Coders Conquer Security: Serie Share & Learn: registro y monitoreo insuficientes

Mientras explorábamos temas en estos blogs, descubrimos bastantes vulnerabilidades peligrosas y exploits maliciosos que los piratas informáticos emplean para atacar redes y eludir las defensas. Abarcan una amplia gama, desde aprovechar las debilidades de los lenguajes de programación hasta inyectar código con varios formatos y secuestrar datos en tránsito. Se trata de una variedad de amenazas, pero siempre que alguna de ellas tiene éxito, suele haber un componente común entre las aplicaciones de la víctima.

La falta de registro y supervisión es una de las condiciones más peligrosas que pueden existir dentro de la estructura defensiva de una aplicación. Si existe esta vulnerabilidad o condición, casi todos los ataques avanzados que se lancen contra ella acabarán teniendo éxito. Tener un registro y una supervisión insuficientes significa que los ataques o intentos de ataque no se descubren durante mucho tiempo, si es que se descubren. Básicamente, da a los atacantes el tiempo que necesitan para encontrar una vulnerabilidad útil y explotarla.

En este episodio aprenderemos:

• Cómo pueden los atacantes utilizar un registro y una supervisión insuficientes
• Por qué es peligroso un registro y una supervisión insuficientes
• Técnicas que pueden corregir esta vulnerabilidad.

¿Cómo aprovechan los atacantes el registro y la supervisión insuficientes?

Al principio, los atacantes no saben si un sistema está siendo monitoreado adecuadamente o si los archivos de registro están siendo examinados para detectar actividades sospechosas. Pero es bastante fácil para ellos averiguarlo. Lo que hacen a veces es lanzar algún tipo de ataque poco elegante y de fuerza bruta, tal vez consultando una base de datos de usuarios en busca de contraseñas de uso común. Luego esperan unos días y vuelven a intentar el mismo tipo de ataque. Si no se les impide hacerlo por segunda vez, es un buen indicio de que nadie está supervisando cuidadosamente los archivos de registro para detectar actividades sospechosas.

Aunque es relativamente sencillo probar las defensas de una aplicación y medir el nivel de supervisión activa que se está realizando, no es un requisito para que los ataques tengan éxito. Simplemente pueden lanzar sus ataques de forma que hagan el menor ruido posible. La mayoría de las veces, la combinación de demasiadas alertas, fatiga ante las alertas, configuraciones de seguridad deficientes o simplemente una plétora de vulnerabilidades explotables significa que tendrán tiempo de sobra para completar sus objetivos antes de que los defensores se den cuenta de que están ahí.

¿Por qué es peligroso el registro y la supervisión insuficientes?

La falta de registro y supervisión es peligrosa porque da a los atacantes tiempo no solo para lanzar sus ataques, sino también para completar sus objetivos mucho antes de que los defensores puedan lanzar una respuesta. El tiempo de espera depende de la red atacada, pero distintos grupos, como el Open Web Application Security Project (OWASP), calculan que el tiempo medio de respuesta de las redes violadas es de 191 días o más.

Piénsalo por un momento. ¿Qué pasaría si unos ladrones asaltaran un banco, la gente llamara a la policía y tardaran medio año en responder?

Los ladrones ya se habrían ido cuando llegara la policía. De hecho, ese mismo banco puede ser asaltado muchas más veces antes de que la policía responda al primer incidente.

Lo mismo ocurre en la ciberseguridad. La mayoría de las infracciones más notorias de las que se habla en las noticias no fueron operaciones del tipo aplastar y atrapar. A menudo, la organización objetivo solo se entera de una violación después de que los atacantes hayan tenido un control más o menos total sobre los datos durante meses o incluso años. Esto hace que el registro y la supervisión insuficientes sean una de las situaciones más peligrosas que pueden ocurrir cuando se intenta practicar una buena ciberseguridad.

Eliminar el registro y la supervisión insuficientes

Evitar un registro y una supervisión insuficientes requiere dos cosas principales. En primer lugar, todas las aplicaciones deben crearse con la capacidad de supervisar y registrar los errores de validación de las entradas del lado del servidor con suficiente contexto de usuario para que los equipos de seguridad puedan identificar las herramientas y técnicas, si no las cuentas de usuario, que utilizan los atacantes. O bien, estas entradas deberían formatearse en un lenguaje como STIX (expresión estructurada de información sobre amenazas), que las herramientas de seguridad puedan procesar rápidamente para generar las alertas adecuadas.

En segundo lugar, no basta con generar buenas alertas, aunque eso es un comienzo. Las organizaciones también deben establecer funciones y responsabilidades para que esas alertas se investiguen de manera oportuna. De hecho, muchas infracciones exitosas activaron alertas en las redes atacadas, pero esas advertencias no fueron escuchadas por cuestiones de responsabilidad. Nadie sabía a quién correspondía responder, ni daba por sentado que alguien más estaba investigando el problema.

Un buen punto de partida a la hora de asignar responsabilidades es adoptar un plan de respuesta y recuperación ante incidentes como el recomendado por el Instituto Nacional de Estándares y Tecnología (NIST) en publicación especial 800-61. Hay otros documentos de referencia, incluidos los específicos de varias industrias, y no es necesario seguirlos al pie de la letra. Sin embargo, es fundamental elaborar un plan que defina quién responde a las alertas dentro de una organización y cómo lo hace de manera oportuna.

Más información sobre el registro y la supervisión insuficientes

Para leer más, puede echar un vistazo a lo que dice OWASP sobre registro y supervisión insuficientes. También puedes poner a prueba tus nuevos conocimientos defensivos con el demo gratuita de la plataforma Secure Code Warrior, que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para obtener más información sobre cómo derrotar esta vulnerabilidad y la galería de otras amenazas de los delincuentes, visita la Blog de Secure Code Warrior.

¿Está listo para encontrar, corregir y eliminar el registro y la supervisión insuficientes ahora mismo? Dirígete a nuestro campo de entrenamiento: [Empieza aquí]