@Cisco @Cisco_LA El Reporte de Ciberseguridad de Cisco de medio año 2016
La siguiente generación de ransomware: nuevas tácticas emergen para maximizar las Ganancias
Cerrar la “ventana de oportunidad” a los atacantes es una de las
principales prioridades para las organizaciones; Cisco lidera la industria en
materia de reducción de los tiempos de detección, con un nuevo tiempo de
detección de menos de 13 horas
San José, CA, 17 de agosto 2016 - El Reporte de Ciberseguridad de Cisco®
(NASDAQ: CSCO) de Medio Año 2016 (MCR, por sus iniciales en inglés) encuentra
que las organizaciones no están preparadas para enfrentar las nuevas formas más
sofisticadas de ransomware. Factores como: infraestructura frágil, falta de
mantenimiento en las redes y lentitud en los rangos de tiempo de detección,
están dándole una ventana de tiempo y espacio a los adversarios para que
operen.
De acuerdo con el reporte, la lucha para mantener los espacios
operativos libres de ataques, es el desafío más grande que están enfrentando
los negocios, amenazando a su vez los fundamentos requeridos para una
transformación digital. Otros descubrimientos clave del reporte indican que los
adversarios están expandiendo su enfoque hacia ataques paralelos a los
servidores (server-side attacks), involucrando nuevo métodos en sus ataques e
incrementando el uso de encriptación para ocultar su actividad.
Hasta ahora en el 2016, ransomware se ha vuelto el malware más
rentable de la historia. Cisco prevé que esta tendencia continúe con ransomware
aún más destructivos que podrán expandirse y mantenerse en redes completas y
por lo tanto convertir a compañías enteras en rehenes. La nueva cepa de
ransomware tendrá la capacidad de cambiar rápidamente de tácticas para
maximizar su eficiencia. Los futuros ataques de ransomware, por ejemplo,
evitarán la detección al limitar el uso del CPU y limitar los comandos de
acción y control. Estos nuevos tipos de ransomware se esparcirán más
rápidamente y tendrán la capacidad de auto replicarse dentro de las organizaciones
antes de iniciar o coordinar actividades de rescate.
La visibilidad a lo largo de la red y sus endpoints continúa
siendo uno de los principales desafíos. En promedio, las organizaciones se
tardan aproximadamente 200 días para identificar nuevas amenazas. El tiempo
estimado de detección de Cisco (Cisco’s median time to detection -TTD) supera
en la industria, alcanzando un nuevo tiempo récord de 13 horas para la
detección de amenazas que no hayan sido identificadas con anterioridad en los
seis meses previos a abril de 2016. Estos resultados están más debajo de las
17.5 horas obtenidas en periodo que terminó en octubre de 2015. Detectar más
rápidamente las posibles amenazas es crítico para limitar y detener el espacio
de operatividad de los atacantes y así minimizar los daños de las intrusiones.
Esta cifra está basada en datos de seguridad en telemetría (opt-in security
telemetry) tomada de los productos de seguridad de Cisco desplegados alrededor
del mundo.
Mientras los atacantes innovan, muchos de los defensores continúan luchando para mantener la seguridad de sus equipos y sistemas. Los sistemas que no tengan soporte o no estén actualizados ofrecen a los atacantes oportunidades adicionales para tener acceso más fácilmente, permanecer sin ser detectados y maximizar los daños y las ganancias obtenidas.
El Reporte de Ciberseguridad de Medio Año de 2016 de Cisco
demuestra que este es un desafío que persiste a nivel y escala global. Mientras
que organizaciones en industrias críticas como la de la salud, han
experimentado un incremento en los ataques durante los últimos meses, los
hallazgos del reporte indican que todos los mercados verticales, regionales y
globales están siendo atacados. Clubes, organizaciones, asociaciones de
beneficencia, organizaciones no gubernamentales y negocios electrónicos han
experimentado un incremento en el número de ataques en la primera mitad del
2016. En el escenario mundial, las preocupaciones geopolíticas incluyen la
complejidad de las regulaciones y de las políticas de ciberseguridad que son
contradictorias entre países. La necesidad de controlar o acceder a datos puede
limitar y entorpecer los procesos del comercio internacional en un panorama de
amenazas de ataque más sofisticadas.
Atacantes operando sin restricciones
Para los atacantes, más tiempo para operar sin ser detectados se
convierte en mayores ganancias. En la primera mitad del 2016, Cisco reporta que
las ganancias de los atacantes han tenido un crecimiento exponencial, debido a:
Enfoque de expansión: Los atacantes están ampliando
su enfoque de ataque del estar en los clientes al lado de los exploits de los
servidores, evadiendo la detección y maximizando los daños potenciales y sus
ganancias.
·
Las vulnerabilidades de Adobe Flash continúan siendo uno de los
principales objetivos de malvertising yexploit kits. En el popular kit de
explotación nuclear, los de Flash representaron el 80 por ciento de los
intentos exitosos de exploits.
·
Cisco también identificó una nueva tendencia en ataques de
ransomware que aprovecha las vulnerabilidades de los servidores –
específicamente dentro de los servidores JBoss – de los cuales, el 10 por
ciento de los servidores conectados a internet alrededor del mundo, se
encontraban comprometidos. Muchas de las vulnerabilidades que se usaron para
comprometer los sistemas JBoss se identificaron hace 5 años, lo que indica que
ajustes básicos y actualizaciones de los vendedores pudieron haber prevenido
fácilmente los ataques.
Evolucionar los métodos de ataque: Durante la primera mitad del
2016, los adversarios continuaron evolucionando sus métodos de ataque para
capitalizar la falta de visibilidad de los defensores.
·
Windows Binary exploits creció hasta convertirse en el principal
método de ataque web de los últimos seis meses. Este método proporciona un
fuerte punto de apoyo en las infraestructuras de red y hace que los ataques
sean más difíciles de identificar y eliminar.
·
Durante este mismo rango de tiempo, la ingeniería social a
través de estafas de Facebook descendió al segundo lugar de la primera posición
que ocupó en 2015.
Cubriendo las pistas: Contribuyendo a los desafíos
producto de la falta de visibilidad de los defensores, los adversarios están
incrementando el uso de encriptación como un método para enmascarar varios
componentes de sus operaciones.
·
Cisco identificó el uso de cryptocurrency, Transport Layer
Security y Tor, que posibilitan comunicaciones anónimas a través de la web.
·
De manera significativa, el malware HTTPS-encrypted usado en
campañas de malvertising se incrementó en un 300 por ciento de diciembre de
2015 a marzo de 2016. El malware encriptado le da a los adversarios la
posibilidad adicional de ocultar sus actividades en la web y así expandir su
tiempo de operación.
Los defensores luchan para reducir las vulnerabilidades, cerrar
las brechas
En un marco de ataques sofisticados, recursos limitados y una
infraestructura que está envejeciendo, los defensores están luchando para
mantener el paso con sus competidores. Los datos sugieren que los defensores
realizan menos una “higiene” adecuada de la red como lo es el patching, la
tecnología más crítica tecnología para la operación comercial. Por ejemplo:
·
En los espacios de motores de búsqueda, Google Chrome, emplea
actualizaciones constantes ytienen alrededor de 75 a 80 por ciento de sus
usuarios usando la última versión del buscador o una versión anterior.
·
Cuando cambiamos de buscador a software, Java experimenta
migraciones paulatinas con un tercio de los sistemas que corren con el Java SE
6, que está siendo desplazado por Oracle (La última versión SE 10 )
·
En la versión 15 de Microsoft Office 2013,10 % o menos de la
población con una versión más avanzada está usando la versión más nueva del
Service Pack.
Adicionalmente, Cisco encontró que mucha de su infraestructura
no tenía soporte o continuaba operando con vulnerabilidades que conocían. Este
es un problema sistemático con los proveedores y los endpoints.
Específicamente, investigadores de Cisco examinaron 103,121 de sus dispositivos
conectados a internet y descubrieron que:
·
Cada dispositivo estaba operando con al menos 28
vulnerabilidades conocidas.
·
Los dispositivos estaban operando activamente con
vulnerabilidades conocidas durante un promedio de 5.64 años.
·
Más de 9 por ciento tiene conocimiento de vulnerabilidades que
llevan más de 10 años operando.
En comparación, Cisco también examinó la infraestructura de
software en una muestra de más de 3 millones de instalaciones. La mayoría de
estas eran Apache y OpenSSH con un promedio de 16 vulnerabilidades conocidas,
operando por un promedio de 5.05 años.
Las actualizaciones de los buscadores son más livianas para los
endpoints, mientras que las aplicaciones de las compañías y de los servidores
de infraestructura son más difíciles de actualizar y pueden causar problemas de
continuidad en los negocios. En esencia, entre más crítica sea una aplicación
para la operación del negocio, menores son las posibilidades de que esta sea
abordada con frecuencia, creando brechas y oportunidades para los atacantes.
Cisco aconseja seguir pasos simples para proteger los ambientes
de negocio
Los investigadores de Cisco Talos han observado que las
organizaciones que toman algunos simples pero significativos pasos, pueden
mejorar en gran manera la seguridad de sus operaciones. Estos incluyen:
·
Mejorar el mantenimiento de la
infraestructura de la red, mediante:
el monitoreo de la red, desplegar los patches y actualizaciones a tiempo,
segmentar la red, implementar defensas en los límites de la red, que incluya
email y seguridad web, Firewalls de Next- Generation y Next-Generation IPS.
·
Integrar las defensas, por
medio de un acercamiento de seguridad desde la infraestructura vs. el
despliegue de los productos de nicho.
·
Medir el tiempo de detección, insistir en los tiempos más
rápidos disponibles para exponer las amenazas y abordarlas inmediatamente.
Hacer a las métricas parte de la política organizacional de seguridad para
promover el desarrollo.
·
Proteger
a los usuarios donde quiera que estén y donde sea que trabajen,
no solamente los sistemas con los que interactúan o en los tiempos en los que
están utilizando la red corporativa.
·
Hacer Respaldo de datos
críticos y de
manera rutinaria evaluar la efectividad y al mismo tiempo confirmar que los
respaldos no estén susceptibles a ser comprometidos.
Citas
de apoyo
“Mientras que las organizaciones están capitalizando en nuevos
modelos de negocio presentados por la transformación digital, velar por la
seguridad es fundamental. Los atacantes están moviéndose sin ser detectados y
están expandiendo su tiempo para operar. Para cerrar la ventana de
oportunidades de los atacantes, los clientes van a requerir más visibilidad en
sus redes y deben mejorar actividades cómo realizar ajustes y eliminar infraestructura
antigua que no tenga las capacidades de seguridad avanzada.
Mientras los atacantes continúen monetizando sus golpes a la
seguridad de las compañías y creando modelos de negocios muy rentables, en
Cisco continuaremos trabajando con nuestros clientes para ayudarles a igualar y
exceder los niveles de sofisticación de los atacantes, tener más control y
mayor visibilidad”.
Marty Roesch, Vicepresidente and Arquitecto Jefe, Grupos de
Seguridad de Negocio Cisco
Sobre el reporte
El Reporte de Ciberseguridad de Medio Año 2016 de Cisco examina
las últimas amenazas de inteligencia recopiladas por el Cisco Collective
Security Intelligence. El informe provee perspectivas industriales basados en
datos y tendencias de ciberseguridad, del primer semestre 2016. Adicionalmente
presenta una recopilación de acciones recomendada para mejorar las políticas de
seguridad. Está basado en una recopilación de datos que se sustenta y alimenta
en más de 40 mil millones de puntos de telemetría. Los investigadores de Cisco
traducen la inteligencia en protecciones en tiempo real con productos y
servicios que llegan de manera inmediata a los clientes de Cisco.
No hay comentarios.