Programadores que conquistan la seguridad: Serie de aprendizaje y colaboración - Registro y supervisión insuficientes

A lo largo de estos blogs, hemos explorado diversos temas y descubierto una gran cantidad de vulnerabilidades peligrosas y exploits maliciosos que los hackers emplean para atacar redes y eludir defensas. Estos abarcan desde la explotación de debilidades en lenguajes de programación hasta la inyección de código mediante diversos formatos o el secuestro de datos en tránsito. Es una amplia gama de amenazas, pero cuando alguna de ellas tiene éxito, a menudo hay un componente común en las aplicaciones de las víctimas.

El registro y la supervisión insuficientes son una de las condiciones más peligrosas que pueden existir en la estructura defensiva de una aplicación. Si esta vulnerabilidad o condición está presente, casi cualquier ataque avanzado contra ella terminará teniendo éxito. Tener un registro y una supervisión insuficientes significa que los ataques o intentos de ataque no se descubren durante mucho tiempo, si es que llegan a descubrirse. Básicamente, esto les da a los atacantes el tiempo que necesitan para encontrar una vulnerabilidad útil y explotarla.

En este episodio aprenderemos:

• Cómo pueden los atacantes aprovechar el registro y la supervisión insuficientes
• Por qué el registro y la supervisión insuficientes son peligrosos
• Técnicas para solucionar esta vulnerabilidad.

¿Cómo explotan los atacantes el registro y la supervisión insuficientes?

Al principio, los atacantes no saben si un sistema está siendo supervisado adecuadamente o si los archivos de registro se están examinando en busca de actividad sospechosa. Pero es bastante fácil para ellos averiguarlo. A veces, lo que hacen es lanzar algún tipo de ataque de fuerza bruta poco sofisticado, como consultar una base de datos de usuarios con contraseñas comunes. Luego esperan unos días y vuelven a intentar el mismo tipo de ataque. Si no se les bloquea en el segundo intento, es una clara señal de que nadie está supervisando cuidadosamente los archivos de registro en busca de actividad sospechosa.

Aunque es relativamente sencillo poner a prueba las defensas de una aplicación y medir el nivel de supervisión activa, esto no es un requisito para que los ataques tengan éxito. Simplemente pueden lanzar sus ataques de manera que generen el menor ruido posible. La mayoría de las veces, la combinación de demasiadas alertas, la fatiga ante las mismas, configuraciones de seguridad deficientes o simplemente una gran cantidad de vulnerabilidades explotables significa que tendrán tiempo de sobra para lograr sus objetivos antes de que los defensores siquiera se den cuenta de su presencia.

¿Por qué es peligroso el registro y la supervisión insuficientes?

El registro y la supervisión insuficientes son peligrosos porque dan a los atacantes tiempo no solo para lanzar sus ataques, sino para completar sus objetivos mucho antes de que los defensores puedan responder. La cantidad de tiempo depende de la red atacada, pero grupos como el Open Web Application Security Project (OWASP) sitúan el tiempo medio de respuesta ante redes vulneradas en 191 días o más.

Piénselo por un momento. ¿Qué pasaría si unos ladrones atracaran un banco, la gente llamara a la policía y esta tardara medio año en responder?

Los ladrones habrían desaparecido mucho antes de que llegara la policía. De hecho, ese mismo banco podría ser atracado muchas más veces antes de que la policía respondiera al primer incidente.

En la ciberseguridad ocurre lo mismo. La mayoría de las brechas de alto perfil que aparecen en las noticias no fueron operaciones rápidas. A menudo, la organización afectada solo se entera de la brecha después de que los atacantes han tenido un control más o menos total sobre los datos durante meses o incluso años. Esto convierte al registro y la supervisión insuficientes en una de las situaciones más peligrosas al intentar practicar una buena ciberseguridad.

Eliminación del registro y la supervisión insuficientes

Prevenir el registro y la supervisión insuficientes requiere dos cosas principales. Primero, todas las aplicaciones deben crearse con la capacidad de supervisar y registrar los fallos de validación de entrada del lado del servidor, con suficiente contexto de usuario para que los equipos de seguridad identifiquen las herramientas y técnicas, si no las cuentas de usuario, que están utilizando los atacantes. O bien, dicha información debe formatearse en un lenguaje como STIX (Structured Threat Information eXpression), que puede ser procesado rápidamente por las herramientas de seguridad para generar las alertas adecuadas.

En segundo lugar, no basta con generar buenas alertas, aunque es un comienzo. Las organizaciones también deben establecer funciones y responsabilidades para que esas alertas se investiguen de manera oportuna. Muchas brechas exitosas activaron alertas en las redes atacadas, pero esas advertencias no fueron atendidas debido a dudas sobre la responsabilidad. Nadie sabía a quién le correspondía responder o se asumía que alguien más estaba investigando el problema.

Un buen punto de partida al asignar responsabilidades es adoptar un plan de respuesta y recuperación ante incidentes como el recomendado por el Instituto Nacional de Estándares y Tecnología (NIST) en la publicación especial 800-61. Existen otros documentos de referencia, incluidos algunos específicos para diversas industrias, y no es obligatorio seguirlos al pie de la letra. Pero es fundamental elaborar un plan que defina quién dentro de una organización responde a las alertas y cómo lo hace de manera oportuna.

Más información sobre el registro y la supervisión insuficientes

Para profundizar en el tema, puedes consultar lo que dice OWASP sobre el registro y la supervisión insuficientes. También puedes poner a prueba tus nuevos conocimientos defensivos con la demo gratuita de la plataforma Secure Code Warrior, que capacita a los equipos de ciberseguridad para convertirse en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad y otras amenazas, visita el blog de Secure Code Warrior.

¿Listo para encontrar, corregir y eliminar el registro y la supervisión insuficientes ahora mismo? Dirígete a nuestra arena de formación: [Empieza aquí]