The Cost of Ransomware

Summary

Este video aborda estrategias clave para mitigar riesgos cibernéticos, enfocándose en amenazas como el compromiso de correos electrónicos de proveedores, vulnerabilidades en servidores y ataques a la cadena de suministro. Se discuten prácticas recomendadas como limitar los archivos adjuntos en correos electrónicos, usar dispositivos separados para tareas específicas, implementar arquitecturas de clientes livianos y segmentar redes para proteger datos críticos. Además, enfatiza la importancia de mantener sistemas actualizados y de contar con una infraestructura en la nube robusta. El CISO debe trabajar con los ejecutivos para equilibrar seguridad y funcionalidad, asegurando la protección contra ciberataques.

Takeaways

• 😀 La mayoría de los ataques de ransomware actuales provienen de correos electrónicos de confianza, que han sido comprometidos y enviados por adversarios con enlaces o archivos maliciosos.
• 😀 Limitar el uso de correos electrónicos para transferir archivos es una medida clave. Se deben usar servicios de almacenamiento en la nube como Dropbox o SharePoint para compartir archivos de manera más segura.
• 😀 Utilizar dispositivos separados para diferentes tareas (como un iPad para correos electrónicos y navegación web) ayuda a contener posibles amenazas y proteger la red interna.
• 😀 Los sistemas accesibles desde Internet deben estar siempre actualizados y parchados. Si no se puede aplicar un parche, ese sistema no debería estar expuesto a la red externa.
• 😀 Los sistemas de infraestructura crítica deben estar completamente aislados de la red externa mediante un 'air gap' para evitar ataques remotos.
• 😀 La ciberseguridad debe enfocarse en la segmentación de la red para reducir los puntos de entrada y la exposición de sistemas, especialmente en relación con los proveedores externos.
• 😀 El compromiso de proveedores de software puede ser una puerta de entrada para ataques masivos de ransomware. Todos los accesos externos deben estar protegidos con firewalls y filtrados antes de llegar a la red interna.
• 😀 Es importante diseñar una arquitectura de red robusta, asegurando que los sistemas críticos no sean accesibles desde el exterior o la red pública.
• 😀 El uso de clientes ligeros y sistemas que se reinician con frecuencia (sin almacenamiento local de datos) reduce la probabilidad de infección por malware o ransomware.
• 😀 Los CISOs deben trabajar estrechamente con los ejecutivos para definir la postura de seguridad de la empresa y tomar decisiones informadas sobre la tolerancia al riesgo, incluyendo la postura frente al pago de rescates.

Q & A

¿Qué es el compromiso de correo electrónico de proveedor (VEC) y cómo puede afectar a las organizaciones?

El compromiso de correo electrónico de proveedor (VEC) ocurre cuando un tercero de confianza, con el que una organización se comunica regularmente, tiene su sistema de correo electrónico comprometido. Los atacantes controlan estos correos legítimos y envían enlaces o archivos maliciosos a los empleados, lo que es difícil de filtrar. Para mitigarlo, las organizaciones deben usar mecanismos de transferencia de archivos externos como Dropbox o SharePoint en lugar de permitir archivos adjuntos en los correos electrónicos.

¿Por qué es importante segmentar los dispositivos y usar dispositivos separados para tareas específicas?

Usar dispositivos separados para tareas específicas, como un dispositivo para correos electrónicos y navegación web y otro para trabajos internos, reduce el riesgo de propagación de malware. Si un dispositivo es comprometido, no tendrá acceso directo a la red interna, limitando el daño. Esto es especialmente útil porque los sistemas Windows son un objetivo frecuente debido a su prevalencia, y usar un dispositivo no basado en Windows disminuye significativamente la probabilidad de un ataque exitoso.

¿Cuál es la propuesta del experto para una arquitectura de seguridad de tres capas?

La arquitectura de seguridad de tres capas incluye: 1) Almacenar los datos en la nube, con protección contra ransomware proporcionada por proveedores robustos de la nube, 2) Tener un sistema de autenticación fuerte (con verificación de dos factores), y 3) Usar clientes delgados, es decir, dispositivos sin almacenamiento de datos local, que minimizan el riesgo de infección al tener un sistema operativo renovado regularmente.

¿Qué deben hacer las organizaciones para proteger sus servidores accesibles desde Internet?

Las organizaciones deben asegurarse de que cualquier sistema accesible desde Internet esté siempre actualizado con los últimos parches. Si no es posible aplicar parches a un sistema, este no debe ser accesible desde la red externa. Además, los sistemas expuestos no deben almacenar datos críticos. Esto reduce el riesgo de que un atacante obtenga acceso a información valiosa a través de una vulnerabilidad de Internet.

¿Por qué se recomienda 'airgapping' en sistemas de infraestructura crítica?

Se recomienda 'airgapping' (aislar completamente) los sistemas de infraestructura crítica (como los de salud, energía o servicios públicos) porque estos sistemas nunca deben estar directamente conectados a Internet o a redes externas. Esta medida aumenta la seguridad al evitar que ataques desde Internet o redes externas puedan comprometer los sistemas, lo que es crucial dado su nivel de criticidad.

¿Cómo pueden los ataques de la cadena de suministro afectar a las organizaciones?

Los ataques a la cadena de suministro se están volviendo más comunes. En lugar de atacar directamente a muchas organizaciones, los atacantes comprometen a un proveedor de software que tiene múltiples clientes. Al infiltrar código malicioso en el software del proveedor, los atacantes pueden desplegar ransomware a gran escala cuando los clientes instalan o actualizan ese software comprometido. Las organizaciones deben asegurarse de filtrar y proteger sus conexiones externas mediante firewalls y segmentación de redes.

¿Qué importancia tiene segmentar las redes para reducir la exposición a ataques externos?

La segmentación de redes es esencial para reducir la exposición a ataques. Si un atacante compromete un proveedor externo, como sucedió con el ataque a Target, la segmentación garantiza que el atacante no pueda moverse fácilmente por la red interna y acceder a sistemas críticos. La segmentación mejora la seguridad al aislar sistemas y minimizar los puntos de entrada.

¿Cuál es el principal riesgo de permitir archivos adjuntos y enlaces incrustados en los correos electrónicos?

El principal riesgo de permitir archivos adjuntos y enlaces incrustados en correos electrónicos es que los atacantes pueden aprovechar estos vectores para distribuir malware, como ransomware. Aunque algunos sistemas de detección pueden filtrar estos ataques, no todos los correos electrónicos comprometen un sistema; en muchos casos, los correos provienen de entidades confiables y, por lo tanto, es más difícil detectar el ataque.

¿Por qué es importante tener una postura clara frente al pago de un rescate en caso de ataque de ransomware?

Es importante tener una postura clara frente al pago de un rescate porque esto puede influir en la forma en que la organización maneja el incidente. La decisión de pagar o no pagar debe basarse en una evaluación del riesgo y el impacto, y debe alinearse con la política de la empresa en cuanto a la gestión de incidentes y la seguridad. Además, pagar un rescate no garantiza que los datos serán restaurados o que los atacantes no volverán a atacar.

¿Qué papel juegan los backups en la estrategia contra el ransomware?

Los backups son una parte crítica de cualquier estrategia contra el ransomware. Tener copias de seguridad actualizadas y almacenadas de manera segura (idealmente fuera de la red principal) garantiza que, en caso de un ataque, la organización pueda restaurar sus datos sin tener que ceder al pago de un rescate. Es importante que los backups sean probados regularmente y estén protegidos contra la alteración por parte de atacantes.