A plena vista: Por qué el ataque a SolarWinds reveló mucho más que un riesgo cibernético malintencionado

Una versión de este artículo apareció en Dark Reading. Ha sido actualizado y distribuido aquí.

‍

Si algo podía arruinar la Navidad en el sector de la ciberseguridad, es una devastadora brecha de datos que va camino de convertirse en el mayor evento de ciberespionaje contra el gobierno de EE. UU. del que se tiene registro. 

El ataque a SolarWinds es de gran alcance; los actores de la amenaza vulneraron inicialmente el software a mediados de 2019. Este robo, que duró meses, se descubrió en diciembre de 2020 tras ser utilizado para infiltrarse en la destacada firma de ciberseguridad FireEye, y a partir de ahí se desató la pesadilla. El alcance total de la brecha sigue bajo investigación, pero las áreas clave de infiltración incluyen los Departamentos de Estado, Seguridad Nacional, Comercio y Tesoro de EE. UU., además del Instituto Nacional de Salud. 

Este incidente tendrá repercusiones constantes, pero su sofisticación es fascinante. A nivel técnico, se trata de una infiltración de múltiples capas que involucra herramientas maliciosas personalizadas, puertas traseras y código oculto, superando con creces la habilidad de los aficionados que solemos ver explotando errores más evidentes.

Lavado de código en su máxima expresión

CrowdStrike ha realizado un trabajo brillante al realizar ingeniería inversa del exploit y detallar los hallazgos para que todos los vean. Ha salido a la luz que SolarWinds fue víctima de una brecha de infraestructura que permitió la inyección de código malicioso en las actualizaciones del sistema, lo que resultó en al menos cuatro herramientas de malware independientes que abrieron un acceso sin precedentes para los atacantes.

El método fue encubierto, permitiendo una precisión estratégica que parece sacada de una novela de Jason Bourne. Ganaron tiempo para investigar, planificar y atacar a las víctimas fuera de la red de SolarWinds exactamente cuando quisieron, en un ataque integral a la cadena de suministro. Y todo se llevó a cabo con un código que parecía completamente benigno. 

Los ciberataques suelen ser el resultado de errores simples pero costosos. Una vez descubiertos, los fallos son bastante obvios; piense en una red mal configurada, contraseñas almacenadas en texto plano o software sin parches vulnerable a exploits conocidos. En este caso, el código no llamó la atención en absoluto, y no solo para los desarrolladores e ingenieros de seguridad. Una amplia gama de tecnología de seguridad costosa y compleja tampoco logró detectarlo.  

Las herramientas de monitoreo de seguridad y pruebas de penetración quedaron prácticamente inútiles

Los profesionales de seguridad son tan escasos que, para cumplir su misión de proteger enormes cantidades de datos, software e infraestructura de la empresa, se apoyan en un conjunto de tecnologías personalizadas según las necesidades de seguridad del negocio. Esto suele tomar la forma de componentes como firewalls de red, pruebas de penetración automatizadas y herramientas de monitoreo y escaneo, siendo estas últimas las que consumen gran parte del tiempo en el proceso de desarrollo de software. Estas herramientas pueden volverse rápidamente inmanejables, con muchas empresas utilizando más de 300 productos y servicios diferentes.

SolarWinds contaría con una impresionante variedad de herramientas para encontrar y resaltar errores de seguridad en el código, intentos de acceso no autorizado a la red, posibles compromisos en cualquier parte de la infraestructura e incluso detectar señales de evasión. Es inaudito que estos atacantes lograran inyectar código malicioso que pasó desapercibido incluso para el conjunto de seguridad más avanzado. 

El fortalecimiento de la infraestructura, especialmente el control de acceso, son componentes fundamentales de las mejores prácticas generales de ciberseguridad, pero si un atacante puede explotar silenciosamente una pequeña ventana de oportunidad, una red puede verse comprometida de la misma manera que una vulnerabilidad en un software independiente. 

Esta brecha es un recordatorio de que, en general, cualquier empresa que dependa excesivamente de herramientas para asegurar su infraestructura de red y software está asumiendo un riesgo enorme. No siempre basta con proteger el código; todo lo que lo almacena, ejecuta y compila debe estar igualmente fortificado. El estado ideal es un equilibrio entre herramientas y personas, ejecutando una estrategia sólida que profundice en la evaluación y reducción de la posible superficie de ataque.

La concienciación sobre seguridad entre equipos mejora el modelado de amenazas

La brecha de SolarWinds ya ha comenzado a tener un impacto significativo en las operaciones de seguridad, especialmente a nivel gubernamental. Los expertos aseguran que esto podría cambiar las prácticas de ciberseguridad para siempre.

Una infraestructura cada vez más digital impulsa nuestras vidas y, aunque puede ser vulnerable a ataques si no se gestiona meticulosamente, nuestra estrategia general es defectuosa. Tenemos una grave escasez de personal con experiencia en seguridad y, sin embargo, no estamos haciendo mucho por cerrar esa brecha. La concienciación sobre seguridad impulsada por humanos es un elemento subutilizado de la ciberseguridad, al igual que hacer de la prevención, en lugar de la reacción, una prioridad. 

La seguridad de la infraestructura es una tarea compleja con muchas partes móviles, pero, de manera similar a como se posicionan en la creación de software, los desarrolladores pueden ser un activo para reducir el riesgo estructural si están debidamente capacitados y concienciados sobre la seguridad. 

El modelado de amenazas rara vez contempla los ataques a la cadena de suministro, a pesar de que este tipo de ataque fue señalado ya en 2012 como un riesgo clave difícil de prevenir con las técnicas actuales, lo que deja a muchas empresas desprotegidas. Los desarrolladores de software podrían desempeñar un papel fundamental en la prevención, empezando por garantizar que estén capacitados para evaluar la integridad de su código desde dentro hacia fuera. ¿Han diseñado el mecanismo de actualización de forma segura? ¿El software funciona con una conectividad innecesaria que podría facilitar un compromiso malintencionado?

Cuando la seguridad es sinónimo de calidad de software, es fácil apreciar el inmenso valor que un ingeniero con conciencia de seguridad puede aportar.