Ataques Dirigidos: comprender a qué nos enfrentamos realmente

La mayor parte de las cosas que nuestra industria ha aprendido sobre los ataques dirigidos, ha sido después de haberse experimentado problemas. Nuestras investigaciones nos han revelado lo poco familiarizados que estamos con la “batalla” a la que nos estamos enfrentando, y cómo esa falta de familiaridad ha provocado que la industria sea incapaz de comprender qué se necesita para lidiar contra esos ataques. Pero, ¿a qué se debe esto? ¿Acaso son los atacantes quienes tienen la “sartén por el mango? La respuesta es, desafortunadamente, que sí.

Ventaja Injusta

Para explicarlo de forma sencilla, los atacantes tienen un gran nivel de control y un amplio rango de recursos. Ellos deciden qué naturaleza van a tener las amenazas, cómo y cuando el ataque va a producirse… Pueden emplear el uso de numerosas herramientas disponibles en Internet, incluyendo servicios legítimos. Lo más importante es que pueden implantar “inteligencia” en sus ataques y en contra de quién va a ser la víctima. Pueden investigar acerca del destinatario del ataque y encontrar información que les facilite la infiltración de forma sencilla e indetectable.

Y mientras los atacantes son capaces de utilizar dicha flexibilidad, las víctimas, además, cuentan con muchas limitaciones que incluso ellos no pueden gestionar. Con la  explosión y el aumento de la consumerización y el incremento del Mobile Computing, los empresarios y sus equipos de TI tienen grandes dificultades para identificar y conocer su propia red en profundidad; y si hablamos de protegerla, el problema es aún mayor. Hacen lo que pueden con su limitada estrategia: controlar muy poco su red y a la gente que trabaja sobre ella.

Falsa Sensación de Control

Una de las suposiciones más peligrosas que puede tener una empresa/organismo, es que tienen conocimiento de cómo un atacante puede llegar a afectar a su red. La verdad de esto es que no podemos saber cómo un atacante puede llegar a aparecer de repente en nuestra infraestructura. Especialmente en un momento como ahora, que estamos compartiendo información continuamente. Es prácticamente imposible evaluar cuánta información puede llegar a extraer un ciberdelincuente de un determinado servidor o máquina y cuánta información puede ser utilizada en nuestra contra en forma de ataque.

Algo que me resulta incluso molesto, es escuchar frases como “los ataques dirigidos siempre vienen vía email”. Ésta es una confusión tremenda y puede llegar a ocasionar problemas muy graves. El correo puede ser utilizado como un vector para establecer el contacto con la víctima para ciertos ataques, pero el ataque en sí, no siempre necesita comenzar de este modo. Como indicaba con anterioridad, los atacantes deciden la naturaleza de sus acciones, y su estrategia estará dirigida principalmente por el resultado de su “espionaje por la red víctima”. La familiaridad con el destinatario es la que hace que el ataque sea efectivo, ya que así el atacante será más consciente de las debilidades y vulnerabilidades tanto físicas como digitales, de su víctima. Un ataque puede comprender tanto un acceso físico al domicilio de la víctima, como una intromisión digital, o incluso llegar mucho más allá.

¿Qué podemos hacer?

Dada esta situación y los planteamientos arriba expuestos, ¿es la lucha contra los ataques dirigidos una batalla perdida para nosotros? Creo que no es correcto llegar a pensar esto. Los atacantes tienen un gran nivel de control y pensamientos muy “enrevesados”, pero darnos cuenta de esto es el primer gran paso. Necesitamos comprender perfectamente contra qué nos enfrentamos y qué nivel de control tienen de nosotros para ser capaces de frenarlos o enfrentarnos a ellos. Y pensaréis que ¿cómo podemos hacer esto? Lo discutiremos más adelante, en futuros artículos.