Seguridad por defecto: el complemento esencial de Secure by Design

Fri, 13 Sep 2024 12:00:00 Z

Los sistemas de ciberseguridad heredados —muchos diseñados hace más de una década— no tienen en cuenta la nueva generación de capacidades y vulnerabilidades de los atacantes, ni la dependencia de la configuración humana, que es el talón de Aquiles de gran parte del software.

Esta nueva realidad se está abordando con el concepto de desarrollo de software denominado seguridad por defecto, un complemento necesario de los principios Secure by Design establecidos por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA).

Los principios Secure by Design hacen hincapié en integrar la seguridad en todo el diseño y desarrollo del software. La seguridad por defecto garantiza que un producto sea seguro de forma inherente desde el primer momento. No se necesita una configuración compleja porque las funciones de seguridad principales, como el registro seguro y la autorización, ya vienen preconfiguradas.

Las amenazas evolucionan y se aceleran

Hasta hace poco, la mayoría de los sistemas tenían un «radio de impacto» limitado. Protegidos por cortafuegos, estaban contenidos, de modo que el acceso quedaba restringido a unas pocas personas dentro de una organización. Los atacantes no disponían de un terreno abierto que recorrer en busca de debilidades. No podían automatizar sus ataques, y todo el proceso de ataque —encontrar una vulnerabilidad, convertirla en arma creando un exploit y desplegar el ataque armado— llevaba como mínimo semanas y, a menudo, meses.

Esto limitaba no solo la velocidad de los ataques, sino también su escala. Los atacantes tenían que dirigirse a las organizaciones una por una, buscando formas de eludir controles específicos. La tasa global de ataques era baja y, aun cuando se producían, el impacto quedaba relativamente contenido debido al tiempo y al esfuerzo que debían invertir los atacantes.

Relacionado: 8 prácticas recomendadas para reducir la superficie de ataque en las organizaciones

Cuando hablamos de «un panorama de ciberamenazas en evolución», casi nos quedamos cortos, porque la evolución natural, e incluso la técnica, nunca había sido tan rápida. En solo unos años, se ha transformado en una especie de Thunderdome digital, un escenario que pone en peligro a quienes están insuficientemente protegidos como nunca antes.

Esto se debe a que los atacantes han podido aprovechar tres avances clave:

Los atacantes actuales pueden convertir rápidamente las vulnerabilidades en armas, y las herramientas de inteligencia artificial lo están haciendo aún más fácil. Atrás quedaron los largos periodos de divulgación. Las herramientas de análisis automatizado y los kits de exploits, fácilmente disponibles en la dark web, permiten que incluso atacantes con menos conocimientos técnicos entren en el juego del malware. Los ataques de día cero son una preocupación creciente a medida que los atacantes se vuelven más ágiles a la hora de explotar vulnerabilidades antes de que exista un parche.
La adopción de la nube ha creado una superficie de ataque más amplia, ya que la infraestructura en la nube distribuida dificulta la protección y la supervisión de los datos. El modelo de responsabilidad compartida de la seguridad entre proveedores de nube y usuarios puede dar lugar a vulnerabilidades si se configura incorrectamente o no se comprende por completo. Además, las aplicaciones en la nube suelen depender de API para la comunicación, lo que puede introducir vulnerabilidades si no se protegen adecuadamente.
Las medidas de seguridad tradicionales, como los cortafuegos y los antivirus, no mantienen el ritmo. Los cortafuegos pueden eludirse mediante ingeniería social, mientras que los antivirus tienen dificultades para detectar amenazas de día cero completamente nuevas. El enfoque de seguridad basado en el perímetro ha quedado obsoleto en la era de la nube, donde los principios Secure by Design deben implementarse en toda la infraestructura de TI.

Los atacantes están preparados para buscar puntos débiles o lanzar ataques en cuanto se activa un producto. Por eso, ese producto debe contar con defensas sólidas desde el día cero en el mismo instante en que se enciende y se conecta a la red de una organización.

Relacionado: Los principios Secure by Design son más importantes que nunca

Los tres pilares de la seguridad por defecto

La correcta ejecución de la seguridad por defecto se basa en tres pilares fundamentales.

Seguridad shift-left

Shift-left se centra en detectar vulnerabilidades en las primeras fases del proceso de desarrollo. Los desarrolladores deben escribir código seguro y evitar errores habituales identificados en recursos como OWASP Top 10 (vulnerabilidades de seguridad de aplicaciones web) y CWE Top 25 (debilidades comunes del software).

Una analogía es la medicina preventiva, en la que los hábitos saludables y la inoculación pueden proteger a una persona frente a enfermedades. Al centrarse desde el principio en prácticas de codificación segura, los desarrolladores incorporan inmunidad y resiliencia directamente en el software.

Imposición de configuraciones seguras

Cuando las personas configuran su nuevo software, los hackers lo celebran. Para eliminar los errores de configuración, los proveedores de software deben imponer configuraciones seguras por defecto. Esto incluye la autenticación multifactor (MFA) o el inicio de sesión único (SSO), así como evitar credenciales codificadas de forma rígida (contraseñas o tokens) o configuraciones predeterminadas con vulnerabilidades ya conocidas por los atacantes.

Imponer configuraciones seguras garantiza una seguridad coherente en todos los despliegues, con independencia de la experiencia del usuario o sus conocimientos técnicos. También simplifica la experiencia de usuario, ya que no tiene que tomar decisiones de configuración.

Protección de la cadena de suministro de software

Al igual que la fabricación en automoción y aeroespacial, el desarrollo de software moderno se ha convertido en una línea de montaje que depende en gran medida de bibliotecas de terceros y código abierto. En el marco de la seguridad por defecto, los desarrolladores deben prestar mucha atención a la seguridad de estos componentes para que no introduzcan vulnerabilidades.

Relacionado: El compromiso Secure by Design: un compromiso para crear un futuro digital más seguro

Medición de la seguridad por defecto

Hoy en día, un proveedor puede aprovechar la instrumentación y la telemetría para supervisar el rendimiento de las funciones de seguridad por defecto. Si el producto es local, habilitar la telemetría implicará abrir huecos en un cortafuegos para que los datos salgan de la red del usuario. Si está en la nube, resulta más sencillo permitir que la telemetría vuelva al proveedor.

En cualquiera de los dos casos, se trata de una cuestión de consentimiento mutuo: el usuario del software debe habilitar la telemetría predeterminada para que el proveedor pueda observar el comportamiento del software y comprobar si se están implementando sus controles de seguridad integrados. Afortunadamente, esto también significa que el usuario no tiene que intervenir para habilitar las funciones de seguridad. Un proveedor puede hacerlo de forma remota si cuenta con el consentimiento del cliente.

Adelantarse a las amenazas en evolución

Los profesionales de la ciberseguridad, incluso los que tienen las mejores intenciones y más se esfuerzan, siguen estando a merced de los datos y la información de que disponen. Por ejemplo, las listas tradicionales de vulnerabilidades, como OWASP Top 10 y CWE Top 25, son clave para la concienciación en materia de seguridad, pero tienen limitaciones:

Las actualizaciones de las listas siguen dejando una ventana de vulnerabilidad entre el descubrimiento y la mitigación. Los atacantes aprovechan esta brecha dirigiéndose a vulnerabilidades «atípicas» que aún no figuran en las listas.
Las listas tradicionales se centran en vulnerabilidades conocidas, lo que deja a las organizaciones expuestas a «incógnitas conocidas»: debilidades con potencial de explotación, pero aún no identificadas.

Dicho esto, la IA y el aprendizaje automático prometen revolucionar la seguridad por defecto al cerrar estas brechas:

Los algoritmos de aprendizaje automático pueden analizar grandes volúmenes de datos de seguridad para identificar patrones y predecir posibles vulnerabilidades, incluidas aquellas que aún no aparecen en las listas tradicionales.
Al analizar las tendencias de exploits y el comportamiento del software, el aprendizaje automático puede identificar las debilidades «conocidas desconocidas» con mayor probabilidad de ser explotadas, aunque aún no estén documentadas.

Incorporación de la IA al SDLC

La IA y el aprendizaje automático también pueden transformar la forma en que los principios de seguridad por defecto se incorporan a los ciclos de desarrollo de software:

Detección automatizada de vulnerabilidades: Las herramientas de IA pueden analizar continuamente el código en busca de vulnerabilidades, tanto conocidas como desconocidas, para que puedan abordarse en las primeras fases del SDLC.
Modelado proactivo de seguridad: Al analizar patrones de ataque, la IA puede predecir amenazas; esto permite un modelado proactivo de seguridad para crear software con defensas integradas frente a esas amenazas.
Asistencia inteligente para desarrolladores: La IA puede analizar código y hacer sugerencias en tiempo real sobre prácticas de codificación segura a los equipos de desarrollo.

Seguridad por defecto mediante software autorreparable

Uno de los objetivos de los desarrolladores preocupados por la seguridad por defecto es crear software con la capacidad innata de autoidentificar vulnerabilidades de forma proactiva y corregirlas. Este concepto se inspira en algoritmos genéticos utilizados en fabricación, que permiten a los sistemas autooptimizarse y mejorar con el tiempo.

Esto transformará la «seguridad por defecto» de un concepto estático en una capacidad dinámica, autosupervisada y autorreparable, integrada en el software empresarial. Le dará la capacidad de corregir sus propias vulnerabilidades, frustrar amenazas e incluso informar de nuevos ataques a sus desarrolladores.

Relacionado: Demostración práctica: proteja todos los endpoints con contramedidas UEM seguras

Pasos en la dirección correcta

No hace mucho, escribí sobre la necesidad de una «colaboración público-privada en la que la industria y el gobierno se unan para resolver el problema de la seguridad digital». La creación de los principios Secure by Design y los esfuerzos de CISA y de líderes del sector para impulsarlos suponen un gran avance en la creación de esa defensa colaborativa contra las ciberamenazas que se necesita con tanta urgencia.

No obstante, sigue correspondiendo a cada proveedor y desarrollador de software poner estas medidas en práctica. Seguir prácticas de seguridad por defecto desempeña un papel vital en el desarrollo y la entrega de software más seguro, así como en la obtención de una posición de ventaja en la batalla de la ciberseguridad.

Ivanti Blog: Publicaciones de