Los ataques cibernéticos a través del abuso de acceso pueden dañar a una empresa, a sus empleados y a sus clientes. De acuerdo con el  "IBM X-Force Threat Intelligence Index 2020", las amenazas internas inadvertidas son la razón principal del aumento de más del 200 % en la cantidad de registros vulnerados en 2019 con respecto al 2018. Las personas internas generalmente saben dónde se encuentran los datos confidenciales de una organización y, a menudo, tienen altos niveles de acceso, independientemente de si tienen intenciones maliciosas o no.

Los ataques internos también son costosos para las empresas. En el  estudio del costo de las amenazas internas 2020 de Ponemon Institute, los investigadores descubrieron que el costo anual promedio de la brecha de seguridad de datos internos era de USD 11.45 millones, y que el 63 % de los incidentes se atribuían a negligencia.

Ya sea de forma accidental o deliberada, las personas con información privilegiada pueden exponer, o ayudar a exponer, información confidencial del cliente, propiedad intelectual y dinero.

Si el objetivo de un estafador se encuentra dentro de un sistema protegido, se concentra en obtener los privilegios de acceso de un empleado. Los estafadores se aprovechan de los peones y los tontos para cometer sus delitos cibernéticos. Usan muchas tácticas y técnicas para obtener credenciales: correos electrónicos de estafa, ataques de abrevadero y malware, por nombrar algunos. Con esas credenciales, los estafadores pueden moverse lateralmente dentro de un sistema, escalar sus privilegios, realizar cambios y acceder a datos confidenciales o dinero. Los estafadores pueden acceder a datos o información desde ubicaciones no seguras durante la comunicación de salida utilizando un servidor de mando y control (C2). Pueden realizar cambios en los intentos de salida o realizar transferencias de salida de volumen.

Cómo atacan los estafadores:

Buscan vulnerabilidades

• Despliegan  e-mails de phishing o malware
• Identifican  un usuario deshonesto
• Obtienen  credenciales comprometidas

Explotan el acceso

• Mueven lateralmente al objetivo deseado
• Escalan privilegios según sea necesario
• Acceden a activos

Abusan del acceso

• Ofuscan la actividad de la red
• Alteran datos
• Exfiltran datos

Después de establecer un modelo de amenazas, las organizaciones se enfocan en detectar y solucionar las amenazas internas y las brechas de seguridad.

Los equipos de seguridad deben distinguir entre la actividad habitual de un usuario y la actividad posiblemente maliciosa para detectar amenazas internas. Para diferenciar entre estas actividades, las empresas deben primero solucionar las brechas de visibilidad. Luego, deben agregar los datos de seguridad a una solución de supervisión centralizada, ya sea parte de una  plataforma de gestión de información y eventos de seguridad (SIEM)  o una solución independiente de analítica del comportamiento de entidades y usuarios (UEBA). Muchos equipos comienzan con registros de cambios de acceso, autenticación y cuenta. Luego, amplían el alcance a fuentes de datos adicionales, como una red privada virtual (VPN) y registros de puntos finales, a medida que los casos de uso de amenazas internas incrementan.

Las organizaciones deben adoptar una solución de gestión de accesos privilegiados (PAM) y añadir datos del acceso a cuentas privilegiadas desde esa solución a la plataforma SIEM. Una vez que las empresas centralizan la información, pueden modelar el comportamiento del usuario y asignar puntuaciones de riesgo. Las puntuaciones de riesgo están vinculados a eventos riesgosos específicos, como cambios en la geografía del usuario o descargas a medios extraíbles. La asignación de puntuaciones de riesgo también brinda a los equipos del centro de operaciones de seguridad (SOC) la capacidad de supervisas el riesgo en toda la empresa, ya sea creando listas de vigilancia o destacando a los usuarios de mayor riesgo en su organización.

Con suficientes datos históricos, los modelos de seguridad pueden crear un estándar del comportamiento normal de cada usuario. Este estándar indica las operaciones normales de un usuario o máquina para que el sistema pueda identificar desviaciones. Se debe realizar un seguimiento de las desviaciones de usuarios individuales y deben compararse con otros usuarios en la misma ubicación, con el mismo cargo o función laboral.

Al adoptar una vista centrada en el usuario, los equipos de seguridad pueden detectar rápidamente la actividad de amenazas internas y gestionar el riesgo de los usuarios desde una ubicación centralizada. Por ejemplo, la analítica del comportamiento del usuario puede detectar intentos de inicio de sesión anormales en un momento inusual del día o desde una ubicación inusual o múltiples intentos fallidos de contraseña y generar una alerta según corresponda para que un analista lo valide. En otras palabras, cualquier anomalía de comportamiento ayudará a identificar cuándo un usuario se ha convertido en una persona interna malintencionada o si un atacante externo ha comprometido sus credenciales.

Una vez validado, un sistema de orquestación, automatización y respuesta de seguridad (SOAR) puede crear un flujo de trabajo de resolución de amenazas internas. Luego, la guía de referencias puede especificar qué resolución se necesita. La posible resolución podría incluir desafiar a la persona interna con MFA o revocar el acceso, cualquiera de los cuales puede llevarse a cabo automáticamente con la solución de gestión de accesos e identidades (IAM).

Las amenazas  de seguridad han aumentado y se han vuelto más complejas a medida que se han expandido las prácticas de trabajo desde casa y de trabajo remoto. Como resultado, el trabajo remoto ha cambiado fundamentalmente las prioridades de seguridad y las medidas de seguridad. Este cambio de seguridad ha introducido nuevos desafíos para los equipos de seguridad:

• Aumento general de incidentes de seguridad debido a cambios de comportamiento y mayor superficie de ataque
• Aumento de los ataques de phishing
• Falta de visibilidad de puntos finales y servidores no conectados a VPN
• Cambios en el comportamiento de los empleados debido a horarios de trabajo irregulares, diferentes ubicaciones y cambios en el comportamiento de navegación web
• Mayor uso de aplicaciones SaaS y falta de visibilidad

Los directores de seguridad de la información (CISO) deben hacer frente al rápido cambio en la seguridad de TI a medida que se mueve fuera de la red corporativa. Un equipo CISO debe comprender mejor los distintos comportamientos de sus empleados remotos y las implicaciones del trabajo remoto para detectar amenazas internas y proteger de manera efectiva los activos empresariales. Para abordar los desafíos de la fuerza laboral remota, los CISO deben poder responder las siguientes preguntas:

• ¿Cómo podemos verificar que la persona que inicia sesión en la red privada virtual (VPN) corporativa es el empleado y no un atacante que usa credenciales robadas?
• ¿Cómo podemos verificar que el comportamiento anómalo de un empleado no sea el resultado de trabajar de forma remota?
• ¿Cómo podemos ayudar a asegurar que los empleados se conecten a ubicaciones de Internet abiertas y no seguras, como cafeterías?

Al comprender los comportamientos de los trabajadores remotos, los equipos de seguridad pueden detectar un comportamiento anormal que podría indicar un compromiso de credenciales o una intención maliciosa. A menudo, pueden detectar estos comportamientos en los límites de la VPN antes de que los empleados causen posibles daños. En el perímetro, los CISO deben determinar si sus funcionalidades actuales de amenazas internas les permiten:

• Obtener la visibilidad adecuada de los registros de acceso, autenticación y VPN.
• Determinar si las credenciales de los empleados se están utilizando en dos lugares simultáneamente o desde una ubicación geográfica inusual.
• Identificar si los empleados usan credenciales fuera del horario laboral habitual en la ciudad de su ubicación principal o si la duración de la conexión es más larga de lo habitual.
• Terminar la conexión, bloquear el dispositivo y revocar las credenciales a través de IAM.

Supongamos que un atacante logra evadir la detección en el perímetro y está dentro de la red de la empresa. En ese caso, los equipos de seguridad deben validar la amenaza buscando varias credenciales comprometidas o indicadores de abuso de acceso.

Los equipos de seguridad pueden derivar indicadores de amenazas internas a través de muchos métodos, a menudo asistidos por machine learning. Estos métodos pueden ayudar a determinar si el acceso es de un empleado legítimo o un ladrón de credenciales. Dentro de la red de la organización, los CISO deben evaluar si sus funcionalidades actuales de amenazas internas les permiten:

• Crear modelos de distintos patrones de actividad estándar y de frecuencia para detectar desviaciones. Una desviación puede indicar abuso, ya sea intencional o accidental.
• Supervisar los intentos de extracción de datos a partir de la cantidad de intentos de comunicación de salida o conexiones en un día determinado. Si la cantidad de comunicaciones de salida de un empleado aumenta, podría sugerir supervisar de cerca las credenciales de ese usuario.
• Identificar transferencias de conjuntos de datos grandes y anormales para un empleado determinado. Supervisar la transferencia de datos agregados puede indicar un compromiso temprano de manera simple pero efectiva.
• Inspeccionar la integridad de puntos finales en busca de aplicaciones sospechosas, lo que podría indicar actividad de malware. Al identificar nuevos procesos o ejecuciones de aplicaciones, puede contener el malware y reducir el riesgo de seguridad de la empresa.

Al adaptar proactivamente sus programas para compensar el cambio en el comportamiento de los empleados y maximizar las inversiones en herramientas existentes, los equipos de seguridad pueden proteger mejor una red empresarial.