Cómo las empresas tecnológicas pueden ralentizar el aumento de las infracciones

Las empresas tecnológicas han creado las herramientas que usamos para construir y administrar negocios, procesar transacciones de consumidores, comunicarnos entre nosotros y organizar nuestra vida personal y profesional. La tecnología ha dado forma al mundo moderno tal como lo conocemos, y nuestra dependencia de la tecnología sigue creciendo.

La importancia de la industria de la tecnología no ha pasado desapercibida para los ciberdelincuentes y los grupos de estados nacionales, que atacan a las empresas de tecnología por una variedad de razones: para cumplir objetivos estratégicos, militares y económicos; para acceder a datos corporativos confidenciales que pueden pedir rescate o vender en la Dark Web; comprometer las cadenas de suministro; y mucho más.

Las empresas tecnológicas no son ajenas a los delitos cibernéticos, han sido durante mucho tiempo objetivos de la actividad de los adversarios, pero en el último año, estos ataques han aumentado rápidamente. La tecnología fue el vertical más objetivo de las intrusiones cibernéticas entre julio de 2021 y junio de 2022, según Datos de amenazas de CrowdStrike. Esto convirtió a la tecnología en el sector más popular para actores de amenaza durante un año en el que los cazadores de amenazas de CrowdStrike registraron más de 77,000 XNUMX intrusiones potenciales, o aproximadamente una intrusión potencial cada siete minutos.

Si esto le suena familiar, es probable que haya visto esta actividad de amenaza en las noticias: violaciones de datos que afectan a la industria de la tecnología han dominado los titulares en 2022. Las empresas tecnológicas de todos los tamaños deberían preocuparse por el potencial de actividad adversaria, porque a menudo intentan robar datos. Echemos un vistazo más de cerca a las amenazas que más deberían preocupar a las empresas de tecnología, cómo son esas tácticas adversarias y cómo detenerlas.

Cómo se dirigen los adversarios de hoy a las empresas tecnológicas

Las empresas, las pequeñas y medianas empresas (PYMES) y las nuevas empresas deben ser conscientes de las amenazas a las que se enfrentan y cómo defenderse de ellas.

Los adversarios se alejan cada vez más del malware en un esfuerzo por evadir la detección: los datos de amenazas de CrowdStrike muestran que la actividad libre de malware representó el 71 % de todas las detecciones entre julio de 2021 y junio de 2022. Este cambio está parcialmente relacionado con los atacantes cada vez más. abusar de credenciales válidas para obtener acceso y mantener la persistencia (es decir, establecer acceso a largo plazo a los sistemas a pesar de las interrupciones, como reinicios o cambios de credenciales) en entornos de TI. Sin embargo, hay otro factor: la velocidad a la que se revelan nuevas vulnerabilidades y la velocidad con la que los adversarios pueden poner en práctica los exploits.

El número de vulnerabilidades de día cero y recientemente reveladas continúa aumentando año tras año. Los datos de amenazas de CrowdStrike muestran más de 20,000 2021 nuevas vulnerabilidades informadas en 10,000, más que cualquier año anterior, y más de 2022 XNUMX se informaron a principios de junio de XNUMX. Esta es una clara indicación de que esta tendencia no se está desacelerando.

Una mirada más cercana a las tácticas, técnicas y procedimientos (TTP) utilizados durante las intrusiones revela patrones comunes en la actividad del adversario. Cuando una vulnerabilidad se explota con éxito, es seguido por la implementación rutinaria de Web shells (es decir, scripts maliciosos que permiten a los adversarios comprometer los servidores Web y lanzar ataques adicionales).

¿Qué pueden hacer las empresas tecnológicas para detener las infracciones?

La industria de la tecnología se enfrenta al desafío de mantener una fuerte defensa contra un panorama de amenazas en constante evolución. Los atacantes de hoy están cambiando sus TTP para que sean más sutiles, para evadir la detección y causar más daño. Depende de los defensores proteger las cargas de trabajo, las identidades y los datos de los que depende su negocio.

No existe un modelo único para todos sobre la forma en que los ciberdelincuentes realizan sus ataques, ni existe una bala de plata para que las empresas tecnológicas se defiendan de cada intrusión. Sin embargo, una mirada más cercana a la actividad de intrusión revela áreas críticas de enfoque para los equipos de TI y seguridad. A continuación se presentan recomendaciones clave:

• Vuelve a lo básico: Es fundamental que las empresas de tecnología tengan los conceptos básicos de higiene de seguridad en su lugar. Esto incluye implementar un sólido programa de administración de parches y garantizar un control sólido de la cuenta de usuario y la administración de acceso privilegiado para mitigar los efectos de las credenciales comprometidas.
• Auditar rutinariamente los servicios de acceso remoto: Los adversarios aprovecharán cualquier herramienta de acceso remoto preexistente a su disposición o intentarán instalar un software de acceso remoto legítimo con la esperanza de que evada cualquier detección automática. Las auditorías periódicas deben verificar si la herramienta está autorizada y si la actividad se encuentra dentro de un período de tiempo esperado, como dentro del horario comercial. Las conexiones realizadas desde la misma cuenta de usuario a múltiples hosts en un corto período de tiempo pueden ser una señal de que un adversario ha comprometido las credenciales.
• Busque amenazas de forma proactiva: Una vez que un adversario viola las defensas de una empresa de tecnología, puede ser difícil detectarlo mientras recopila datos en silencio, busca información confidencial o roba credenciales. Aquí es donde entra en juego la caza de amenazas. Al buscar adversarios en su entorno de manera proactiva, las empresas de tecnología pueden detectar ataques antes y fortalecer su postura de seguridad.
• Priorizar la protección de la identidad: Los adversarios apuntan cada vez más a las credenciales para violar las empresas tecnológicas. Cualquier usuario, ya sea un empleado, un proveedor externo o un cliente, puede verse comprometido sin saberlo y proporcionar una ruta de ataque para los adversarios. Las empresas de tecnología deben autenticar cada identidad y autorizar cada solicitud para evitar ciberataques, como un ataque a la cadena de suministro, un ataque de ransomware o una filtración de datos.
• No se olvide de la prevención de amenazas: Para las empresas de tecnología, las herramientas de prevención de amenazas pueden bloquear las amenazas cibernéticas antes de que penetren en un entorno o antes de que causen daños. La detección y la prevención van de la mano. Para prevenir las amenazas cibernéticas, deben detectarse en tiempo real. Cuanto más grande sea el entorno de TI, mayor será la necesidad de herramientas que puedan ayudar con la detección y prevención de amenazas.

La evolución del delito cibernético y la actividad del estado-nación no muestra signos de desaceleración. Las empresas de tecnología deben fortalecer sus defensas y comprender las técnicas de un adversario para proteger sus cargas de trabajo, identidades y datos, y mantener sus organizaciones en funcionamiento.