Cómo EASM descubre las vulnerabilidades de su superficie de ataque

Salvo contadas excepciones, las empresas de cualquier tamaño dependen de Internet. Por ello, es esencial gestionar y proteger la superficie de ataque externa que presentan al mundo.

La superficie de ataque externa de una organización está formada por el conjunto de posibles puntos de entrada a través de los cuales un usuario no autorizado puede acceder a un entorno de TI. Esto incluye desde sitios web, aplicaciones web y API hasta puntos de acceso remoto y servicios en la nube.

El tamaño de la superficie de ataque depende de la naturaleza de cada organización y del alcance de su huella digital. La migración a la nube y la proliferación de nuevos puntos de contacto digitales han hecho que la mayoría de las empresas vean crecer sus superficies de ataque externas.

La gestión de la superficie de ataque externa (EASM) es fundamental para reforzar la seguridad de las organizaciones y mitigar los riesgos. Dado que la visibilidad es la piedra angular de la protección, las herramientas de EASM proporcionan a las organizaciones conocimiento de sus superficies de ataque externas mediante la identificación, clasificación y supervisión de todos los activos expuestos a Internet.

Al hacerlo, proporcionan a los equipos de ciberseguridad la información que necesitan para cerrar brechas de seguridad y protegerse de forma preventiva frente a posibles amenazas.

Más información: ¿Qué es una superficie de ataque?

Razones que impulsan la adopción de EASM

Hay múltiples razones por las que cada vez más empresas recurren a soluciones EASM. Entre ellas se encuentran los ejemplos evidentes que han dejado fallos anteriores.

Por ejemplo, el ataque WannaCry de 2017 explotó la vulnerabilidad EternalBlue en Microsoft Windows, cifrando archivos en unos 230.000 equipos de todo el mundo mientras los hackers exigían rescates en Bitcoin a víctimas importantes, incluida Telefónica. Una gestión adecuada de la superficie de ataque externa podría haber identificado y corregido la vulnerabilidad, evitando las brechas.

Un breve repaso de las razones por las que crece la adopción de EASM:

• Amenazas de ciberseguridad en aumento: Hemos avanzado mucho desde WannaCry, ya que las amenazas son más sofisticadas y prevalentes, y los ciberdelincuentes evolucionan constantemente para explotar vulnerabilidades en los controles de acceso. Las soluciones EASM ayudan a las organizaciones a mitigar este riesgo mediante una supervisión continua que permite responder de forma proactiva a cualquier actividad sospechosa.
• Entornos de TI cada vez más complejos: Estos incluyen sistemas locales, servicios en la nube, dispositivos móviles e incluso el uso de BYOD tras la pandemia. Garantizar que los activos estén protegidos en entornos tan diversos y, al mismo tiempo, asegurar el cumplimiento normativo es difícil sin una solución EASM que permita un descubrimiento rápido y fiable.
• Requisitos de cumplimiento normativo: Se centran principalmente en la privacidad y la seguridad de los datos, y son cada vez más estrictos. Cumplir con el RGPD, HIPAA, PCI DSS y otras normativas que exigen controles de acceso estrictos, descubrimiento e inventario de activos resulta difícil. Las soluciones EASM proporcionan las herramientas que ayudan a las organizaciones a mantener una buena relación con los auditores.
• Aumento del riesgo de terceros: Muchas organizaciones dependen de proveedores y suministradores externos, pero esto introduce riesgos de seguridad adicionales. Las soluciones EASM ayudan a evaluar y gestionar la postura de seguridad de los proveedores externos, supervisar sus superficies de ataque externas y garantizar el cumplimiento de estándares y normativas de seguridad.
• Ataques de phishing e ingeniería social: Los actores de amenazas suelen aprovechar estas técnicas para explotar vulnerabilidades externas. Las soluciones EASM ayudan a las organizaciones a supervisar dominios de phishing, identificar sitios web suplantados y detectar posibles ataques dirigidos a empleados y clientes.

Más información: 8 prácticas recomendadas para reducir la superficie de ataque de su organización

La esencia de EASM

La gestión de la superficie de ataque externa se basa en un enfoque proactivo, mientras que las medidas de seguridad tradicionales responden a las amenazas después de que hayan vulnerado un sistema. EASM tiene como objetivo detener el acceso no autorizado de antemano mediante herramientas avanzadas que analizan continuamente la superficie de ataque externa en busca de vulnerabilidades.

Adoptar EASM es distinto de incorporar un producto de seguridad basado en red o en cliente, en el que se conoce la mayor parte del entorno. La gestión de la superficie de ataque externa es lo contrario: su principal caso de uso consiste en descubrir y obtener más información sobre lo que no se conoce.

Además, EASM es un proceso continuo. La huella digital de una organización evoluciona constantemente con la incorporación de nuevos servicios, la retirada de otros antiguos y la naturaleza dinámica de los activos expuestos a Internet. La superficie de ataque externa también fluctúa, lo que exige una gestión continua y actualizaciones de seguridad permanentes.

Cómo EASM reduce su superficie de ataque

El primer paso es identificar los activos expuestos al exterior. Por ejemplo, una solución EASM eficaz rastreará Internet para encontrarlos una vez que el usuario introduzca simplemente un nombre de dominio semilla.

Cabe señalar que rastrear es el término correcto, no escanear, ya que este último se asocia a la necesidad de conexión y autenticación para descubrir activos. En el caso de EASM, el foco está en todos los datos y activos disponibles públicamente.

Al utilizar ese dominio semilla como entrada, una herramienta EASM realiza descubrimiento lateral y de subdominios mediante fuentes disponibles públicamente como DNS, WHOIS, registros de transparencia de certificados, notas de prensa, publicaciones en redes sociales, artículos de noticias, entradas de blog y ASN de IP. Esto proporciona un inventario completo de todos los activos expuestos a la Internet pública, independientemente de la red, el proveedor de nube o la cuenta de alojamiento.

Este gráfico muestra tres grandes categorías de activos, organizadas según su visibilidad y exposición.

• La zona segura, en la parte inferior izquierda, es aquella en la que una organización sabe que existe un activo, aunque quizá no tenga claro si está expuesto. Esto incluye dominios oficiales, subdominios, certificados válidos, etc.
• La siguiente zona es más difusa: es aquella en la que una organización puede saber que existe un activo, pero no si está expuesto, como direcciones IP incluidas en listas de bloqueo o instancias SSH expuestas.
• La zona de peligro es aquella en la que una organización no tiene conocimiento de un activo y, por tanto, no sabe nada sobre su exposición. Esto incluye entornos de desarrollo expuestos y activos de TI en la sombra.

Una buena solución EASM puede proporcionar visibilidad rápida y completa de todos estos activos, así como información sobre su posible vulnerabilidad. Puede identificar vulnerabilidades conocidas (CVE) publicadas en la NVD, así como puertos abiertos, numerosas versiones de software, configuraciones incorrectas habituales, comprobaciones de credenciales predeterminadas, claves secretas, ASN, marcos de programación y mucho más.

Si el proveedor de la solución de gestión de la superficie de ataque externa opera una base de datos de inteligencia de amenazas, esta ayudará a determinar cuáles de estas exposiciones son críticas y suponen las mayores amenazas para una organización, y se notificarán al usuario.

Más información: Cómo identificar la superficie de ataque de su organización

Ventajas de EASM

Implementar una estrategia y una solución EASM eficaces ofrece numerosas ventajas:

Ciberseguridad mejorada

La gestión de la superficie de ataque externa reduce significativamente el riesgo de brechas de datos, protegiendo así la información confidencial y manteniendo la confianza de los clientes, además de ayudar a la organización a evitar los costes y el daño reputacional asociados a estas brechas.

Mejora del cumplimiento normativo

A medida que se implantan más estándares de cumplimiento normativo e industrial, como PCI, HIPAA y RGPD, la información de seguridad proporcionada por EASM puede detectar cualquier incumplimiento. Por ejemplo, conocer la geolocalización de los activos permite a una empresa garantizar el cumplimiento de la normativa de esa región.

Operaciones de seguridad optimizadas

EASM puede agilizar y optimizar las operaciones de seguridad al proporcionar una visión clara y concisa de las vulnerabilidades externas de la organización, lo que permite orientar los esfuerzos de seguridad de forma más específica y eficiente.

Gestión del riesgo de terceros

Las organizaciones suelen trabajar con un amplio abanico de terceros, incluidos proveedores, socios, contratistas y consultores. Una solución EASM puede proporcionar información sobre riesgos de la cadena de suministro relacionada con cualquier amenaza para la propia seguridad de la empresa.

Mejor evaluación de proveedores

Antes de incorporar a un proveedor, una solución EASM puede informar de forma discreta sobre el riesgo de ciberseguridad expuesto del proveedor. Una extensión de este caso de uso es la realización de diligencias debidas para fusiones y adquisiciones.

Véalo en acción: Ivanti Neurons for EASM