Los profesionales en seguridad de información siempre se han enfocado en “mantener a los chicos malos fuera” cómo parte elemental de su profesión, sin embargo las constantes publicaciones sobre brechas de seguridad  (en conjunto con aquellas vulnerabilidades desconocidas, que no son publicadas, y que también representan un gran número) demuestran claramente que no somos del todo excelentes en esta tarea. Simplemente, actualmente  los chicos malos tienen la sartén por el mango  en este juego interminable del gato y el ratón. Aquellos que tenemos muchos años en este negocio  hemos sido testigos de  las altas y bajas – algunas veces, la tecnología de seguridad está al día con las últimas amenazas y proporciona un buen nivel de protección, y otras veces, las herramientas y técnicas empleadas por los chicos malos parecen tener la ventaja. Ahora son “otros tiempos”. Las razones de ésta situación son las siguientes:

• Incremento de la sofisticación y motivación del hacker: Cualquiera que sea la motivación financiera o “hacktivismo”, la recompensa por comprometer exitosamente a las organizaciones es alta, lo que conlleva a contar con hackers más profesionales y coordinados.
• Incremento en la complejidad de la red y TI: Hoy en día los gerentes de seguridad tienen más en cuanto a tecnología que lo que hubieran tenido antes,  no sólo más dispositivos de seguridad que administrar (pareciera que “la defensa en profundidad” va cada vez a más y más profundidad), si no que existen más requerimientos de negocio (cómo BYOD) que atender.

El tradicional acto reflejo de la comunidad en seguridad de la información ha sido “adquirir más tecnología” para resolver el problema. Esto es entendible debido a que hemos visto una buena innovación por parte de los fabricantes de soluciones de seguridad para combatir éstas nuevas amenazas como son las APT’s, y las organizaciones deben seguir invirtiendo en tecnología para mejor su defensa.  Sin embargo, existe otra manera con la cuál podemos mejorar la seguridad, que no requiere una gran inversión, pero si un cambio en la forma en cómo pensamos.
Asumir o suponer que te han hackeado, y cómo trazar tu política de seguridad. Este pensamiento es usualmente más fácil de decir que ejecutar. Después de todo, asumir que tu organización ha sido comprometida es cómo admitir que has fallado en tu rol de protegerla.  Pero sea esto o no, no importa que pienses que tan bien está tu seguridad a nivel perimetral o punto final, hay una muy alta probabilidad de que el malware ya esté dentro de tu red. En este sentido, ¿harías algo diferente  si supieras que tu red estuviera comprometida? Si la respuesta es si, ¿por qué no ser proactivo, y tomar medidas hoy mismo? Trabajando con organizaciones con relación a la administración de su política de seguridad de red, se observan prácticas que no están alineadas a este pensamiento. A continuación dos ejemplos:

• Reglas de salida en el firewall: En un estudio reciente llevado a cabo por el Prof. Avishai Wool, analizó configuraciones en firewalls de Cisco y Check Point. Los errores de configuración más comunes encontrados, fueron un mal manejo del tráfico saliente (Ejemplo: Permitir tráfico SMTP de salida sobre el rango de las 256 direcciones IP). Esto se basa principalmente por la falsa noción de que el tráfico originado dentro de la organización es seguro. En este aspecto, el tráfico que proviene de la red interna, puede incluir por ejemplo, bots que estén transmitiendo información sensible hacia el exterior.
• Conexiones VPN: Muchas organizaciones permiten a los usuarios remotos que emplean conexiones VPN ingresar a la red interna, para evadir los controles de seguridad tradicionales (como un antivirus de red). Esto es debido a que se asume que una vez autenticado el usuario de forma exitosa, la conexión es segura. Sin embargo, los dispositivos móviles (aquellos corporativos y no corporativos) son más susceptibles a infectarse por algún malware, por lo que ésta suposición básicamente abre un vector para todo tipo de posibles ataques.

No asumas que el tráfico de salida y las conexiones de VPN son confiables. Si bien puede tomar un tiempo y esfuerzo la manera en cómo pensamos a cerca de la seguridad, el adoptar un enfoque de suponer que has sido hackeado puede tomar un largo camino para ser proactivo con relación a posibles ataques.
Por Nimmy Reichenberg
Comentarios: Sin lugar a dudas, actualmente los dispositivos de seguridad a nivel perimetral y en general la arquitectura de una red está diseñada de afuera hacia adentro, confiando en el tráfico que se genera de manera interna y en los usuarios y tecnología que lo generan, son raras las ocasiones que aplicamos controles para visualizar lo que está ocurriendo de salida y aplicar medidas con relación a ello. Es demasiado arriesgado pensar que nuestras organizaciones nunca han sido vulneradas o comprometidas, aún teniendo todos los dispositivos de seguridad en todos los perímetros de la red. Recordemos que los atacantes tienen todos los recursos, entre ellos el factor tiempo y herramientas sofisticadas que evaden los dispositivos de seguridad. Entonces ¿por qué no cambiar la forma en que establecemos nuestras estrategias de seguridad? El de pensar que
podemos estar comprometidos y con base en ello tomar
medidas proactivas y reactivas, para ello necesitamos de herramientas y recursos humanos que nos ayude a visualizar, detectar y analizar eventos que se presentan en la red (fuera y dentro, romper el concepto de zonas confiables y no confiables), y actuar lo más rápido posible ante un incidente de seguridad, antes de que el objetivo del atacante se concrete. Realizado por Jazmin Ortiz. Seguridad Perimetral