Lo que el 2018 puede enseñarnos acerca del 2019
Desde ataques patrocinados por el estado y sistemas industriales vulnerables hasta una escasez constante de profesionales de seguridad, 2018 nos trajo infracciones más grandes, ataques DDoS más grandes y el desafío cada vez mayor que enfrentan las organizaciones para defender su infraestructura de los delincuentes. Fue un año de novedades: ataques DDoS de una semana de duración en terabytes, monitorización de sistemas comprometidos para la minería de criptomonedas y un aumento de motivos políticos y militares para lanzar ataques. También entraron en vigor las normas obligatorias de protección de datos y privacidad del RGPD, modificando los derechos individuales a la protección de datos personales con impacto a nivel mundial.
Las aplicações fueron notablemente el objetivo principal, más allá de los propios usuarios, de los cibercriminales en 2018 y, al mirar hacia el nuevo año, una cosa es segura: este fenómeno permanecerá sin cambios. Las aplicações y sus usuarios seguirán estando en riesgo y, a medida que se acerca el año 2019, debemos estar preparados para la continua evolución del ciberdelito.
Estas son algunas de las principales áreas donde vemos nuevas tendencias y riesgos sostenidos:
Seguridad en la nube : surgirá una doble responsabilidad entre el cliente y el proveedor de nube en lo que respecta a la seguridad de las aplicaciones, lo que conducirá a un aumento de los servicios de seguridad gestionados.
Existe una responsabilidad compartida para proteger los sistemas en la nube. Si bien el proveedor de nube es responsable de su infraestructura y de los servicios que adquiere un cliente, proteger la aplicação en sí es responsabilidad del cliente. A medida que más organizaciones dependen de los servicios en la nube, los proveedores de la nube están trazando un límite para ayudar a las organizaciones a comprender dónde termina su responsabilidad. Muchas de las primeras soluciones de seguridad en la nube se crearon por necesidad, pero a medida que más aplicações críticas se migran a la nube, será responsabilidad del cliente garantizar que se implementen las políticas adecuadas, la gestión de acceso y otras protecciones de seguridad para los requisitos únicos de su aplicação . El próximo año podría haber un aumento en los proveedores de servicios de seguridad administrados (MSSPs) que ofrezcan servicios necesarios de los que carece un proveedor de nube tradicional… con la tendencia continua de que el personal de seguridad sigue siendo limitado.
La seguridad realmente se convierte en un asunto de todos
A medida que más unidades de negocio (RR.HH., Finanzas, etc.) implementen sus servicios en la nube, también necesitarán adoptar medidas de seguridad. A menudo, esto se hace en conjunto con su departamento de TI, o al menos siguiendo algunas "mejores prácticas", pero habrá muchos que, mientras se apresuran a migrar a la nube, olvidarán o renunciarán a la seguridad en su búsqueda de agilidad. Para las empresas en general, una mayor adopción de la nube significa aumentar los presupuestos para la seguridad de la infraestructura de la nube, los servicios administrados, la IAM, el análisis del comportamiento de los usuarios y las soluciones de tipo orquestación/automatización.
Las organizaciones también pueden buscar incorporar más seguridad al código, pero también necesitan consideraciones de seguridad dentro de las funciones de DevOps. Cualquiera que sea la medida de seguridad (WAF, IPS, IAM, proxy), esos servicios deben considerarse y probarse durante el desarrollo.
En 2019, finalmente se asignará un mayor presupuesto a la seguridad de las aplicação . Esto es bueno porque todas nuestras vidas dependen de esas aplicações.
IoT : la cantidad de dispositivos IoT comprometidos aumentará a medida que los atacantes se concentren en la capa de la aplicación, y la detección de bots será fundamental.
Hoy en día hay miles de millones de dispositivos conectados y se prevé que miles de millones más se conecten en los próximos años. Muchos de ellos tienen una seguridad limitada o nula, lo que los hace propensos a ser adquiridos. En el pasado, las botnets de IoT solo se consideraban teóricas hasta que apareció Mirai en 2016 . Hoy en día, los ThingBots que lanzan ataques DDoS son una ocurrencia diaria.
Teniendo en cuenta esto, la defensa proactiva contra los bots será crucial el próximo año. Si bien es posible que ya tenga un firewall de aplicação web (WAF), muchos WAF tradicionales no brindan esta importante función ni tienen la capacidad de mitigar las amenazas en evolución dirigidas a la capa de aplicación. Se necesitan protecciones más avanzadas para abordar las amenazas que avanzan en la pila de aplicaciones.
La responsabilidad de la seguridad del IoT puede recaer en el fabricante
Para abordar las características de seguridad limitadas en los dispositivos IoT, California aprobó recientemente una ley ( SB 327 ) que otorga más responsabilidad a los fabricantes. Si bien no ofrece muchos detalles específicos, exige que, " a partir del 1 de enero de 2020, se requerirá que un fabricante de un dispositivo conectado, según se definen esos términos, equipe el dispositivo con una característica o características de seguridad razonables que sean apropiadas para la naturaleza y función del dispositivo, apropiadas para la información que pueda recopilar, contener o transmitir, y diseñadas para proteger el dispositivo y cualquier información contenida en él del acceso no autorizado, según se especifique".
Este es un primer paso importante en la regulación legislativa respecto a estos dispositivos no tan inteligentes. También podría sentar un precedente que otros estados seguirán pronto. La ley exige que los fabricantes revelen la información/los datos que el dispositivo recopila, contiene y transmite. También requiere que cada dispositivo tenga una contraseña única que los usuarios puedan cambiar antes de usarlo. Esto es importante porque muchos dispositivos IoT comprometidos no tienen contraseña o la predeterminada es bien conocida y, por lo tanto, son explotados.
Móvil : la gestión de la movilidad empresarial continúa avanzando a medida que más organizaciones avanzan hacia una estrategia de “traiga su propio dispositivo”.
No estamos hablando de ningún nuevo iPhone, Android, Samsung u otros modelos, sino más bien de áreas como el acceso basado en políticas, la biometría del comportamiento, el 5G y la movilidad empresarial/BYOD.
El acceso basado en políticas permitirá a los empleados acceder a los datos mediante cualquier dispositivo, siempre que dichos datos estén protegidos mediante cifrado o contenedores de trabajo virtuales y aislados que pueden borrarse si el dispositivo se pierde, es robado o si el empleado abandona la empresa.
Los dispositivos también mejorarán a la hora de identificar y autenticar al propietario. Los programas de reconocimiento facial más nuevos pueden determinar los contornos de la cara o evolucionar para reconocer la voz, los movimientos o el estilo de escritura de la persona para desbloquear el teléfono. Esto es ciertamente importante a medida que más trabajadores acceden a los recursos corporativos desde sus dispositivos personales.
Personas y sociedad : La ingeniería social y el phishing seguirán siendo vías muy exitosas para el fraude, y la privacidad se volverá aún más difícil de alcanzar.
El phishing es el vector de ataque número 1 según la investigación de amenazas de F5 Labs. Las tácticas de ingeniería social han hecho que las estafas de phishing sean mucho más sofisticadas y difíciles de detectar. Los atacantes se benefician de la piratería mediante la monetización y eso determina el tipo y la frecuencia de los incidentes que ocurren. A menudo, los ataques de phishing son una forma de robar una identidad para luego usarla en un ataque de aplicação . Según Symantec, el usuario promedio recibió 16 correos electrónicos maliciosos por mes el año pasado. Si sufre una suplantación de identidad (phishing), preste mucha atención a intrusiones adicionales. Si bien mantener la privacidad total en la era digital actual es casi imposible (y se vuelve más complejo con la gran cantidad de dispositivos inteligentes personales), recuerde que la mayoría de nosotros compartimos voluntariamente detalles sobre nosotros mismos a diario. Aunque nuestros datos e información se hayan esparcido por todo Internet, aún debemos tomar todas las precauciones de seguridad y privacidad que podamos. El RGPD de Europa busca proteger cada pieza de información personal y cualquier violación podría desmantelar una organización debido a las multas del RGPD. Con el RGPD, el impacto en la reputación de una organización afectada puede tener consecuencias duraderas.
Debemos ser inteligentes, permanecer atentos y observar cuánto estamos regalando. Nunca se sabe cuándo ese viejo amigo de la secundaria aparece de repente en un correo electrónico preguntándote si irás a la fiesta de bienvenida. Consejo profesional: ¡¡¡No hagas clic en el enlace!!!