Gartner ofrece siete pasos que los líderes de seguridad pueden tomar para lidiar con Spectre y Meltdown
Los líderes en seguridad y gestión de riesgos deben adoptar un enfoque pragmático y basado en el riesgo de las amenazas continuas que plantea un nuevo clase de vulnerabilidades, según Gartner, Inc. «Spectre» y «Meltdown» son los nombres en clave dados a diferentes cepas de una nueva clase de ataques que tienen como objetivo una implementación de diseño explotable subyacente dentro de la mayoría de los chips de computadora fabricados durante los últimos 20 años.
Los investigadores de seguridad revelaron tres variantes principales de ataques en enero de 2018. Las dos primeras se denominan Spectre, la tercera como Meltdown, y las tres variantes implican la ejecución especulativa de código para leer lo que debería haber sido memoria protegida y el uso de la memoria lateral posterior. Ataques basados en canales para inferir el contenido de la memoria.
«No todos los procesadores y software son vulnerables a las tres variantes de la misma manera, y el riesgo variará según la exposición del sistema a ejecutar código desconocido y no confiable», dijo Neil MacDonald, vicepresidente, distinguido analista y miembro emérito de Gartner. «El riesgo es real, pero con un plan de remediación claro y pragmático basado en el riesgo, líderes en seguridad y gestión de riesgos puede proporcionar a los líderes empresariales la confianza de que el riesgo marginal para la empresa es manejable y se está abordando «.
Gartner ha identificado siete pasos que los líderes de seguridad pueden tomar para mitigar el riesgo:
- Reconozca el riesgo, pero no se asuste
Sistemas operativos (SO) modernos y hipervisores dependen de modelos de permisos estructurados y en capas para ofrecer aislamiento y separación de seguridad. Debido a que esta implementación de diseño explotable se encuentra en el hardware, debajo del sistema operativo y el hipervisor, todas las capas de software de arriba se ven afectadas y son vulnerables. Sin embargo, la memoria solo puede leerse, pero no modificarse. La explotación de la falla requiere que se introduzca y ejecute un código no confiable en el sistema de destino, lo que debería ser extremadamente difícil en un servidor o dispositivo bien administrado, como una red o un dispositivo de almacenamiento. También hay una ventaja en no apresurarse a «parchear el pánico». Los primeros parches crearon conflictos con algunas ofertas de antivirus y bloquearon los escritorios de Windows. Algunos entraron en conflicto con el uso de microprocesadores AMD, por lo que los sistemas no arrancarían. Otros parches iniciales tuvieron impactos en el rendimiento que se han mejorado con parches posteriores.
- Comience con un inventario detallado
Casi todos los sistemas informáticos modernos se verán afectados en cierta medida. Desde el año 2000, una vulnerabilidad no ha afectado a tantos sistemas: computadoras de escritorio, dispositivos móviles, servidores, máquinas virtuales, redes y dispositivos de almacenamiento. tecnología de operación y el Internet de las Cosas dispositivos – requirió un plan de acción deliberado y por fases para los esfuerzos de remediación. El punto de partida para los líderes de seguridad debe ser un inventario de los sistemas afectados. En algunos casos, la decisión apropiada al riesgo será no aplicar el parche. Sin embargo, en todos los casos, la hoja de ruta para los líderes de seguridad será el inventario. Para cada sistema, se necesita una base de datos u hoja de cálculo detallada para rastrear el dispositivo o la carga de trabajo, la versión de su microprocesador, la versión de firmware y el sistema operativo.
- Desarrollar un plan de remediación priorizado por riesgos
Las vulnerabilidades no se pueden explotar directamente de forma remota. Un ataque exitoso requiere que el atacante ejecute código en el sistema. Como tal, control de aplicaciones y listas blancas en todos los sistemas reduce en gran medida el riesgo de ejecución de código desconocido. Sin emabargo, infraestructura compartida como servicio La infraestructura es particularmente vulnerable hasta que los proveedores de la nube actualicen su firmware subyacente y la capa de hipervisor (lo que han hecho los principales proveedores). La fuerte separación de funciones y la gestión de cuentas privilegiadas reducen el riesgo de introducción de código que no es de confianza.
- Priorice sus esfuerzos de remediación
Al diseñar una estrategia de corrección, Gartner recomienda dividir la estrategia en fases priorizadas, porque el riesgo, las implicaciones de rendimiento y las posibles actualizaciones de hardware requeridas variarán enormemente entre los casos de uso. Comience con los sistemas que representan el mayor riesgo: computadoras de escritorio, infraestructura de escritorio virtual, teléfonos inteligentes y servidores externos.
- Reconozca que a veces la decisión apropiada basada en el riesgo es no parchear
Los líderes en seguridad de la información deben ser preparado para escenarios en el que la decisión adecuada es no parchear. En algunos casos, esto se debe a la falta de parches en sistemas más antiguos. En otros casos, el impacto en el rendimiento no se compensa con la reducción del riesgo, por lo que no se aplicarán parches. Incluso para algunos servidores bien administrados, se puede tomar la decisión de renunciar a los parches para proteger el rendimiento hasta que los parches futuros tengan impactos demostrablemente aceptables. Sin embargo, para las cargas de trabajo del servidor, cuando las características de rendimiento lo permiten, Gartner recomienda parches y actualizaciones de firmware.
- Implementar una higiene operativa sólida del sistema y controles de mitigación
Para los sistemas que no están parcheados o solo parcialmente parcheados, múltiples controles de mitigación pueden reducir el riesgo. El problema más importante a abordar es restringir la capacidad de colocar código desconocido o no confiable en el dispositivo. Al reducir esto, los riesgos se reducen significativamente, porque los ataques requieren la ejecución de código local. Para todos los sistemas, esto significa adoptar un enfoque de «denegación predeterminada», y el control de aplicaciones y la creación de listas blancas reducen en gran medida el riesgo. En la medida en que los ataques públicos se den a conocer, las plataformas tradicionales de protección de endpoints y los sistemas de prevención de intrusiones basados en la red también mitigan el riesgo.
- Planifique nuevos esfuerzos de mitigación en los próximos años
Spectre y Meltdown representan una clase de vulnerabilidades completamente nueva, y esto es solo el comienzo. La implementación explotable subyacente permanecerá en los próximos años.
“En última instancia, la eliminación completa de la implementación explotable requerirá hardware nuevo que aún no está disponible y que no se espera en 12 a 24 meses. Es por eso que el inventario de sistemas servirá como una hoja de ruta crítica para futuros esfuerzos de mitigación ”, dijo el Sr. MacDonald. “Para reducir el riesgo de futuros ataques contra vulnerabilidades de todo tipo, hemos abogado durante mucho tiempo por el uso del control de aplicaciones y la creación de listas blancas en los servidores. Si aún no lo ha hecho, ahora es el momento de aplicar una mentalidad de denegación predeterminada a la protección de la carga de trabajo del servidor, ya sea que esas cargas de trabajo sean físicas, virtuales, en la nube pública o basadas en contenedores. Esto debería convertirse en una práctica estándar y una prioridad para todos los líderes en seguridad y gestión de riesgos en 2018 «.
Los clientes de Gartner pueden leer más en el informe «Los líderes de seguridad deben hacer siete cosas para lidiar con Spectre / Meltdown».
Los analistas de Gartner proporcionarán un análisis adicional sobre las tendencias de seguridad de TI en las Cumbres de gestión de riesgos y seguridad de Gartner 2018 que se llevarán a cabo en Puerto nacional, Maryland, Tokio, Sao Paulo, Sydney y Bombay. Siga las noticias y actualizaciones de los eventos en Twitter en #GartnerSEC.