¿Es tu sistema de seguridad seguro?

Las empresas trabajan sistemáticamente para reducir su superficie de ataque. Segmentan redes, administran vulnerabilidades, implementan EDR/XDR e intentan automatizar sus esfuerzos de respuesta. Por paradójico que parezca, a menudo pasan por alto una pieza masiva del rompecabezas: la seguridad de las mismas herramientas que administran todo el sistema de defensa.

Esto puede ocurrir debido a un punto ciego mental. Es fácil suponer que, dado que una organización instaló todas las soluciones de seguridad necesarias, es seguro. En realidad, cualquier software añadido (incluso herramientas de seguridad) expande la superficie de ataque. Esto significa que esas herramientas también necesitan protección, comenzando por reforzarlas a través de la configuración correcta.

Por qué una consola de seguridad vulnerada es un escenario de pesadilla

Las herramientas de seguridad son tan sólidas como el sistema que las ejecuta. Si un atacante logra irrumpir en la infraestructura de una organización y tomar el control de la consola de administración de seguridad, básicamente tiene las riendas allí. Es la clave básica definitiva, que les brinda acceso directo a la administración de directivas centralizada, la supervisión de endpoints, las integraciones de API y todo lo demás.

En este escenario, el atacante no necesita perder el tiempo buscando formas inteligentes de eludir las defensas, todo lo que necesita hacer es modificar la configuración. Con el acceso a la consola, un atacante puede omitir las partes difíciles de una brecha:

• No tiene que explorar la red; la consola le ofrece al instante una visión panorámica de toda la infraestructura y la arquitectura de seguridad.
• No es necesario ocultar su actividad maliciosa, simplemente pueden modificar las directivas de seguridad, eliminar herramientas específicas o silenciar algunas alertas.
• En lugar de inventar formas de distribuir la carga útil a los endpoints de manera discreta, pueden aprovechar las herramientas integradas de la consola para la instalación masiva de software y actualizaciones.

Esta es exactamente la razón por la que la vulneración de la capa de control es tan peligrosa. Una mentalidad proactiva de ciberseguridad no se trata de cuántas herramientas se implementan; se trata de cuán resistente es en realidad la arquitectura de seguridad corporativa. Si la capa de control es el eslabón débil, ningún software de alta tecnología puede mitigar ese riesgo.

Cómo proteger la consola de seguridad

En teoría, la mayoría de los sistemas de administración de seguridad ya cuentan con todos los mecanismos necesarios para reforzar la protección. ¿Cuál es el problema? Estas medidas de refuerzo, incluso puntos básicos como la autenticación de dos factores, a menudo están disponibles pero no son obligatorias. Las recomendaciones de seguridad se publican, pero no siempre se implementan de manera congruente. A veces, son simplemente ignoradas. Peor aún, la configuración de seguridad crítica que está activada de manera predeterminada a menudo se puede desactivar con un solo clic, lo que propaga ese cambio a cada usuario al instante. Y seamos sinceros: la gente suele desactivar estas funciones por comodidad.

En el mundo real, esto significa que la seguridad corporativa termina dependiendo de la disciplina personal de un administrador. Pero la disciplina no puede servir como mecanismo de defensa arquitectónico.

El enfoque moderno para proteger la capa de control está cambiando hacia un modelo seguro de forma predeterminada. En esta configuración, las protecciones críticas se integran en la configuración básica y la capacidad de desactivarlas globalmente está restringida. Básicamente, la seguridad deja de ser una función opcional.

Se trata de eliminar las conjeturas sobre la seguridad de las herramientas defensivas y reducir la superficie de ataque a nivel de administración.

Cómo implementamos este enfoque en Kaspersky Security Center Linux

Nuestros productos se mueven constantemente hacia un modelo en el que los mecanismos de seguridad críticos son parte de la arquitectura base en lugar de una función opcional. Recientemente, lanzamos una nueva versión (16.1) de Kaspersky Security Center Linux, donde este cambio de arquitectura está integrado en sus principios básicos, principalmente al ajustar el control de acceso a la consola. Ahora, la autenticación de dos factores está activada de manera predeterminada y se ha eliminado la capacidad de desactivarla de forma global. Antes de actualizar, los administradores deben asegurarse de que la 2FA esté activada para todos los usuarios, incluidos aquellos que trabajan a través de Web Console o utilizan la automatización de OpenAPI.

Esto establece una protección fundamental para el acceso privilegiado al nivel de la consola. Reduce el riesgo de cuentas administrativas vulneradas, protege los canales de automatización, reduce la probabilidad de abuso de API y elimina las vulnerabilidades que provienen de hacer que la seguridad sea opcional. De esta forma, la superficie de ataque potencial se reduce específicamente en la capa de control de administración.

Sin embargo, como se mencionó anteriormente, el problema con la mayoría de las consolas y sistemas de administración no es la falta de funciones de seguridad, sino la falta de control sistemático sobre cómo se usan. Por ejemplo, a menudo vemos administradores con privilegios excesivos o configuraciones de conexión del servidor de administración poco seguras. Ya proporcionamos una guía de refuerzo para Kaspersky Security Center que cubre estos problemas en detalle, pero desafortunadamente no todos se toman el tiempo de leer los manuales técnicos detallados.

Es por eso por lo que, para asegurarnos de que nadie se pierda los puntos clave, hemos elaborado una lista de verificación estructurada para reforzar Kaspersky Security Center Linux, versión 16.1. Esta lista de verificación permite lo siguiente:

• Verificar que los privilegios de autenticación y acceso estén configurados correctamente.
• Identificar roles y usuarios con privilegios excesivos.
• Proporcionar orientación sobre cómo restringir el acceso de red a la consola.
• Enfatizar la protección de las API.
• Fortalecer los requisitos de cifrado.
• Garantizar que la auditoría y el registro se configuren correctamente.
• Reducir el riesgo de brechas de configuración.

Básicamente, esta es una herramienta para una auditoría sistemática de la capa de control. Garantiza que la consola no se convierta en un punto de entrada o una herramienta para que los atacantes se muevan lateralmente a través de la infraestructura. Cuantas menos configuraciones críticas se dejen a discreción del usuario, menor será el riesgo de error o vulneración.

La autenticación mejorada y el refuerzo estructurado de la consola de administración no son solo pequeños ajustes; representan un enfoque más completo de la administración de la seguridad. Planeamos continuar desarrollando esta capa de protección, reduciendo la superficie de ataque no solo a nivel de endpoint, sino dentro del propio sistema de administración. Puedes obtener más información sobre Kaspersky Security Center en la página de la consola; y la lista de verificación de refuerzo está disponible en nuestro sitio de soporte técnico.