Los aprendizajes de 3 ciberataques recientes apuntan a la segmentación de confianza cero

Los recientes incidentes de ciberseguridad como los que afectan a MITRE, la infraestructura energética danesa y la Biblioteca Británica son recordatorios de la importancia de la segmentación de la red para reducir el impacto de las infracciones y los ataques de ransomware.  

Cada uno de estos ataques muestra cómo la segmentación de confianza cero (ZTS) puede ayudar a defender de forma proactiva contra el movimiento lateral y contener de forma reactiva los ataques cuando inevitablemente ocurren. Esto se refleja en los reportes de incidentes y respuesta de los tres ataques y se alinea con la orientación de la Hoja de Información de Ciberseguridad más reciente de la NSA sobre seguridad de red.  

Lo que aprendimos de 3 ciberataques recientes

Las noticias sobre infracciones y ataques de ransomware no deberían ser una sorpresa. Las redes complejas e hiperconectadas de hoy en día significan que siempre habrá nuevas amenazas y brechas de seguridad no descubiertas. Lo importante es que las organizaciones estén preparadas para limitar el impacto de los ataques cuando ocurren.

Estas tres infracciones de interés periodístico sirven como excelentes estudios de caso sobre la importancia de la segmentación y su papel esencial en la preparación y supervivencia de la infracción.  

MITRE: La segmentación detuvo el movimiento lateral

Un hecho del panorama actual de amenazas es que las infracciones son inevitables, y esto es cierto incluso para organizaciones como MITRE , que son conocidas por su estable ciberseguridad. Sin embargo, MITRE estaba preparado para esta realidad en abril de 2024 cuando confirmaron que experimentaron una brecha en sus redes de investigación y creación de prototipos.  

Según el relato de MITRE sobre el incidente, el adversario desconocido "realizó un reconocimiento de nuestras redes, explotó una de nuestras redes privadas virtuales (VPN) a través de dos vulnerabilidades de día cero de Ivanti Connect Secure y eludió nuestra autenticación multifactor mediante el secuestro de sesión". La tecnología de identidad de MITRE no fue suficiente para prevenir el ataque.  

En cambio, la contención rápida de brechas resultante de las políticas de segmentación fue clave para detener el movimiento lateral de los atacantes, aislar las áreas infectadas y limitar el daño potencial:  

"Aislamos los sistemas y segmentos afectados de la red para evitar una mayor propagación del ataque. Simplemente cambiar las reglas del firewall de borde fue insuficiente, ya que esta red tenía conectividad con laboratorios en toda la compañía, y la contención efectiva requería cerrar la infraestructura de acceso y aislar los sistemas de borde en un conjunto diverso de laboratorios. Un inventario de red preciso fue fundamental para hacer esto de manera oportuna".

También es importante tener en cuenta su hallazgo de que las reglas de firewall no fueron suficientes para detener el movimiento lateral y aislar la infracción. En cambio, la microsegmentación, como parte de su arquitectura Zero Trust, fue esencial para cerrar por completo la conectividad y la comunicación entre los sistemas infectados y no infectados según su reporte.  

Aunque MITRE sufrió un ataque, estaban preparados para ver, contener y mitigar rápidamente el impacto de la violación. Una estrategia de Zero Trust con la segmentación de la red en su núcleo fue clave para su respuesta.

La Biblioteca Británica: La segmentación limitó el daño por violación

En octubre de 2023, la Biblioteca Británica sufrió un ataque de ransomware en el que se copiaron, exfiltraron y vendieron en el sitio web oscuro casi 600 GB de datos, incluidos datos personales de sus usuarios y personal. Una vez que la Biblioteca no accedió a pagar el rescate, los atacantes también cifraron datos y sistemas y destruyeron algunos servidores, inhibiendo la recuperación y restauración de datos.

El ataque destaca la naturaleza indiscriminada de los actores de amenazas actuales: incluso las organizaciones benéficas sin fines de lucro como la Biblioteca Británica no pueden asumir que son inmunes a los ataques.

En su reporte de marzo de 2024 sobre el ataque, la Biblioteca reconoció que su arquitectura de seguridad, incluida una combinación de sistemas modernos y heredados, no tenía una forma de detener inmediatamente el movimiento lateral o contener el ataque.  

El reporte dice que, en el futuro, la Biblioteca debe implementar mejores estrategias de resiliencia cibernética, incluida la segmentación de la red: "Ningún perímetro puede ser completamente seguro. Por lo tanto, la segmentación de la red es esencial para limitar el daño causado por un ataque exitoso. La topología de red heredada de la Biblioteca significó que el ataque pudo causar más daño de lo que fue posible en un diseño de red moderno".

Energía danesa: la falta de visibilidad y segmentación provocó una disrupción generalizada

Un ataque coordinado y bien planeado comprometió a 22 operadores energéticos responsables de diversos aspectos de la infraestructura energética danesa en mayo de 2023.  

Según la información de SektorCERT, una organización sin fines de lucro que gestiona una red de sensores para detectar, identificar e investigar amenazas al sistema energético crítico danés, muchos operadores miembros carecían de visibilidad y segmentación completas en sus redes.  

SektorCERT pudo detectar con éxito el ataque antes de que se extendiera más, pero su investigación encontró que muchos operadores miembros no sabían de vulnerabilidades en sus redes individuales, especialmente entre los sistemas de TI y OT, o que sus redes fueron atacadas. Con una visibilidad de extremo a extremo de las dependencias de las aplicaciones y el tráfico de la carga de trabajo, los operadores podrían ver y cerrado las brechas de seguridad que permitieron que el ataque se extendiera a través de sus redes individuales y en toda la infraestructura energética nacional.

Los atacantes también aprovecharon una vulnerabilidad explotable de forma remota en los firewalls perimetrales de los operadores como punto de partida para su violación inicial. Si bien muchos operadores tenían firewalls en el perímetro de la red, carecían de una segmentación efectiva dentro del interior de la red. Esto permitió a los atacantes propagar rápida y silenciosamente a través de la red luego de la violación inicial. El reporte señala específicamente la segmentación como clave para preparar de manera proactiva para las infracciones y responder rápidamente a los ataques activos.  

La segmentación de confianza cero es esencial para preparar y responder a los ataques

En medio de la incertidumbre del panorama actual de amenazas, estos tres ataques dejan clara una lección: el papel fundamental de la segmentación de confianza cero (ZTS) en el fortalecimiento de las defensas cibernéticas. De hecho, la nueva hoja de información de ciberseguridad de la NSA, Avanzando en la madurez de Zero Trust en todo el pilar de red y entorno, reconoce a ZTS como una parte esencial y fundamental de cualquier arquitectura de Zero Trust.

Preparar de manera proactiva para posibles ataques

Los enfoques tradicionales de ciberseguridad, centrados en las defensas basadas en el perímetro, ya no son suficientes para proteger las complejas redes interconectadas de hoy en día. En lugar de asumir que es posible prevenir todos los ataques cibernéticos, ZTS asume que las infracciones son inevitables.

Al segmentar la red en zonas más pequeñas y aisladas y aplicar estrictos controles de acceso, las organizaciones pueden minimizar la superficie de ataque y mitigar el riesgo de movimiento lateral por parte de actores maliciosos. Este enfoque proactivo no solo fortalece la resiliencia contra las amenazas cibernéticas, sino que también permite a las organizaciones contener el impacto de los incidentes de seguridad cuando ocurren.

Responda rápidamente a los ataques activos

ZTS también garantiza la resiliencia frente a ataques activos. En caso de un incidente de seguridad, las redes segmentadas actúan como compartimentos virtuales, conteniendo el daño y evitando que se propague sin control. Este mecanismo de contención es especialmente importante en las compañías interconectadas de hoy en día, donde una sola violación puede tener efectos en cascada en toda una red o incluso en varias organizaciones.  

Al limitar el radio de explosión de posibles infracciones y evitar el movimiento lateral, ZTS permite a las organizaciones minimizar el impacto de los incidentes de seguridad y mantener la continuidad operativa.  

Contáctenos para saber cómo la plataforma de segmentación Illumio Zero Trust prepara a su organización para proteger de manera proactiva y reactiva contra el próximo posible ataque cibernético.