que las vulnerabilidades de los programas de ofimática suelen servir como punto de entrada a la red de la empresa objetivo. Por esta razón se debe prestar atención a las actualizaciones de este tipo de software.

Soluciones de ciberseguridad

Las vulnerabilidades pueden ser encontradas en cualquier tipo de software, los productos de seguridad no son una excepción. Los antivirus y otras aplicaciones de ciberseguridad necesitan permisos de gran nivel para operar, por lo que una exitosa explotación de una vulnerabilidad en una solución de seguridad puede generar graves problemas.

Los desarrolladores de software de seguridad son más conscientes que nadie del peligro que puede ocasionar ese escenario. Por esa razón, intentan responder rápidamente a cualquier tipo de vulnerabilidad reportada y publicando las actualizaciones lo antes posible. Por supuesto que en estos casos la rapidez es tan importante como la instalación de esos parches. Recomendamos monitorear con atención las actualizaciones de los productos de seguridad priorizando su instalación.

Aplicaciones de colaboración laboral

Esta categoría de software ha adquirido especial relevancia para los empleados en oficinas en la última década. Aplicaciones de colaboración laboral como Microsoft Teams, Slack, Confluences y similares han ido adquiriendo presencia en la correspondencia comercial, intercambio de archivos y videollamadas.

Es consecuencia natural que estas herramientas de colaboración se hayan convertido en un objetivo atractivo para los ciberdelicuentes ya que pueden aprender mucho del contenido que se comparte en esas aplicaciones. Es importante mantener también estas aplicaciones actualizadas con los últimos parches de seguridad.

Fuente https://www.kaspersky.es/blog/patching-priorities/29098/

1. Crear manuales de respuesta a incidentes

El primer paso para evitar este tipo de ataques es crear un plan asumiendo que es más una cuestión de cuándo llegará un ataque y no si llegará. Según un informe reciente realizado por Vanson Bourne en nombre de Barracuda,el 73% de las empresas sufrieron al menos un ataque de ransomware en 2022.

Sin un plan de respuesta a incidentes, las empresas suelen entrar en pánico, sin saber a quién llamar o qué hacer, por lo que pagar el rescate parezca la salida más fácil. Con un plan en marcha, la gente sabe qué hacer, después de haber practicado el plan con antelación para asegurarse de que las medidas de recuperación de desastres funcionan como se supone que deben hacerlo.

Un plan de respuesta a incidentes debe incluir funciones y responsabilidades claras, protocolos de comunicación y estrategias de recuperación. Según el informe 2023 sobre ransomware y extorsión de Palo Alto, las víctimas de estos ataques deben prepararse para tres tipos de vulnerabilidades: cifrado de datos y sistemas, robo de datos y (más recientemente) acoso.

El porcentaje de ataques de ransomware que implicaron robo de datos aumentó al 70% a finales de 2022 desde el 40% en 2021, mientras que los incidentes de acoso aumentaron al 20% desde menos del 1%. Por lo tanto, los planes de respuesta a incidentes deben incluir no sólo medidas para recuperarse del cifrado de ransomware y protocolos para hacer frente a las amenazas de datos filtrados, sino también qué hacer en caso de que los empleados o clientes estén siendo acosados.

En general, las empresas que consiguen recuperarse más rápidamente de los ataques de ransomware son las que tenían planes de respuesta a incidentes y los habían practicado con antelación.

2. Implantar una ciberseguridad multicapa

Según una encuesta de IDC realizada en junio, las empresas que no sufrieron filtraciones de ransomware solían utilizar todas o algunas de las cinco tecnologías de seguridad clave:

• Detección y respuesta de puntos finales (EDR).
• Pasarelas de seguridad en la Nube o agentes de seguridad de acceso a la Nube (CASB).
• Sistemas de gestión de eventos e información de seguridad (SIEM).
• Análisis de identidades o análisis del comportamiento de usuarios y entidades (UEBA).
• Detección y respuesta de redes (NDR).

Disponer de varias capas de defensa, así como configurar la autenticación multifactor y el cifrado de datos es algo fundamental para la ciberseguridad.

Cuando una organización educativa que había invertido mucho en ciberseguridad, se vio afectada por ransomware, pudieron cambiar las operaciones a una copia de seguridad offline. Entonces, los atacantes aumentaron sus exigencias: si la organización no pagaba el rescate, sus datos se filtrarían online. Es decir, la organización estaba bien preparada para un evento de cifrado, pero no para el segundo rescate. Había datos sensibles reales que desencadenarían una serie de acciones de cumplimiento normativo.

La empresa no quería que se filtraran los datos, pero tampoco confiaba en que los atacantes cumplieran sus promesas. Lo que esta organización decidió hacer es no pagar tampoco el segundo rescate. En su lugar, mientras los atacantes esperaban una respuesta, la organización notificó a las víctimas sobre la brecha. Para cuando los datos se filtraron online, ya habían completado las acciones de notificación.

El ataque puso de manifiesto dos puntos débiles en su estrategia de defensa. En primer lugar, su manual de respuesta a incidentes no contemplaba una segunda extorsión. En segundo lugar, no habían cifrado sus datos confidenciales. Después, volvieron a revisar su estrategia, empezando por su manual de respuesta. «¿Cómo podemos mejorar? ¿Cómo reducimos el riesgo? ¿Cómo podemos hacer las cosas de forma diferente la próxima vez?» Lo que también les llevó a cifrar los datos sensibles.

3. Invertir en copias de seguridad sólidas

Cuando los atacantes de ransomware se afianzan en una organización, tienen dos objetivos principales: llegar a los datos valiosos y neutralizar las copias de seguridad.

Si los atacantes consiguen acceder a las credenciales del dominio, no deberían poder acceder también a las copias de seguridad. Si las copias de seguridad requieren un segundo conjunto de autenticación, estarán mucho más protegidas. Otra estrategia son las copias de seguridad inmutables, que no se pueden sobrescribir ni borrar.

Las empresas que evitan invertir en seguridad multicapa, cifrado fuerte, autenticación multifactor y copias de seguridad sólidas porque piensan que no se verán afectadas por el ransomware (o si lo están, creen que sería más barato pagar el rescate y volver al trabajo) están viviendo en el pasado. Esta estrategia podría haber funcionado en 2013, cuando los ataques de ransomware eran poco frecuentes y los rescates eran ínfimos. Pero hoy no funciona.

Fuente https://cso.computerworld.es/reportajes/estrategias-que-ayudan-a-detener-el-ransomware-antes-de-que-se-convierta-en-una-crisis-corporativa

Al recibir en la dirección de correo electrónico del trabajo un email pidiendo que modifiques la contraseña del mismo, confirmes tu periodo de vacaciones o que realices una urgente transferencia de dinero solicitada por el CEO, tendrías que asegurarte que no se trata de una estafa que utiliza dominios engañosos. ¿Cómo puedes, por tanto, comprobar las direcciones de correo electrónico y los enlaces a las páginas web?

La pieza central de una falsificación es por lo general el nombre del domino: la parte siguiente al @, o el inicio del enlace. Su objetivo es que inspire confianza a la víctima. Claro que a los ciberdelincuentes les encantaría secuestrar un dominio oficial de la empresa objetivo, o de alguno de sus proveedores o socios comerciales, pero en las primeras etapas de un ataque no existe esa opción. En su lugar, antes de atacar, registran un dominio que sea similar al de la organización donde trabaja la víctima esperando que no note la diferencia. Este tipo de ataques se denomina ataques similares.

El siguiente paso es alojar una página web falsa en el dominio o enviar correos electrónicos engañosos desde los buzones asociados a él.

Homoglifos: diferentes letras, misma ortografía

Un truco es usar una letra que visualmente sea muy similar o sea casi indistinguible. Por ejemplos, una “L” minúscula (l) en muchas fuentes es prácticamente idéntica a la letra capital “i” (I), por ello enviado desde el correo electrónico JOHN@MlCROSOFT.COM engañaría incluso a los más avispados.

Esta táctica aumentó una vez que fue posible registrar dominios en diferentes idiomas, incluidos aquellos que no usan el alfabeto latino. La “ο” griega, la “о” rusa, y la “o” latina son totalmente indistinguibles para el ojo humano, pero para una computadora se trata de tres letras distintas. Esto permite registrar un gran número de dominios que son parecidos a microsоft.cοm utilizando diferentes combinaciones de letras “o”. Esta técnica de incluir caracteres visualmente similares es conocida como homógrafos o ataques homográficos.

Combosquatting

Combosquatting se ha hecho muy popular entre los cibercriminales en los últimos años. Para imitar un correo electrónico o una página web de la compañía objetivo, se crea un dominio que combina su nombre con una palabra clave relevante, como Microsoft-login.com o SkypeSupport.com. El asunto del correo electrónico y el final del dominio deben coincidir: por ejemplo, una advertencia de acceso no autorizado a una cuenta de correo electrónico que podría vincular a un sitio con la alerta de Outlook de dominio.

La situación ha empeorado por el hecho de que las compañías realmente tienen dominios con palabras clave. Por ejemplo, login.microsoftonline.com es un ejemplo real y legítimo de la página web de Microsoft.

De acuerdo con Akamai, la combinación de combosquatting más habitual es utilizar combinaciones con alguna de estas palabras: support, com, login, help, secure, www, account, app, verify y service. En el caso de www y com se encuentran a menudo en los nombres de sitios web y es posible que un usuario distraído no detecte el punto que falta:  wwwmicrosoft.com, microsoftcom.au.

Suplantación de dominio de nivel superior

A veces, los cibercriminales logran registrar un doppelganger en un dominio de nivel superior (TLD) diferente, como microsoft.co en vez de microsoft.com,  office.pro en lugar de office.com. En este caso, el nombre de la empresa suplantada puede seguir siendo el mismo. Esta técnica se conoce como TLD Squatting.

Una sustitución como esta puede ser muy efectiva. Recientemente se informó que, durante más de una década, varios contratistas y socios del Departamento de Defensa de Estados Unidos han estado enviando por error correos electrónicos al dominio .ML que pertenece a la República de Malí en lugar de al dominio .MIL del ejército estadounidense. Sólo en 2023, un contratista holandés interceptó más de 117,000 correos electrónicos enviados por error a Malí en lugar de al Departamento de Defensa.

Typosquatting: dominios mal escritos

La manera más simple (y más temprana) de producir dominios doppelganger es explotar varios errores tipográficos que sean fáciles de hacer y difíciles de detectar. Aquí hay varios tipos de variación: añadir o eliminar dobles (ofice.com en vez de office.com), añadir o eliminar signos de puntuación (cloud-flare o c.loudflare en lugar de cloudflare), reemplazar letras con sonido similar (savebank en vez de safebank), etcétera.

Los errores tipográficos fueron por primera vez utilizados como armas por los spammers y estafadores publicitarios, pero hoy en día estos trucos se usan junto a contenido de páginas webs falsas para sentar las bases del phishing y el compromiso de correo electrónico comercial (BEC).

Cómo protegerse

Los homoglifos son los más difíciles de detectar y casi nunca se usan con fines legítimos. Por ello, los desarrolladores de navegadores y algunos registradores de dominio intentan defenderse de tales ataques. En algunas zonas de dominio, por ejemplo, está prohibido registrar nombres con letras de diferentes alfabetos. Pero en otro muchos TLDs no existe tal protección, por lo que debes de confiar en las herramientas de seguridad. Es cierto que muchos navegadores tienen una forma especial de mostrar los nombres de dominio que contienen una combinación de diferentes alfabetos. Lo que sucede es que representan el enlace en punycode, por lo que se parece a esto: xn--micrsoft-qbh.xn--cm-fmc (esta es la página web de microsoft.com con dos os rusas).

La mejor manera de defenderse de los typosquatting y combosquatting es prestar atención. Para poder hacerlo recomendamos que todos los empleados reciban formación básica en ciberseguridad para aprender sobre las principales técnicas de phishing.

Desafortunadamente, no hay manera de limitar los ataques similares. Cuando uno de ellos está muy bien ejecutado para dirigirse a una empresa específica, no es suficiente con que el personal esté atento. Por ejemplo, este año se han creado ataques, al clonar la puerta de enlace de la intranet de Reddit, que redirigía a sus empleados a una página web falsa que comprometía la seguridad de la empresa.  Por lo tanto, los equipos de seguridad de la información deben pensar no sólo en la capacidad de sus empleados, sino también en importantes herramientas de protección:

• Protección especializada de servidores correo de spam y spear phishing. Por ejemplo, Kaspersky Security for Mail Server que detecta correos electrónicos maliciosos usando el machine learning y bases de datos de spam actualizadas en tiempo real. Este sistema es, además, capaz de “detonar” correos electrónicos sospechosos poniéndolos en sandbox o en cuarentena.
• Protección para todos los dispositivos de los empleados – incluyendo sus teléfonos y equipos de cómputo personales que utilizan para trabajar. Esto aumenta la seguridad en general y es clave para interceptar enlaces y archivos maliciosos que no se envían a través del correo electrónico, pero sí a través de otras vías como las redes sociales.

Fuente https://www.kaspersky.es/blog/lookalike-domains-in-bec/29038/