Queríamos dedicar un amplio espacio al tema de los “Exploits Web”, un tema que todo responsable de TI debería gestionar internamente; por ello, publicaremos dos artículos complementarios.
- Parte 1: Primer artículo
- Parte 2: ¡el presente artículo!
Exploits de hardware
Aunque los exploits de software son los más comunes, no son los únicos tipos de exploits que existen. A veces los atacantes son capaces de explotar fallos en el hardware físico (y el firmware relacionado) de un dispositivo.
El caso más conocido es el de Meltdown y Spectre, que son dos vulnerabilidades de hardware de procesadores que se han vuelto notorias por su naturaleza potencialmente peligrosa.
Fueron descubiertas (se cree que en junio de 2017) por el Project Zero de Google (GPZ), un grupo de trabajo que investiga vulnerabilidades, simultáneamente con investigadores de varias universidades, y luego reveladas a principios de 2018.
Meltdown se designa técnicamente como la vulnerabilidad CVE-2017-5754 (“rogue data cache load”) y afecta solo a los procesadores fabricados por Intel, mientras que Spectre en realidad son dos vulnerabilidades: CVE-2017-5753 (“bounds check bypass”) y CVE-2017-5715 (“branch target injection”). Afecta a todos los procesadores: Intel, AMD e incluso a los fabricados con arquitectura ARM.
Afortunadamente, no se ha informado que se hayan creado exploits para aprovechar estas vulnerabilidades (porque son difícilmente “explotables” en la práctica). Intel y otros fabricantes de chips han lanzado parches (primero parches de software y luego de hardware) para mitigar los riesgos.
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
Cómo defenderse de los exploits web
Desarmar los exploits web requiere la eliminación de las vulnerabilidades. Esta medida de ciberseguridad es obvia pero, lamentablemente, no siempre se aplica con la debida atención. Las vulnerabilidades de día cero son las más temidas, pero no las más utilizadas por los exploits. Un interesante informe de Verizon nos dice que el 85% de los exploits ejecutados con éxito se deben a solo diez vulnerabilidades, seis de las cuales tienen más de diez años y, por lo tanto, ya cuentan con un parche que las solucionó.
En otras palabras, el remedio para estos fallos (responsables de la mayoría de los ataques) existe desde hace diez años, pero, evidentemente, quienes deberían actualizar los sistemas no lo hacen con la rapidez que deberían.
Así, podemos afirmar con certeza que la mayoría de los exploits actúan después de la publicación del parche; por lo que el momento de mayor riesgo es la llamada “ventana de vulnerabilidad.” Este término se utiliza para definir el intervalo de tiempo entre la publicación del parche y su instalación para cerrar la vulnerabilidad.
De hecho, en el momento en que se publica el parche, la vulnerabilidad se hace conocida para cualquiera. Analizando el propio parche, un atacante puede averiguar cómo aprovechar la vulnerabilidad y, mediante técnicas de “ingeniería inversa”, puede construir el exploit web para atacar sistemas que aún no han sido parcheados.
Es importante formar, informar y concienciar a los usuarios de los sistemas informáticos (ya sean PCs, servidores o redes corporativas) sobre los riesgos de los sistemas sin parchear.
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
Por lo tanto, es necesario trabajar en el factor humano, que, como siempre, es la principal causa de los ciberataques.
La explicación anterior ha encontrado una confirmación rotunda apenas en los últimos días, cuando tuvo lugar un ataque masivo que afectó a organizaciones en muchas naciones.
Según el CERT-FR y la Agencia Nacional de Ciberseguridad (ACN), esta campaña de ataques explotó la vulnerabilidad CVE-2021-21974, relacionada con el conocido software de virtualización VMware ESXi, para el cual hay un parche disponible desde el 23 de febrero de 2021. Así, una vez más, el error humano se confirma como la causa número uno de los ciberataques: en este caso, ¡no haber implementado la actualización de seguridad disponible durante casi dos años!
En conclusión, solo hay una cosa que hacer: actualizar siempre los sistemas y el software con parches, despojando eficazmente a los exploits de su eficacia.
Si se cierran todas las vulnerabilidades, los exploits ya no encontrarán terreno útil sobre el cual operar.
¿Qué pasa si no es posible una actualización?
La actualización constante debería ser el principio rector de cualquier responsable de TI… lamentablemente, hay situaciones en las que actualizar no es posible o resulta muy complicado y/o costoso.
Esto es especialmente cierto en los sistemas de control industrial (ICS), donde una actualización podría afectar el funcionamiento de sistemas industriales obsoletos incapaces de soportar software más nuevo.
En tales casos, es peligroso limitarse a decir “no actualizar, porque podría no funcionar”, lo cual es una forma demasiado superficial de abordar los riesgos cibernéticos actuales.
En su lugar, deberían adoptarse soluciones defensivas “paliativas”, como la instalación de parches virtuales, si es posible. Alternativamente, los sistemas que no pueden actualizarse deberían aislarse en redes separadas y no exponerse directamente en la Web.
Puedes activar la protección de FlashStart® Cloud en cualquier tipo de router y firewall para proteger dispositivos de escritorio, móviles y dispositivos IoT en redes locales.
