Endpoint Privilege Management: Una nueva generación de agentes 007

Al contrario de lo que la gente pueda pensar, los ciberataques no son (siempre) un intento masivo de hacerse con una infraestructura o deshabilitarla. Mientras que a menudo el DDoS se utiliza como señuelo, el verdadero ataque es mucho más sutil, más elaborado. Pongamos por ejemplo la película de James Bond: el tipo malo intenta infiltrarse en su organización de forma silenciosa, después identifica sus debilidades y trata de ganar poder de forma gradual para así consumar su malvado plan.

Al igual que en las películas de James Bond, las defensas amplias y externas no son suficientes y, normalmente, las medidas defensivas llegan demasiado tarde para frenar la infiltración. Esta situación es particularmente cierta en el caso de organizaciones y empresas fragmentadas que confían mucho en contratistas externos y empleados que trabajan de forma remota. Una vez que el enemigo encuentra la manera de penetrar en su infraestructura, toda la organización cae. Con un 69% de violaciones perpetradas por personas externas, como grupos delictivos o estados-naciones, se necesita a alguien resolutivo como el agente 007 para arreglar el problema.

Desarrollo de la protección de los endpoints

Sus terminales, como puestos de trabajo y servidores, constituyen los objetivos ideales para infiltrar un sistema. Si a esto le sumamos su traslado fuera de la red corporativa, estos endpoints dejan de beneficiarse de la protección perimetral y se vuelven incluso más vulnerables.

Anteriormente, las soluciones de antivirus se centraban en la identificación de firmas de malware y en mecanismos de lista blanca o lista negra. No obstante, este enfoque alcanzó rápidamente sus límites debido a que se apoyaba mucho en exploits conocidos. Por lo tanto, los sistemas acababan exponiéndose de forma repetida a días cero al mismo tiempo que surgían nuevas amenazas constantemente.

Mientras que los vectores de ataque evolucionaron y mutaron, los proveedores de software desarrollaron nuevas protecciones, los antivirus de última generación (NGAV), que se apoyan en una serie de herramientas:

• Machine learning, habilitando la capacidad de detectar amenazas desconocidas y prevenir ataques no identificados.
• La detección y respuesta de endpoints (EDR), que puede conectar eventos y detectar actividad sospechosa.

Sin embargo, estas tecnologías siguen centrándose en la identificación de amenazas en lugar de proteger el sistema desde el interior. Básicamente, reactividad en lugar de proactividad.

Proteger al sistema desde dentro

El Endpoint Privilege Management es una nueva generación de protección de ciberseguridad que se centra en proporcionar una defensa efectiva e «inmune» para sus endpoints. En lugar de tratar de identificar, bloquear y atacar en vano, frena todo aquello que no sea una parte natural del organismo.

Esto quiere decir que en su sistema tan tolo se pueden llevar a cabo aquellas acciones consideradas como legítimas.

Este nuevo enfoque resulta particularmente interesante para los endpoints expuestos a las redes externas, como los que utilizan los proveedores externos o empleados remotos que acceden a los recursos de su red. Este planteamiento asume que cualquier sistema puede ser infiltrado, pero implementa protecciones internas para que no pueda ser dañado aunque eso ocurra, incluso si está fuera de la red corporativa. La protección de los endpoints aplica el Principio del Menor Privilegio: sin derechos de administrador local, un intruso o malware no será capaz de adquirir los privilegios necesarios para ejecutar procesos y aplicaciones.

La implementación del Principio del Menor Privilegio también conlleva beneficios adicionales:

• Elimina usuarios con demasiados privilegios en los endpoints para que el malware sea incapaz de dañar su sistema o robar datos críticos
• Suprime todas las cuentas de administrador local para reforzar las defensas
• Bloquea los CryptoAPI con el fin de que los sistemas no puedan ser secuestrados por un ransomware
• Concede los derechos necesarios a los usuarios adecuados en el contexto apropiado

Esto es un buen primer paso, aunque este principio sigue centrándose en el «agente externo»: el usuario y sus privilegios. Mientras que, en teoría, esto es funcional, no es suficiente para defender completamente a los endpoints. Los sistemas deben ser capaces de protegerse a sí mismos frente a amenazas. Eso es por lo que las mejores soluciones llevan a EPM a otro nivel:

Los privilegios a nivel de proceso, no de usuario

Las soluciones EPM más fuertes e innovadoras han dejado de tratar privilegios a nivel de usuario, sino a nivel de proceso y aplicación.

Esto supone un cambio conceptual mayor para la seguridad: los sistemas locales ya no están protegidos frente a amenazas o usuarios. Para lograr un control y seguridad más profundos y personalizados, la defensa se despliega a nivel de aplicación o proceso.

Con más frecuencia de la que imaginamos, la gestión de aplicaciones se apoya en decisiones binarias como: los usuarios deben accederlas o no, autorizamos esta aplicación o tampoco, etc. El objetivo de estas normas es impedir que aplicaciones y procesos dañen el sistema, sin embargo, estas se implementan a costa de la productividad, ya que un usuario tiene que interrumpir a su equipo de TI para llevar a cabo cualquier descarga de software legítimo.

Cuando las aplicaciones están preaprobadas (o denegadas) y las acciones específicas dentro de estos procesos también lo están, la gestión de la seguridad de los endpoints se vuelve sencilla. Los procesos y aplicaciones tan solo se pueden ejecutar a través de un conjunto determinado de privilegios en un contexto específico. Teniendo en cuenta que los usuarios no pueden autoelevar sus privilegios y que se han eliminado las cuentas de administrador, ya no se pueden secuestrar procesos para llevar a cabo operaciones malignas.

Al proporcionar una protección granular a nivel de proceso se le permite al usuario mantener el acceso a todas las herramientas necesarias para lograr sus tareas de forma eficiente e independiente mientras se asegura que el software no puede dañar el sistema en caso de que un enemigo logre penetrar en él.

—

No siempre se puede llamar a Bond, James Bond para que nos solucione los problemas. Por ello es esencial implementar EPM, ya que permite a las organizaciones bloquear la raíz del peligro al que se enfrentan desde el interior: procesos y aplicaciones, en particular cuando los endpoints como los PC de los empleados están expuestos a amenazas externas. La implementación adecuada del Principio del Privilegio Mínimo ayuda a prevenir que los agentes infiltrados secuestren sus sistemas, simplemente por el hecho de que no podrán realizar ninguna actividad más allá de aquellas a las que pueden acceder sus empleados para llevar a cabo tareas específicas.