Las organizaciones no pueden permitirse un enfoque puramente reactivo o pasivo como defensa, ya que los cibercriminales demuestran que cualquier puerta o bóveda se puede atravesar y que solo es cuestión de tiempo encontrar la manera de ingresar.

“Fake News” para protegernos

¿Qué pasaría si se usan las técnicas y tácticas de los cibercriminales contra ellos mismos mediante un enfoque de defensa activa, en lugar de un enfoque reactivo o pasivo? ¿Qué le parecería usar el enfoque de “fake news” o noticias falsas contra el actor de amenazas?

Según Wikipedia, una “fake news” es “información no verdadera presentada como noticia. Normalmente, con el propósito de dañar la reputación de una persona o entidad o de ganar dinero a través de ingresos publicitarios”. Todos vemos diariamente el poder de las noticias falsas y cómo podemos usarlas para influir en la mente de las personas y forzarlas a tomar una mala decisión. Si las noticias falsas son tan poderosas, usémoslas para influenciar a los atacantes a tomar una mala decisión y exponerlos, antes de que cause un enorme daño.

El concepto es básico y directo. Cuando damos noticias falsas y las personas las creen, las engañamos para que tomen el camino incorrecto y esta es la idea principal detrás de usar la cibertecnología del engaño, conocida como Deception, que hace que el atacante crea que logró acceso a datos restringidos y lo mantiene ocupado hasta que la amenaza se contenga.

Realmente, la idea no es nueva. Aquellos con una historia en el campo de la ciberseguridad, podrán recordar el concepto “honeypot”. Deception es una evolución de los honeypots. Históricamente, los honeypots requerían de mucha intervención manual, lo que mejoró considerablemente con la tecnología de Deception. La diferencia es que, con las funciones actuales, es posible automatizar varias cosas: desde alimentar el “señuelo” y mantenerlo actualizado y válido, hasta grabar lo que sucede y activar una respuesta de manera rápida y eficiente.

Los beneficios del enfoque de Deception:

• Dado que se coloca un sistema que no es válido y nadie debiera usarlo, si un atacante ingresa y muerde el anzuelo, puede estar seguro de que ocurrirá un ataque: la cantidad de falsos positivos y falsos negativos se reduce dramáticamente.
• Puede recopilar inteligencia sobre los métodos y técnicas de ataques, de modo que pueda ajustar sus sistemas de seguridad para bloquear el ataque más reciente y también el futuro.
• Los atacantes estarán ocupados durante los ciberataques al intentar obtener acceso a su sistema falso, por lo que sus sistemas reales permanecen seguros. Esto es aún más importante en entornos muy críticos como los sectores financieros o gubernamentales, educación o tecnología operativa (OT) y entornos de infraestructura crítica.

Lo anterior es tan evidente que incluso el marco de ciberseguridad MITRE lo dejó muy claro en las Tácticas de MITRE Shield (canalizar, recolectar, contener, detectar, interrumpir, facilitar, legitimar y probar) donde la tecnología de Deception se presenta en casos de uso para cada una de estas etapas. Mitre Shield definió técnicas de defensa activa para mejorar la detección de amenazas y ayudar al Centro de Operaciones de Seguridad (SOC) a desarrollar una estrategia de defensa proactiva. El enfoque principal es informar a los profesionales de la seguridad acerca de la actividad de los cibercriminales.

La detección de los ciberataques basada en las soluciones de Deception se diseñó para identificar atacantes en la red, independientemente del vector de ataque. A diferencia de otras formas de detección, la solución no requiere tiempo para conocer la red y es eficaz tras la implementación. Con Deception, el análisis de ataques y el análisis forense se vuelven mucho más procesables y poderosos, además las alertas de alta fidelidad permiten la automatización de las acciones de respuesta a incidentes como el bloqueo, la cuarentena y la búsqueda de amenazas.

También te puede interesar: 58 % ha sido víctima de ciberataques a diciembre de 2020.

En un mundo donde las probabilidades están muy inclinadas a favor de los cibercriminales; las soluciones de Deception nivelan el campo de juego. Principalmente, porque automatizan la creación de señuelos dinámicos que se encuentran dispersos por todo el entorno de TI. Debido a que los atacantes no pueden determinar cuáles activos son falsos y cuáles son reales, su ventaja de tiempo se reduce o se elimina por completo. Cuando un adversario no puede hacer esta distinción, los cibercriminales se ven obligados a perder el tiempo en activos falsos mientras informan inadvertidamente a un administrador de seguridad de su presencia.

Incluso si se dan cuenta del engaño, los atacantes deben actuar de inmediato con precaución mientras buscan detonantes incrustados en el entorno falso. Esto los obliga a modificar sus tácticas de los ciberataques de manera que aumentan las posibilidades de que el equipo de seguridad los detecte. Si está preparado para cambiar el tradicional juego del gato y el ratón, siga leyendo de qué manera FortiDeceptor de Fortinet puede crear un laberinto infinito que obligará al ratón a rendirse.

Imagen: Vía Freepik. 

Esto es, básicamente la tecnología deception (que en inglés significa engaño): el arte de engañar a los ciberdelincuentes.

Una encuesta realizada por la Asociación Colombiana de Ingenieros de Sistemas (ACIS) a principios de este año, encontró que al menos el 68% de los encuestados manifestó haber tenido al menos un incidente de seguridad en su empresa, aun cuando el 76% de ellos tiene asignado un presupuesto de seguridad.

Por esta razón es que se considera necesario pensar la ciberseguridad como una guerra de estrategas. Una en la que es indispensable conocer al atacante para encontrar las mejores maneras de evitar el robo de datos.

También puede interesarte: “Google estaría usando data de apps en su tienda para crear su competencia”

¿Pero cómo se aplica en un entorno real? Esta tecnología consiste en el establecimiento de objetivos falsos como técnica de defensa a los ciberataques. Lo que hace es crear miles de trampas y señuelos en la red, con información falseada que funciona como camuflaje a los datos sensibles reales. El objetivo de estos señuelos es detectar a los atacantes para obtener información sobre los objetivos y los métodos que utilizan para conseguir los datos. Además, retrasa, distrae o frustra el ataque.

Algunos tipos de Deception:

• Señuelos y honeytokens:
  Lo que hacen los señuelos es alejar a los atacantes de los activos reales con archivos falsos con los que no van a interactuar los usuarios, sino que, por su naturaleza, son los que buscarían los ciberdelincuentes en la red. Los honeytokens son estos archivos falsos que, una vez el atacante interactúa de alguna manera con estos, envían una alerta de solicitudes anormales a una URL específica o a usuarios falsos.Este tipo de señuelos no son efectivos si no tienes a nadie encargado de monitorearlos en tiempo real y no ofrecen más información del atacante porque no pueden interactuar con ellos. Se podría pensar que son algo así como un sensor de movimiento. Además, si no hay señuelos para todos los archivos, los atacantes podrían acceder a la información a través de otros archivos no protegidos. 
• Tráfico de red falso:
  Los ciberdelincuentes monitorean la red constantemente con el fin de robar información como credenciales, detalles de cuenta y contraseñas, por lo que esta categoría se concentra en crear tráfico trampa con datos falsos.  Es una trampa de engaño que integra tráfico falso con datos atractivos para los ciberdelincuentes con el objetivo de desviar su atención de los datos verdaderos.
• Señuelos de interacción media:
  Esta es una versión más avanzada del engaño, pues el hacker interactúa directamente con sistemas, redes o servicios simulados por esta tecnología. Estos sistemas no serían visibles para los usuarios y por tanto, no podrían interactuar con estos. Estas trampas de emulación proporcionan una excelente detección y evitan las distracciones innecesarias a los empleados que no son del área de seguridad.

• Señuelos de alta interacción:Esta trampa es un sistema que requiere de recursos informáticos completos, es decir, de sistemas operativos, aplicaciones y esfuerzos en la personalización de los datos. Los atacantes pueden ser desviados hacia estas trampas directamente y ofrecen la posibilidad de registrar la actividad de los Ciberdelincuentes por períodos prolongados.Uno de los riesgos que tiene este tipo de trampas es que puede ser asumido por los atacantes y utilizado como punto de salto a otras áreas. Pero este riesgo puede ser mitigado con más trampas de emulación que permitan cortar la conexión en cualquier momento.

¿Interesado en aprender más sobre el arte de engañar a los ciberdelincuentes?

En Colombia, es la compañía de ciberseguridad ART2SEC la que ha sido pionera en la implementación de esta tecnología de engaño desde hace cuatro años como parte de su estrategia de Defensa Activa. La empresa utiliza la tecnología fabricada por TrapX para identificar las vulnerabilidades en el sistema, crear un “campo minado” con miles de trampas y desviar los ataques en cuanto son iniciados, además de utilizar su inteligencia para automatizar las respuestas a los ataques.

Dentro de las alertas que se han generado desde el Ciber Centro de Inteligencia de la compañía y que permite brindar este tipo de tecnología Deception se encuentran: el uso de la técnica de hacking de personal no autorizado, intentos de fuga de información y las credenciales comprometidas dentro de las organizaciones. Además, proporcionan una alerta de presencia de malware y/o detonantes de ransomware dentro de la infraestructura donde no se evidencian equipos comprometidos o solicitudes de rescate para su recuperación.

Si quieres conocer más sobre el concepto de Deception en la ciberseguridad, puedes inscribirte a esta charla virtual que se realizará el martes 11 de agosto a las 10:00 a.m. En el webinar se explicará la importancia de entender la ciberseguridad como una guerra de estrategas y cómo el deception permite pensar como atacante. Además, donde el engaño se convierte en una experiencia real. 

Imagen destacada: Markus Spiske en Unsplash

ART2SEC es una compañía colombiana de ciberseguridad que desde hace cuatro años aplica una estrategia de defensa activa contra los cibedelincuentes. Con su metodología AAA (Astucia, Adaptabilidad y Automatización) brinda soluciones innovadoras a sus clientes para enfrentar las amenazas informáticas y a los ciberdelincuentes. 

TRAPX Security es el líder mundial de soluciones de ciberseguridad avanzada y defensa informática basada en tecnología del engaño. Las soluciones de TrapX detectan rápidamente a los entornos en red y defienden de ataques tipo día cero y amenazas persistentes avanzadas (ATP) en tiempo real”. La tecnología Deception Grid de Trapx proporciona una visión automatizada, de alta precisión en el malware y la actividad maliciosa sin ser visto por otros tipos de defensa cibernética.