De ASM a ARM

En los últimos años, el concepto de "gestión de la superficie de ataque" (ASM, por su nombre en inglés) se ha popularizado entre los proveedores de ciberseguridad. Sin embargo, hace poco nos dimos cuenta de que lo que suele englobar este concepto no se ajusta del todo a lo que ofrecemos en la compañía. De hecho, se queda corto. Lo que diversas empresas pretenden ofrecer actualmente en el mercado con la ASM está lejos de lo que nosotros pretendemos. Nuestra contribución a la ciberseguridad es más profunda. Por eso hemos decidido adoptar un concepto más nuevo: "gestión de la resistencia a ataques" (ARM, por su nombre en inglés). La ARM nos permite generar una diferenciación más precisa y evitar malentendidos. Abarca mejor lo que hacemos y lo que ofrecemos. En este artículo te ayudamos a comprender mejor los conceptos ASM y ARM y nuestra transición de uno a otro.

Todo parece perfecto con la ASM, pero ¿es suficiente para el plan de ciberseguridad de una organización? Uno de los problemas de la ASM es su limitación al escaneo, a la simple intervención de herramientas automatizadas que supuestamente "suplantan" a los atacantes. Debemos reconocer que la práctica de reconocimiento de los atacantes no se limita necesariamente al uso de herramientas automatizadas. De ahí la necesidad de la intervención humana con procedimientos manuales. Otra dificultad de la ASM es que, en algunos casos, se limita a ambientes externos o internos. Esto deja importantes lagunas de reconocimiento o puntos ciegos para la organización que solicita el servicio. Como afirma Oltsik en CSO, la categoría emergente de la ASM se centra únicamente en los activos orientados a la Internet.

Una organización necesita visibilidad de extremo a extremo de su superficie de ataque y descubrir todos los activos e interacciones dentro de su ecosistema de TI. Una ASM profunda no se limita a mirar a nivel de URL, sino que también enumera la superficie interna. Una ASM extensa debería enumerar tecnologías como puertos, servidores, sistemas operativos, dispositivos móviles y de IoT, componentes de terceros (incluidos los de código abierto), APIs, microservicios, contenedores, IaC, SaaS, recursos en la nube, así como datos como direcciones IP, credenciales y código expuesto, interacciones con socios y terceros (incluidos los proveedores de la cadena de suministro) y mucho más. Los ambientes internos y externos son dinámicos y cambian constantemente, es decir, crecen, se complejizan y se dispersan con la adición de servicios, interacciones, software, usuarios y dispositivos. Por lo tanto, otro problema de la ASM es que a menudo no es un proceso continuo, con una supervisión permanente de los cambios en la superficie de ataque a lo largo del tiempo.

Por supuesto, los proveedores pueden resolver los problemas mencionados optimizando las soluciones de ASM. Sin embargo, procesos tan relevantes en ciberseguridad como la "gestión de vulnerabilidades," por ejemplo, con la clasificación y priorización de vulnerabilidades en objetivos específicos de evaluación, quedan a veces fuera de la oferta de ASM. De hecho, Gartner menciona la gestión de vulnerabilidades como uno de los tres pilares de la llamada "gestión de exposición", siendo los otros dos la ASM y el componente de "validación". Sin entrar en sus clasificaciones, lo que podemos decir es que la ASM siempre necesita complementarse. Como enfoque único de la ciberseguridad, puede resultar insuficiente.

Las organizaciones deberían reconocer que sus planes de ciberseguridad no solo deben enfocarse en la identificación de sus activos y los riesgos que teóricamente pueden conllevar, sino también en la práctica de ataques simulados y la evaluación de sus impactos. Con la ASM es posible hacerse una idea de cómo luce la organización evaluada para los atacantes, qué formas de ataque podrían emplear y cuáles son algunos de los posibles riesgos. Con la inclusión de la gestión de vulnerabilidades es posible responder a preguntas como cuáles son esas vulnerabilidades de seguridad presentes en la superficie de ataque de la organización, cuáles son esos activos con vulnerabilidades con más probabilidades de ser explotadas por actores de amenazas y cómo puede la organización conseguir remediarlos. Pero, ¿qué ocurriría si un hacker malicioso lanzara un ataque contra la organización? ¿Cómo respondería, cuál sería el impacto, y, sería capaz de resistirlo?

La ARM entra entonces en escena. Además de tratar de enumerar los recursos, mejorar el conocimiento de una organización sobre su superficie de ataque, calificar sus riesgos e incluso ayudar a remediar los problemas de seguridad detectados en ella, esta solución es clara al afirmar que ayuda a aumentar la resistencia de una organización a los ciberataques. ARM trata de responder a las preguntas: ¿cómo funcionan y cómo deberían funcionar los controles de prevención, detección y respuesta ante ataques de una organización? Con esta solución, una organización puede gestionar y supervisar no solo la superficie de ataque, sus vulnerabilidades y la exposición al riesgo, sino también sus pruebas de seguridad.

Básicamente, este nuevo concepto engloba una ASM que, como decíamos, debe ser integral y constante para estar al tanto de todos los activos y cambios en los ambientes locales y externos de una organización. A esta ASM, la ARM añade pruebas de seguridad continuas, preferiblemente desde el principio del SDLC, que también se mantienen al día con las actualizaciones en la organización evaluada. En otras palabras, los activos detectados significan activos añadidos al alcance de las pruebas. Estas pruebas de seguridad en la ARM van más allá del uso de herramientas automatizadas, involucrando el trabajo de hackers éticos altamente certificados y experimentados. Estos hackers tienen como objetivo evaluar todos los vectores de ataque posibles, adaptándose a los contextos específicos y a la lógica de negocio de cada organización.

Así, en la ARM, existe una forma innegable de ver cómo un actor de amenazas percibe toda la superficie de ataque de una organización y puede actuar sobre ella. Siguiendo las tácticas, técnicas y procedimientos empleados por los delincuentes, los hackers éticos reconocen los activos (tanto conocidos como desconocidos para la organización evaluada), identifican vulnerabilidades en ellos y planifican y realizan ataques que permiten medir con precisión la exposición al riesgo. Recordemos por enésima vez que las herramientas automatizadas, aunque más rápidas y baratas, se centran únicamente en la detección de vulnerabilidades comunes y conocidas. Para encontrar los problemas de seguridad que quedan fuera de las bases de datos de las herramientas, es decir, aquellos que desconocen, a menudo más complejos y de mayor severidad, y, por supuesto, para explotarlos, están los hackers éticos.

En Fluid Attacks te ofrecemos Hacking Continuo integral con nuestras herramientas automatizadas y hackers éticos que generan informes en un único lugar: nuestra plataforma. En esta plataforma, dispones no solo de un registro constante de la superficie de ataque identificada y evaluada de tu organización, sino también de las vulnerabilidades detectadas en ella a lo largo del tiempo y de la exposición al riesgo de tu organización. Allí recibes amplios detalles sobre nuestros hallazgos que te facilitan la priorización de vulnerabilidades para su remediación. A partir de la postura de resistencia a ataques, te entregamos pruebas de la explotación y el impacto de nuestros ataques simulados y controlados. También ofrecemos recomendaciones a tu equipo de desarrolladores para la tarea de remediación, con la esperanza de que también sirvan de retroalimentación para sus futuras prácticas de desarrollo. De hecho, en nuestra plataforma, puedes asignar procesos de remediación específicos a cada individuo. De forma ilimitada, puedes solicitar a nuestros hackers que verifiquen la eficacia de la remediación mediante reataques. Y, si es necesario, puedes solicitarles consultoría o asesoramiento. También puedes utilizar nuestro agente DevSecOps para validar el cumplimiento de las políticas de tu organización antes de desplegar el software a producción. Puedes hacer un seguimiento de tus progresos en términos de remediación y mitigación de la exposición al riesgo en tus productos, así como garantizar el cumplimiento de los requisitos de seguridad basados en estándares internacionales.

Si estás interesado en probar nuestra plataforma gratuitamente, te ofrecemos nuestra prueba gratuita de 21 días en la que podrás disfrutar de pruebas de seguridad continuas con nuestras herramientas automatizadas (plan Essential). Si, por el contrario, quieres beneficiarte de inmediato del Hacking Continuo integral con la intervención de nuestras herramientas y nuestro red team de hackers éticos (plan Advanced), contáctanos.