Escondiéndose a plena vista: por qué el ataque a SolarWinds reveló algo más que un ciberriesgo malicioso

Una versión de este artículo apareció en Lectura oscura. Se ha actualizado y distribuido aquí.

‍

Si alguna vez hubo algo que arruinó la Navidad en la industria de la ciberseguridad, es una devastadora violación de datos que está en camino de convertirse en mayor evento de ciberespionaje afectando oficialmente al gobierno de los Estados Unidos.

El ataque a SolarWinds tiene un gran alcance, ya que los actores de amenazas han violado inicialmente el software. ya a mediados de 2019. Este atraco, que duró meses, se descubrió en diciembre de 2020 después de que se utilizara para infiltrarse en una importante empresa de ciberseguridad, FireEye, y la pesadilla se deshizo a partir de ahí. Aún se está investigando el alcance total de la violación, pero entre las áreas clave de infiltración figuran los Departamentos de Estado, Seguridad Nacional, Comercio y Tesoro de los Estados Unidos, además del Instituto Nacional de Salud.

Este incidente va a tener réplicas continuas, pero su sofisticación es fascinante. Desde el punto de vista técnico, se trata de una infiltración de varios niveles que incluye herramientas malintencionadas personalizadas, puertas traseras y código encubierto, algo que supera con creces la habilidad de los programadores que tan a menudo vemos aprovechar errores más obvios.

El lavado de código en su peor momento

CrowdStrike ha hecho más de su genial trabajo al aplicar ingeniería inversa al exploit, y detallando los hallazgos para que todos lo vean. Ahora ha salido a la luz que SolarWinds fue víctima de una violación de la infraestructura, lo que permitió inyectar código malintencionado en las actualizaciones del sistema, lo que dio como resultado al menos cuatro herramientas de malware independientes que abrieron un acceso sin precedentes para los actores de la amenaza.

El método era encubierto, lo que permitía una precisión estratégica que parece sacada de una novela de Jason Bourne. Ganó tiempo para rastrear, planificar y atacar a las víctimas fuera de la red de SolarWinds exactamente cuando querían, mediante un ataque integral a la cadena de suministro. Y todo se llevó a cabo con un código que parecía completamente benigno.

Los ciberataques suelen ser el resultado de errores simples pero costosos. Y una vez descubiertos, los errores son bastante obvios; piense en una red mal configurada, con las contraseñas almacenadas en texto sin formato, o software sin parches que es vulnerable a exploits conocidos. En este caso, el código no llamó la atención en absoluto, y no solo para los desarrolladores e ingenieros de seguridad. Una gran cantidad de tecnologías de seguridad costosas y complejas tampoco lo detectaron.

Las herramientas de monitoreo de seguridad y pruebas de penetración se volvieron prácticamente inútiles.

Los profesionales de la seguridad suelen ser tan escasos como los excrementos de un caballo balancín, por lo que cuentan con la ayuda de un conjunto de tecnologías que se adaptan a las necesidades de seguridad de la empresa para proteger enormes cantidades de datos, software e infraestructuras empresariales. Esto suele consistir en componentes como los firewalls de red, las pruebas de penetración automatizadas y las herramientas de supervisión y escaneo, ya que estas últimas ocupan mucho tiempo en el proceso de desarrollo del software. Estas herramientas pueden crecer rápidamente y convertirse en herramientas indisciplinadas de administrar y ejecutar, y muchas empresas las utilizan más de 300 productos y servicios diferentes.

SolarWinds contaría con una impresionante variedad de herramientas para encontrar y resaltar los errores de seguridad en el código, los intentos de acceso no autorizado a la red, los posibles riesgos en cualquier parte de la infraestructura e incluso detectar señales de evasión de la detección. No tiene precedentes que estos actores de amenazas hayan podido inyectar código malintencionado que ni siquiera los sistemas de seguridad más avanzados podían descubrir.

El fortalecimiento de la infraestructura, especialmente el control de acceso, es un componente fundamental de las mejores prácticas generales de ciberseguridad, pero si un atacante puede aprovechar discretamente una pequeña oportunidad, la red puede verse comprometida al igual que una vulnerabilidad en un software independiente.

Esta violación es un recordatorio de que, en general, cualquier empresa que dependa en gran medida de las herramientas para proteger su infraestructura de red y su software corre un riesgo enorme. No siempre basta con proteger el código; todo lo que lo almacena, ejecuta y compila debe estar igualmente protegido. El estado ideal es lograr un equilibrio entre las herramientas y las personas y ejecutar una estrategia sólida que evalúe y reduzca en profundidad la posible superficie de ataque.

El conocimiento de la seguridad entre los equipos permite un mejor modelado de amenazas

La violación de SolarWinds ya ha empezado a tener un impacto significativo en las operaciones de seguridad, especialmente a nivel gubernamental. Los expertos están promocionando que esto podría remodelar las prácticas de ciberseguridad para siempre.

Una infraestructura cada vez más digital impulsa nuestras vidas y, si bien puede ser vulnerable a los ataques si no se gestiona meticulosamente, nuestra estrategia general es defectuosa. Tenemos una enorme escasez de personal en lo que respecta a la experiencia en seguridad, pero no estamos haciendo mucho para cerrar la brecha. La conciencia de seguridad impulsada por las personas es un elemento infrautilizado de la ciberseguridad, al igual que hacer de la prevención, en lugar de la reacción, una prioridad.

La seguridad de la infraestructura es una tarea compleja con muchas partes móviles, pero, al igual que la forma en que se posicionan en la creación de software, los desarrolladores pueden ser una ventaja para reducir el riesgo estructural si están debidamente capacitados y son conscientes de la seguridad.

El modelado de amenazas rara vez tiene en cuenta los ataques a la cadena de suministro, a pesar de que este tipo de ataque es destacado ya en 2012 como un riesgo clave que es difícil de prevenir con las técnicas actuales, y deja a muchas empresas poco preparadas. No cabe duda de que los desarrolladores de software podrían desempeñar un papel en la prevención, y esto empieza por asegurarse de que están mejor cualificados y son capaces de evaluar la integridad de su código desde dentro hacia fuera. ¿Han creado el mecanismo de actualización de forma segura? ¿El software funciona con una conectividad innecesaria que podría facilitar el acceso malintencionado?

Cuando la seguridad es sinónimo de calidad del software, es fácil darse cuenta del inmenso valor que puede aportar un ingeniero consciente de la seguridad.