Red Team Vs Estándares de seguridad

Buenas a todos, en el post de hoy quería hablaros de una dura realidad, una realidad que llevamos años encontrándonos en muchos de los Tests de Intrusión y ejercicios de Red Team que realizamos todas las semanas, y que, imagino que a pocos os resultará desconocida. Me refiero a los procedimientos, y más concretamente pero de forma general, a todas aquellas organizaciones que cumplen con determinadas normativas y estándares internacionales como pueda ser la ISO/IEC 27001, y que por ello, se sienten falsamente seguras.

Por desgracia, es habitual que durante los primeros días de muchos proyectos de seguridad ofensiva, logremos llegar a ser administradores del dominio, sin que el Blue Team/SOC se percate de nada. Esto seguramente no sorprenda a la gran mayoría de nuestro público, ya que indudablemente muchas empresas tienen un largo camino de mejora por delante, sin embargo, no deberíamos normalizar este tipo de situaciones cuando una organización está certificada bajo un estándar de seguridad.

¿Por qué ocurren estas cosas? ¿Certificarnos bajo un estándar ISO es inútil? En absoluto, es una de las opciones más recomendables para establecer una línea base de seguridad en una organización. Sin embargo, los auditores de la entidad certificadora no realizan una revisión completa cuando van a auditar una organización, sino que realizan un sondeo, poniendo mucho hincapié en "el papel". Revisan los procedimientos operativos, el plan director, validan determinados patrones, como por ejemplo, si existen administradores locales "de más" en los equipos, si el directorio activo se mantiene limpio y los empleados que han salido de la organización han sido correctamente eliminados, o si se realizan "pruebas de ciberseguridad", sin fijarse técnicamente en los resultados.

¿Y qué ocurre entonces? La respuesta es muy obvia, muchas organizaciones asumen estas auditorías como un simple check y se autoengañan, generando la documentación necesaria para salir bien en la fotografía del auditor, sin importarles lo más mínimo su seguridad. Como se suele decir, pasamos del cumplimiento al "cumplo y miento".

En este sentido, cualquier sencilla evaluación de seguridad en forma de Test de Intrusión o Red Team bastará para sacar a la luz la realidad de su estado de seguridad, y mostrar las vergüenzas que se han intentado cubrir con el cumplimiento de la normativa X. ante los clientes y la junta directiva.

Nos preocupa que determinadas organizaciones sigan con la técnica del avestruz, ocultando la cabeza bajo el suelo para no ver la realidad. Como empresas, tenemos una responsabilidad con nuestros clientes, empleados y proveedores, y debemos convertirnos en entidades resilientes, capaces de dar una respuesta temprana y acertada ante las amenazas que puedan acontecernos, que cada vez son más frecuentes y peligrosas.

Tradicionalmente, los vulnerability assessments y los tests de intrusión eran herramientas muy interesantes, y lo siguen siendo para obtener una línea base de seguridad de la organización y establecer una hoja de ruta con el camino a seguir para cerrar riesgos inmediatos e identificados. Sin embargo, durante los últimos años se han complementado con los ejercicios más completos de Red Team, de los que ya os hemos hablado largo y tendido en Zerolynx. En estos ejercicios se realiza la emulación de escenarios reales de amenazas a los que se puede enfrentar una organización, analizando la seguridad desde el punto de vista del adversario, con el objetivo de evaluar no sólo el factor tecnológico, sino también los procesos y personas detrás de estas tecnologías de seguridad.

Los ejercicios de tipo Red Teaming son una buena opción para alcanzar esa ciberresiliencia, puesto que permiten entrenar al Blue Team, calibrar de forma adecuada los sistemas de alerta y respuesta, y de forma general, evaluar y ayudar a mejorar el plano tecnológico, el de procesos y el humano.

Por lo que si cumplís o estáis trabajando para cumplir uno de dichos estándares, no os olvidéis de la realidad, ya que cuando os estafen con una factura falsificada dirigida a vuestro departamento de compras u os entre un ransomware..., no podréis enrollar uno de estos papeles cual periódico en los San Fermines y atizarle al malware para pararlo... :)

¡Saludos!