Toda organización es un objetivo de ransomware. Preparar con Contención de Brecha.

Imagina que estás pescando y buscando pescar tu cena. No te importa qué pez pesques esta noche, solo que pesques uno.  

Estás de pie al borde de un lago enorme con tu caña de pescar en la mano. No importa en qué dirección lo lances. Izquierda, derecha o recto, el lago se extiende en todas direcciones, y cualquier anzuelo que cae en el agua te sirve de cena.

Esa es la imagen que Jen Ellis, fundadora de NextJenSecurity, empleó en un episodio reciente del podcast The Segment para explicar cómo la mayoría de los grupos de ransomware eligen a sus objetivos.  

La elección rara vez es resultado de una investigación cuidadosa sobre qué organización tiene los bolsillos más profundos o los datos más sensibles. Más a menudo, todo se reduce a lo que sea alcanzable, explotable y que se ajuste a un conjunto de límites flexibles que mantienen al atacante fuera de problemas con su propio gobierno.

Durante años, muchas organizaciones, especialmente las más pequeñas pero también las medianas, trataron la ausencia de un motivo evidente como motivo para invertir poco en seguridad. Si el targeting realmente funciona como lo describió Jen, esa lógica se desmorona.  

Casi todos los conectados a Internet están de pie en algún lugar del lago. La pregunta que más importa es qué ocurre después de que un ransomware se acerque a ti, independientemente de lo probable que pensaras que eras un objetivo.

Una estrategia de seguridad Zero Trust basada en la segmentación da una respuesta.

Cómo los atacantes atacan el ransomware

Jen señaló que la mayoría de los grupos de ransomware operan en países que funcionan como refugios seguros para actores maliciosos. Esto se debe a que la actividad representa demasiado la economía local para llevarla a cabo, o porque la nación anfitriona la permite tácitamente siempre que no se crucen ciertas líneas.  

Esas frases suelen tratar sobre geografía y política. No ataques a organizaciones internas y no hagas nada que pueda provocar una respuesta internacional seria.

Dentro de esos límites, el resto del mundo es blanco libre, y los límites son amplios. Un atacante que explota sistemas expuestos en el mundo desarrollado se mantiene dentro de las normas que importan a su país anfitrión. Los atacantes simplemente tienen que elegir dónde explotar.

Eso es lo que hace que la analogía de la pesca sea tan útil. Los peces que acaban en la placa del atacante son simplemente los que estaban en ese lugar cuando su anzuelo tocó el agua. Las organizaciones que reciben el impacto son las que estaban disponibles cuando el ataque impactó.

La IA pone más ataques de ransomware en más manos

Con las herramientas de IA actuales, la barrera para desplegar ransomware sigue disminuyendo, y el número de personas capaces de desplegarlo sigue creciendo.  

Jen señaló que la IA probablemente actúe como un nivelador para atacantes con pocos recursos. Esto es especialmente cierto en países que combinan un alto acceso a infraestructuras técnicas con un alto desempleo.  

Eso significa que el volumen de ataques oportunistas y orientados al alcance aumentará en todos los ámbitos a medida que más atacantes accedan a las herramientas de IA.  

La matemática detrás de "probablemente estamos bien porque nadie se molestaría con nosotros" empeora cada año, esta tendencia continúa.

Por qué "no somos un objetivo" es la frase más cara en seguridad

Jen contó una historia sobre una fábrica de calzado familiar bajo presión para cerrar. Era el tipo de negocio transmitido de generación en generación que emplea a una parte significativa de la gente de su pueblo.  

Si un ataque de ransomware afectara a una compañía así, el propietario se enfrentaría a una enorme presión, con el futuro de la compañía y los empleos que dependen de ella en juego. En ese momento, la tentación de pagar el rescate en silencio y seguir adelante se vuelve real, haga lo que sea que diga el debate político al respecto.

Lo que destaca en esa historia es lo existencial que puede sentir un incidente de ransomware para una organización que nadie llamaría objetivo en un sentido significativo. La preparación determina la gravedad de un incidente desde dentro, mucho más que el tamaño o la visibilidad.

Una gran compañía reconocida con un plan de respuesta a incidentes probado y un entorno segmentado puede absorber un evento de ransomware como una semana difícil. Una pequeña compañía con una red plana y sin plan puede que el mismo evento termine con la compañía.  

Esa diferencia se decide mucho antes de que ocurra el ataque, por las decisiones que la organización tomó sobre su propio entorno.

La línea de pobreza en la seguridad empeora la apuesta equivocada

Este problema es mayor que cualquier compañía individual.  

Jen señaló que la economía del Reino Unido, como la mayoría de las economías desarrolladas, está compuesta abrumadoramente por pequeñas y medianas compañías. Las organizaciones que menos probabilidades tienen de creer que son objetivos, y menos propensas a disponer de cotización para inversiones continuas en seguridad, constituyen la mayor parte de la economía.

Jen describió este problema como la línea de pobreza en seguridad.  

Y lo que lo hace aún más difícil es que el gasto en seguridad no funciona como otras inversiones en seguridad. Instalar una valla o una rampa es un proyecto puntual para el que presupuestas y completas. La inversión en seguridad sigue creciendo año tras año, a medida que las amenazas evolucionan y la infraestructura envejece. Esto puede hacer que sea mucho más difícil vender a un liderazgo que ya está saturado.

Si sumamos todos estos factores a la facilidad de los ataques generados por IA, la situación se vuelve engorrosa.

La contención es la palanca que controla toda organización

Jen recordó un viejo dicho en seguridad: un defensor tiene que tener razón cada minuto de cada día, mientras que un atacante solo tiene que tener suerte una vez.  

Esa asimetría no va a desaparecer. Y la IA no lo cambia de forma fundamental, ya que ambos bandos tienen acceso a mejores herramientas.

Lo que cambia la contención de la brecha es lo que realmente significa tener suerte una vez para el atacante.  

Si un exploit cae en una red plana, ese momento de suerte puede convertir en acceso a todo el entorno. Pero si cae dentro de un entorno basado en controles de Zero Trust, incluyendo segmentación, las cargas de trabajo, aplicaciones y sistemas solo se comunican con lo que necesitan.  

Esto significa que un momento de suerte para el atacante se convierte en un incidente contenido en una sola parte del negocio.

Una estrategia de seguridad Zero Trust basada en la segmentación es una palanca que tiene toda organización, independientemente de su tamaño, visibilidad o lo interesante que pueda encontrarla un atacante.  

El debate sobre el pago del rescate está resolviendo la capa equivocada

Jen habló sobre el debate sobre la prohibición de los pagos de rescate y señaló un punto que es fácil pasar por alto en el intercambio de datos.  

Prohibir pagos solo cambia lo que una organización puede hacer una vez que un ataque ya ocurrió. No cambia en nada la forma en que los atacantes deciden a quién golpear.

Jen usó esta comparación. Imagina decirle a alguien que entregar la cartera durante un atraco es ilegal. El atraco sigue ocurriendo, y una víctima que entrega la cartera de todos modos infringió la ley además de ser robada.

La contención se sitúa antes en la línea temporal que cualquier decisión de pago. Un equipo que ya limitó hasta dónde puede avanzar lateralmente un atacante no se enfrenta a la misma opción de presión entre pagar el rescate o cerrar operaciones.  

El debate sobre los pagos decide qué puede hacer una organización tras una brecha. La contención decide cuánto de la organización puede tocar esa brecha. Esa es la capa que realmente determina el resultado.

El riesgo de ransomware solo crecerá

Todas las organizaciones conectadas a Internet están al alcance del ransomware, y el número de atacantes capaces de actuar sobre ello sigue creciendo a medida que las herramientas de IA se vuelven más accesibles.

Nada de eso cambia según lo interesante que parezca tu organización para los atacantes en el papel.

La contención es la única variable en esta imagen que toda organización realmente controla. Las organizaciones que construyen una estrategia de Zero Trust con la segmentación como infraestructura central ahora son las que evitarán que un ataque de ransomware destruya toda su operación.

Las brechas son inevitables, y eso siempre fue cierto para organizaciones de todos los tamaños. Mantener esas brechas pequeñas se reduce a construir contención de brechas en tu arquitectura.

Escucha el episodio completo de The Segment: A Zero Trust Leadership Podcast en Apple Podcasts, Spotify, o Nuestro sitio web.