Los ciberataques evolucionan rápidamente en sofisticación y escala. La línea que separa el ámbito digital del físico es cada vez más difusa. Ciberatacantes extranjeros han utilizado programas maliciosos destructivos para borrar datos de discos duros y han intentado infiltrarse en sistemas industriales. Dados los recientes acontecimientos políticos y las amenazas verbales, en el futuro podrían realizar acciones igualmente dañinas.
Cualquier persona encargada de la preparación cibernética de una organización ocupa un puesto clave en estos momentos. El dicho «la mejor defensa es un buen ataque» no se aplica aquí. En este caso, la mejor defensa es una buena defensa.
En la práctica, hay que tener listos y probados tanto un plan de respuesta a incidentes (IR) como un plan de continuidad del negocio (BCP). Hay que ir más allá de la identificación de riesgos -tratando de protegerse contra ellos con métodos como la autenticación multifactor y detectarlos con escáneres de virus y sistemas SIEM- y responder a ellos. Hay que seguir hasta el final y pensar de antemano cómo se va a recuperar.
Los servicios de identidad son el punto neurálgico de la mayoría de los objetivos de las amenazas persistentes avanzadas (APT). Sabiendo esto, es recomendable comprobar el plan de continuidad del negocio (BCP) y el plan de recuperación ante desastres (DRP) de Active Directory (AD) cada 13 meses, como mínimo. La razón por la que mucha gente no lo hace es que resulta una tarea tediosa y es difícil llevarla a cabo correctamente. Realizar una prueba de restauración en el entorno de producción no es una opción, y probar un entorno estándar solo resulta útil en parte. Realizar una copia de seguridad del entorno de producción y restaurarla en un laboratorio aislado es el enfoque más eficaz.
A nuestros clientes les decimos que la mejor manera de poner a prueba sus planes BCP y DRP es asignar los procesos críticos de la organización a las aplicaciones que los soportan y, en última instancia, a la infraestructura que soporta esas aplicaciones. No hay dos organizaciones exactamente iguales, y para algunas, restaurar la sede central (HQ) puede ser la máxima prioridad, con las sucursales a continuación (un escenario común para las instituciones financieras), mientras que para otras puede ser al revés (un escenario común para las empresas manufactureras).
Decidir aplicar el mismo acuerdo de nivel de servicio (SLA) a toda la infraestructura es la decisión más sencilla, pero en la mayoría de los casos supondrá que las aplicaciones críticas se encuentren en la misma cola que las no críticas. En la mayoría de las empresas, esto significa que todos los caminos conducen a AD. A pesar de ello, hemos observado que la planificación de la recuperación de AD suele pasarse por alto, aunque sea uno de los componentes más críticos de cualquier enfoque de recuperación ante desastres (DR) que dé prioridad a la ciberseguridad.
La recuperación tras un ataque de ransomware es un proceso arduo. La empresa danesa Maersk tardó nueve días en recuperarse del ataque de ransomware NotPetya de 2017. Según Andy Powell, director de seguridad de la información (CISO) de Maersk, unos55 000dispositivos de la red mundial de Maersk quedaron totalmente infectados en siete minutos.
En caso de desastre cibernético, el Active Directory (AD) es fundamental, ya que constituye la base para recuperar todo lo demás en la red. Hasta que no hayas recuperado con éxito tu AD, no hay mucho más que puedas hacer. Limitarse a apagar los sistemas una vez que comienza el ataque no sirve de nada. Debes conocer los posibles vectores de ataque y los puntos débiles potenciales, y dar por hecho que incluso tus servidores de AD de respaldo podrían verse comprometidos.
El consejo práctico de Andy Powell es que te asegures de que puedes recuperar tu AD en menos de 24 horas. Esto nos lleva a preguntarnos lo siguiente: ¿Cuándo fue la última vez que puso a prueba su plan de recuperación de AD? Igualmente importante, ¿ha actualizado su plan de recuperación de AD para incluir escenarios cibernéticos como un ataque de ransomware o wiper?
Para terminar, a veces es necesaria una amenaza inminente para que las empresas se tomen más en serio sus planes fundamentales de detección y respuesta ante amenazas. Ahora es un buen momento para intentar adelantarse trabajando para cerrar las brechas en sus planes BCP y DRP buscando los eslabones más débiles, empezando por su infraestructura AD y las aplicaciones que dependen de ella.
Profesionales de la seguridad de AD, ha llegado vuestro momento de brillar. AD no solo es tan fundamental como las demás capas de cualquier estrategia de seguridad; hoy en día, diríamos que lo es incluso más. Y es vuestro reto y vuestra responsabilidad convencer al resto de vuestro equipo de que AD debe ocupar un lugar central en vuestro plan de defensa.
