Kriss Stephen | Arquitecto principal de soluciones

En nuestra serie de entradas de blog dedicada a la estrategia de la «empresa mínima viable» (MVC), hemos seguido de cerca a Megakorp, una empresa dedicada al desarrollo y la fabricación de componentes de automatización industrial de nivel empresarial en los que confían fabricantes de todo el mundo, mientras la organización se enfrentaba a los retos de la ciberresiliencia moderna.

En la primera parte de nuestra serie («Por qué la verdadera ciberresiliencia empieza por la identidad»), la empresa reconoció que la identidad no era simplemente otra dependencia de TI, sino la base operativa del propio negocio. Active Directory y Entra ID pasaron a ser fundamentales para la estrategia de «empresa mínima viable» de Megakorp. Estas plataformas de identidad proporcionaban la autenticación, el control administrativo y los servicios operativos necesarios para restablecer las funciones críticas del negocio durante un ciberincidente grave.

La segunda etapa de ese recorrido («Lecciones de ciberresiliencia más allá de la brecha de seguridad») fue más allá de la mera recuperación y analizó cómo la ciberresiliencia exigía una coordinación entre la identidad en la nube, la recuperación operativa, las comunicaciones y la toma de decisiones ejecutivas bajo presión.

Sin embargo, mientras los directivos de Megakorp reflexionaban sobre la estrategia de resiliencia de la organización, surgió una pregunta difícil: ¿por qué esperar a que se produzca una crisis para plantearse siquiera la resiliencia?


Fortalecimiento del núcleo del MVC: principios para controlar el estado de seguridad

La empresa había realizado importantes inversiones en la planificación de la recuperación y en las capacidades de MVC, pero seguía habiendo incertidumbre en todas sus plataformas de identidades. Los equipos de seguridad tenían dificultades para comprender plenamente la exposición derivada de configuraciones erróneas, privilegios excesivos y relaciones de identidades de riesgo que abarcaban tanto Active Directory como Entra ID.

Al mismo tiempo, los administradores realizaban cambios a diario en la infraestructura crítica de identidad, a menudo sin tener una visión global de qué se había modificado, quién lo había hecho ni el riesgo operativo que esos cambios suponían.

Megakorp se dio cuenta de que la resiliencia no podía empezar con la recuperación.

Tenía que haberse iniciado mucho antes, mediante una mayor visibilidad, un control más estricto y la resiliencia operativa necesaria para corregir rápidamente los problemas antes de que se convirtieran en incidentes que afectaran al funcionamiento de la empresa.

Tras una revisión estratégica del estado de seguridad de las identidades de la organización, el consejo de administración de Megakorp definió tres principios fundamentales que servirían de base para la estrategia de resiliencia de las identidades de la empresa, tanto en Active Directory como en Entra ID:

  • Visibilidad: La capacidad de conocer de forma continua la exposición, las configuraciones erróneas, los riesgos relacionados con la identidad y la actividad de cambios operativos en todo el entorno de identidades.
  • Control: La capacidad de establecer medidas de protección, alertas y mecanismos de respuesta en torno a los cambios críticos de identidad y las operaciones con privilegios.
  • Resiliencia de la identidad: la capacidad de contener, revertir y recuperarse rápidamente de cambios de identidad no deseados o no autorizados antes de que se conviertan en una interrupción operativa de mayor alcance.

Dado el papel que desempeña Megakorp como fabricante de componentes críticos, era necesario que estas capacidades se extendieran más allá del entorno informático tradicional y abarcaran también los sistemas de tecnología operativa (OT).

Y dado que una parte importante del entorno de OT funcionaba en redes aisladas o sin conexión a Internet, la organización también necesitaba capacidades de supervisión y protección locales capaces de funcionar en entornos desconectados o con restricciones.


Visibilidad: Identificar dónde existen riesgos en el estado de seguridad

Megakorp quería abordar la visibilidad a través de dos canales distintos. La primera fase se centró en identificar las vulnerabilidades ya existentes en el entorno de identidades, al tiempo que se garantizaba que la organización recibiera alertas continuas cuando surgieran nuevas vulnerabilidades o riesgos (Figura 1).

Figura 1. Los indicadores de seguridad ayudan a la organización a identificar las vulnerabilidades.

Esto incluía identificar configuraciones erróneas, ajustes heredados, privilegios excesivos y relaciones de identidad de riesgo que pudieran permitir a un atacante acceder al entorno o desplazarse lateralmente una vez dentro. Para Megakorp, esta visibilidad era fundamental no solo para reducir la exposición inmediata (Figura 2), sino también para comprender cómo años de cambios operativos habían introducido riesgos ocultos tanto en Active Directory como en Entra ID.

Figura 2. La detección de vulnerabilidades y la clasificación de su gravedad ayudan al equipo de seguridad a establecer prioridades en las medidas de mitigación.

La segunda fase de visibilidad se centró en obtener un conocimiento operativo profundo de la actividad de cambio en todo el entorno de identidades. Megakorp necesitaba saber exactamente quién o qué estaba realizando cambios dentro del entorno, cuándo se producían dichos cambios y el posible impacto operativo o de seguridad que acarreaban. Sin el nivel de visibilidad que muestra la figura 3 , las modificaciones no autorizadas, las desviaciones de configuración o las actividades maliciosas podrían pasar desapercibidas hasta que provocaran una interrupción del servicio o un compromiso de seguridad más amplio.

Figura 3. La supervisión automatizada de los cambios permite a los equipos detectar actividades sospechosas en tiempo real.

Para dar respuesta a estas necesidades, Megakorp amplió su plataforma de resiliencia de identidad mediante la implementación de Semperis Directory Services Protector DSP). Esto proporcionó a la organización visibilidad tanto en las redes conectadas como en las aisladas, lo que permitió a los equipos de seguridad y operativos supervisar de forma continua la exposición de las identidades, los cambios de configuración y la actividad con privilegios en toda la empresa.

Se evaluaron otras configuraciones erróneas y vías de exposición identificadas en todo el entorno de identidades, y se relacionaron con estrategias de corrección a corto, medio y largo plazo. Esto permitió a Megakorp dar prioridad a las actividades de reducción inmediata del riesgo, al tiempo que desarrollaba planes estructurados para abordar, con el tiempo, las configuraciones heredadas más complejas y las dependencias operativas.

Al adoptar un enfoque proactivo en materia de corrección de vulnerabilidades, la organización podría reforzar continuamente la seguridad de sus entornos antes de que los atacantes pudieran identificar y aprovechar las vulnerabilidades.


Control: adelantarse a las amenazas centradas en la identidad

El segundo pilar, el control, supuso la evolución natural de la visibilidad. Al comprender tanto las configuraciones existentes en todo el entorno de identidades como quién o qué era responsable de realizar los cambios, Megakorp pudo introducir medidas de protección operativas, lógica de detección y acciones de respuesta automatizadas (como las que se muestran en la figura 4 ), diseñadas para reducir el riesgo de identidades antes de que pudiera agravarse.

Figura 4. Las reglas de DSP límites de seguridad y activan notificaciones automáticas y medidas de mitigación para que las brechas puedan subsanarse rápidamente.

Por ejemplo, la figura 5 muestra una regla que define un cambio específico en Active Directory que activa una acción concreta. Con esta regla, si un administrador con permisos excesivos realizara cambios accidentales en las unidades organizativas de clasificación de identidades de Megakorp, Semperis DSP detectaría automáticamente la modificación, revertiría el cambio no autorizado y alertaría a los equipos operativos y de seguridad correspondientes.

Figura 5. DSP a los equipos definir de forma específica los cambios que desencadenan acciones como la reversión automática.

El equipo de Megakorp implementó controles adicionales para detectar y responder a actividades como la creación de nuevas cuentas de usuario al margen del proceso aprobado por la organización para la gestión del ciclo de vida de las identidades (ILM). Estos controles garantizaron que todas las identidades de nueva creación estuvieran sujetas a control, fueran auditables y se ajustaran a las normas de seguridad operativa de Megakorp.

En lugar de basarse únicamente en revisiones manuales o en investigaciones posteriores a los incidentes, Megakorp pasó a aplicar un control continuo de identidades, lo que permite a la organización detectar rápidamente actividades no autorizadas, contener los cambios que suponen un riesgo y mantener la estabilidad operativa tanto en Active Directory como en Entra ID.


Resiliencia operativa: reducir el alcance y el impacto de los incidentes cibernéticos

Gracias a la visibilidad que ofrece en todas sus plataformas de identidad y a las medidas de protección operativas que garantizan un mayor control de la identidad, Megakorp evolucionó de forma natural hacia el tercer pilar: la resiliencia operativa.

Ahora, la organización podía identificar, contener y revertir rápidamente los cambios de identidad no deseados antes de que se convirtieran en incidentes operativos de mayor envergadura.

Por ejemplo, tal y como muestra la figura 6 , si un proceso automatizado o un administrador demasiado celoso modificara accidentalmente el atributo de la dirección del proxy SMTP en varios cientos de cuentas de usuario, los administradores podrían identificar rápidamente los cambios afectados y revertirlos sin necesidad de buscar en los registros históricos ni de restaurar copias de seguridad anteriores.

Figura 6. DSP la detección y corrección de cambios que pueden suponer un riesgo.

Como muestra la figura 7 , al aprovechar la visibilidad transaccional y basada en la cronología que ofrece Semperis sobre la actividad relacionada con la identidad, tanto los equipos de OT como los de TI pudieron comprender rápidamente qué había cambiado, quién había realizado el cambio y cómo revertirlo de forma segura.

Figura 7. DSPahorra tiempo a los equipos al permitirles ver y filtrar rápidamente los cambios, así como identificar cuáles deben deshacerse.

La incorporación de estas funciones automatizadas redujo considerablemente el impacto operativo y la duración de los errores administrativos, las desviaciones en la configuración o los cambios maliciosos de identidad en toda la empresa.


Evolución hacia un modelo MVC más maduro

Al combinar la visibilidad, el control y la resiliencia operativa en todas sus plataformas de identidad con las capacidades de recuperación, copia de seguridad y resiliencia empresarial establecidas anteriormente en su trayectoria, Megakorp había transformado de forma radical su enfoque de la ciberresiliencia.

La organización ya no se centraba únicamente en recuperarse de un incidente grave una vez que el daño ya se había producido. En su lugar, podía identificar y reducir los riesgos de forma continua antes de que se produjeran interrupciones, aplicar medidas de protección operativas durante las operaciones cotidianas y recuperarse rápidamente o revertir los cambios no deseados cuando se producían incidentes.

Gracias a esta estrategia por capas centrada en la identidad, Megakorp se posicionó para operar con resiliencia antes, durante y después de un ciberataque.

Para Megakorp, la resiliencia de la identidad ya no era una capacidad reservada para la recuperación ante crisis.
Se había convertido en una disciplina operativa continua integrada en toda la empresa.

Lecturas recomendadas