Mirando por mi puerta trasera

Además de las puertas traseras que utilizan los gobiernos para monitorear el tráfico web y la actividad de los usuarios, los atacantes las instalan para recuperar datos.

Hablé con Adrian Davis, principal analista de investigación del Information Security Forum, quien confirmó que las puertas traseras pueden estar presentes en la tecnología debido a cuatro factores:

1) Es parte del ciclo de desarrollo o actualización, ya que los desarrolladores a menudo crean una forma rápida y fácil de ingresar al sistema, sin pasar por las funciones de seguridad integradas. Eso les permite trabajar más rápido, realizar cambios más fácilmente y escribir código. Desafortunadamente, estas puertas traseras no siempre se eliminan antes de «empezar a funcionar»;

2) Están creados para ayudar con la resolución de problemas / mantenimiento remotos porque facilitan que el ingeniero de servicio, el centro de llamadas o el ingeniero de campo ingresen al sistema y hagan su trabajo;

3) Son insertadas maliciosamente por administradores de sistemas u otros usuarios privilegiados, que pueden desear «asegurar» sus trabajos (las bombas lógicas son parte de esto);

4) Se crean porque el sistema operativo / almacenamiento / configuración de la plataforma en la que se ejecuta el código no tiene la capacidad de manejar múltiples cuentas, almacenar contraseñas, etc., por lo que solo puede tener una cuenta y una contraseña.

Entonces, si estas puertas traseras pueden estar presentes debido a diversos factores, ¿cómo se pueden mitigar? TK Keanini, director de tecnología de Lancope, dijo: “La realidad es que las puertas traseras están en todas partes y es solo cuestión de tiempo saber cuándo se descubrirán. El problema que tenemos ahora es que los malos son los que están más motivados y financiados para encontrarlos primero.

«Reúnase con sus proveedores y asegúrese de conocer su política con respecto a las puertas traseras al principio del proceso de adquisición, no cuando los malos encuentren otra, esto al menos reducirá la orientación a aquellas puertas traseras que no fueron diseñadas intencionalmente en el producto».

Keanini dijo que si bien esas puertas traseras instaladas intencionalmente y solo protegidas por el secreto y las que no están diseñadas intencionalmente pero ofrecen una ruta de acceso alternativa son peligrosas cuando se revelan y son bien conocidas, el proceso de descubrimiento para encontrarlas y las contramedidas son diferentes.

Al preguntar por qué alguien construiría una puerta trasera por diseño, dijo que hubo un momento en que esta era una función de soporte para restaurar el acceso. “El panorama de las amenazas ha avanzado tanto en los últimos años que ya nadie puede permitirse esta ‘función’, pero aún existen. Lo que es peor es que incluso cuando la fabricación finalmente logra quitar la puerta trasera, lograr que las masas apliquen esta actualización es una historia completamente diferente: la ventaja es para los malos «.

Sean Powers, gerente de operaciones de seguridad de DOSarrest, dijo que un desafío con las puertas traseras, además de no saber acerca de ellas, es adónde pueden dirigir los datos, ya sea un canal IRC o una red gubernamental. “No vemos mucho de esto ya que nos ocupamos del tráfico web, y si lo vemos, cambia inmediatamente. Eso no quiere decir que el atacante no pueda enviarlo a través de un canal de back-end, pero lo más probable es que se coloque allí.
y olvidado ”, dijo.

Parece sorprendente que se pueda introducir y olvidar una «ruta de salida», pero tal vez esto sea un llamado a un mejor monitoreo de lo que está dejando su empresa. Por otra parte, podría implementar la mejor supervisión del tráfico web, pero un atacante inteligente, o nos atrevemos a decir un estado-nación, puede cifrar ese tráfico para que sea invisible para usted.

Independientemente, esos agujeros silenciosos que se colocan a través de una variedad de opciones están presentes desde el principio o se colocan con o sin su conocimiento, y no existe una solución simple para mitigarlos. Keanini sugirió las siguientes cuatro tácticas para resolver el problema:

· Suponga que se darán a conocer nuevas puertas traseras en el futuro

· Asegúrese de tener alguna detección de comportamiento (no basada en firmas) implementada en toda la empresa

· Asegúrese de haber dividido la topología de su red en enclaves que se puedan monitorear y administrar

· Asegúrese de tener un proceso de respuesta a incidentes bien establecido porque querrá actuar rápidamente para mitigar y remediar

Lamar Bailey, director de investigación de seguridad de Tripwire, argumentó que cuando se trata de puertas traseras en una red, las mayores vulnerabilidades son los dispositivos móviles y portátiles de propiedad personal, ya que cuando una empresa se abre a «BYOD», abren la red a el desconocido.

“Los atacantes tienen como objetivo estos dispositivos y las computadoras portátiles de los empleados cuando se utilizan fuera del entorno corporativo. Los atacantes apuntan a estas cuentas personales con spear phishing, ataques a las redes sociales o explotan los enrutadores de los consumidores para afianzarse en los sistemas y poder llevarlos de vuelta a una organización ”, dijo.

“Una vez de regreso en una organización, el malware en los dispositivos detecta la nueva dirección IP y se lanzan ataques. Las organizaciones deben ser diligentes con las prácticas de seguridad para estos dispositivos al hacer cumplir las mejores prácticas, como segregar el acceso a la red, protección contra intrusiones del host en computadoras portátiles, protección contra intrusiones en la red y parchear vulnerabilidades en software / aplicaciones en estos dispositivos «.

Entonces, incluso si ha detectado y parcheado todas las puertas traseras actuales en la red, y se está defendiendo de los atacantes que intentan insertar puertas traseras y están administrando dispositivos que se conectan a su red, tal vez esté protegido.