WatchGuard Threat Labs: Estadísticas del tercer trimestre 2017

(Información obtenida de la Infografía Resumen del Estudio Q3, 2017 de WatchGuard Threat Labs)

Para poder establecer una estrategia de defensa es preciso conocer los tipos de amenazas y ataques que han estado ocurriendo en los últimos tiempos.

Lo valioso de la información obtenida del estudio de WatchGuard Technologies es que resume el comportamiento de un universo aproximado de 30.000 equipos distribuidos en el mundo entero.

WG Q3 2017Esta información debe complementar nuestra propia estrategia de visualización y análisis de los Logs con las tendencias obtenidas del Informe.

A continuación la información más importante que se puede resumir:

-) 24% DEL MALWARE DETECTADO ES ZERO DAY.

Ya no es suficiente protección el uso del Gateway Antivirus.  Es preciso el complemento con tecnologías de detección en la nube y de evaluación de comportamiento del tipo Sandbox, para poder estar protegido de este tipo de malware.

Aunque el Gateway Antivirus no es suficiente, evidentemente es una protección necesaria contra un 76% del malware conocido. 

-) 68% DEL MALWARE DETECTADO UTILIZA TECNOLOGÍA DE SCRIPTING EN SESIONES WEB.

La evidencia muestra que es imprescindible el uso del IPS para evitar la ejecución de  “programas” (scripts) en sesiones de navegación web.  Por lo que es altamente recomendable la activación de la prevención de intrusiones en sesiones http y https.

La evidencia también mostró que el malware no estaba afectando solamente a los navegadores de los usuarios, también estaba afectando a los servidores web.  Por lo que no debe olvidar de aplicar el IPS sobre su Servidor WEB y cualquier aplicativo que haga uso de los servicios web para su funcionamiento.

-) 71,62% DEL MALWARE DETECTADO OCURRIÓ EN LA REGIÓN EUROPA-AFRICA-MEDIO ORIENTE (EMEA por sus siglas en Inglés).

Esta estadística muestra que los usuarios de estas regiones deben poner especial cuidado en el uso de una estrategia de seguridad MULTICAPA que debe incluir como mínimo el uso de Antivirus, IPS y APT Blocker.

Si usted no pertenece a esta región no debe sentirse aliviado por el mal ajeno.  Muy por el contrario, debería enfocar sus esfuerzos por analizar sus datos con DIMENSION y evaluar su interacción de tráfico con esta región EMEA, para que pueda prevenir contaminarse de manera indirecta.  Aproveche la función de GEOLOCALIZACIÓN para bloquear la actividad con los países de la región con los que no requiera interacción alguna y aplique seguridad multicapa con aquellos con los que si requiera interacción.

Estos son las cifras más relevantes de un estudio muchísimo mas extenso y algunas de nuestros comentarios y recomendaciones basadas en estas cifras.

Si quiere obtener mayor información acerca del estudio o nuestra interpretación del mismo, puede escribirnos a  info@altermediosmss.net

 

 

 

 

 

10 Malos Hábitos que deben romper los Profesionales de Seguridad IT

(Tomado y Adaptado de TechRepublic)

La demanda de profesionales de Seguridad IT continúa en ascenso y se proyecta una escasez de talentos de 1.8 Millones de empleos para el año 2022.  Los encargados de asumir estas posiciones jugarán un rol muy importante en sus organizaciones. Una serie de errores comunes pueden hacer su trabajo más difícil y poner en riesgo la seguridad de sus empresas. El costo promedio de las brechas de seguridad, a nivel mundial, está estimado en 3.62 millones de dólares.

10 Habitos que debe Romper

A continuación se indican los 10 malos hábitos que deben romper los profesionales en Seguridad IT para ser más eficaces en sus organizaciones:

1.EXCESO DE CONFIANZA.

Es el error más común en Seguridad IT.  Una falsa sensación de confianza se produce al pensar que se han implementado todos los controles correctamente, lo que lleva a pensar que las organizaciones son invulnerables.

Otro de los errores comunes es pensar que es suficiente con implementar un sólo mecanismo de protección.  Sin embargo, como queda establecido en los juegos de estrategia, una Individuo puede ser vencido por otro Individuo independientemente de que tan ágil  o poderoso sea.  Por eso es importante que siempre se aborde una estrategia de seguridad multicapa.

2.OMISIÓN DE LOS CONTROLES CORPORATIVOS.

Los profesionales de seguridad IT tienden a deshabilitar los controles implementados cuando consideran que les impide hacer su trabajo.

Al implementar una estrategia de seguridad multicapa se presentan incompatibilidades entre tecnologías que compiten entre si, lo que los obliga a desabilitar o apagar configuraciones que suelen ser repetidas.

Desabilitar o remover protecciones como el Anti-Virus, la Autenticación de Doble Factor o abrir los Protocolos de Red, exponen los sistemas de manera deliberada a los atacantes.

3.ACTITUD NEGLIGENTE ACERCA DE LOS FALSOS POSITIVOS.

Algunos profesionales de seguridad IT son negligentes respecto a los falsos positivos, asociados a la detección y bloqueo de archivos benignos que han sido catalogados como malware, con la consecuente pérdida de información o interrupción de las operaciones.

Muchas veces estos falsos positivos son provocados por la configuración de los sistemas de seguridad IT a un nivel paranoico que impide el normal desenvolvimiento de las operaciones de la organización.

4.NO REVISAR TODO SU AMBIENTE DE TRABAJO.

Los profesionales de seguridad IT pasan gran parte de su tiempo “apagando fuegos” y tapando huecos de seguridad. Muy por el contrario, pasan muy poco tiempo revisando por qué sus sistemas se van debilitando.

Muchas veces los problemas de seguridad se presentan por cambios de configuración provisionales que no son reversados o por elevación de los permisos de los usuarios que son solicitados temporalmente para realizar alguna actividad y que luego no son revocados.

5.DESCONOCER LA IMPORTANCIA DE LOS USUARIOS EN LA SEGURIDAD IT.

Aunque muchos profesionales de IT reconocen que sus usuarios son el eslabón más débil en la cadena; muy pocos reconocen que deben actuar sobre sus usuarios para mejorar la seguridad.

El entrenamiento de los usuarios es una aspecto clave en la estrategia de seguridad por lo que es deseable que la educación sea un aspecto prioritario. Pequeños cambios en la conducta de los usuarios, pueden traer efectos notables en la postura de seguridad de la organización.

6.DEJAR QUE DECAIGAN SUS HABILIDADES.

Es un error asumir que se poseen todas las habilidades que puede requerir su trabajo.  Debe mantenerse en constante entrenamiento para no ser dejado atrás por las nuevas tecnologías.

7.NO ACTUALIZAR LOS PARCHES DE SEGURIDAD INMEDIATAMENTE.

Las organizaciones invierten gran cantidad de su presupuesto en la contratación de soluciones de seguridad que terminan siendo vulneradas por no aplicar las actualizaciones de seguridad de manera oportuna.

8.EL SÍNDROME DE FATIGA POR ALERTAS.

Este síndrome es provocado por el envío de una gran cantidad de alarmas al responsable de Seguridad IT, quien termina por descartarlas al no poder procesarlas o por que le incomoda tener que reaccionar ante el gran volumen de información recibida.  Esto trae como resultado que se descarten alarmas muy importantes que evitarían a tiempo cualquier amenaza de seguridad.

9.CONFIAR DEMASIADO EN SUS PROVEEDORES.

Muchas veces lo profesionales de IT confían demasiado en sus proveedores, porque se supone que deben estar a la vanguardia de las tendencias en seguridad. Pero debe tenerse en mente que cualquier producto, sea de hardware o software, es solamente un engranaje de un completo sistema de seguridad, no es la solución en sí misma.

La recomendación es que cada profesional de seguridad IT debe asegurarse de poder obtener el máximo provecho de sus productos de hardware o software, antes de continuar adquiriendo nuevas tecnologías, evitando así la alta dependencia de sus proveedores.

10.IGNORAR EL LADO EMPRESARIAL.

El profesional de seguridad IT debe poder hablar en términos del negocio con los tomadores de decisión.  No debe expresarse en términos técnicos que no puedan ser comprendidos por sus interlocutores, hacer esto es como ir a una balacera con un cuchillo, no le serviría de nada (o de muy poco).

El encargado de seguridad IT debe tratar de entender el negocio en todo su contexto y no enfocarse solamente en los aspectos de seguridad, sino lo hace así, el negocio dejaría de ser exitoso, haciendo inútil la implementación de cualquier tipo de estrategia.

Fuente: http://www.techrepublic.com/article/10-bad-habits-cybersecurity-professionals-must-break/

 (Créditos: Alison DeNisco)

Resumen del Análisis hecho por GARTNER del mercado UTM para PyMes.

Un Firewall Multi-función para PYMEs es la definición más general de UTM.  Provee una solución integrada de seguridad en un sólo equipo para Empresas Distribuidas Geográficamente y para las pequeñas y medianas empresas.

Los Servicios que debe proveer un UTM, como mínimo, son los siguientes:

  • Seguridad para Correo Electrónico.
  • Seguridad para Tráfico WEB.
  • Prevención de Intrusiones.
  • Conectividad Remota.
  • Enrutamiento y Balanceo Multi-WAN.

En las PyMes, son bien valorados que un UTM posea una interfaz web para su administración, que sea fácil la configuración de políticas de seguridad, que posea un Sistema de Reportes Integrados y que todo el Software y Documentación relacionados con el UTM se encuentren fácilmente localizados.

El mercado típico de los dispositivos de seguridad UTM son las Empresas que poseen de 100 a 1000 empleados.

La empresas más pequeñas tienen altas presiones presupuestarias y poca consciencia de sus riesgos de seguridad. Sus decisiones de compra son tomadas basadas en aspectos no técnicos, principalmente reconocimiento de marca.

Las empresas medianas, suelen tener un equipo de IT  o encargan en una empresa de servicios asistidos (MSS), el mantenimiento, configuración y monitoreo de la solución de seguridad.

Las empresas distribuidas geográficamente, con muchas sucursales, suelen tener más de mil empleados, sin embargo, sólo una fracción del personal contratado tiene acceso a recursos de IT.  Estas empresas tienden a tener presupuestos aún más escasos y su operación es mucho más complicada por la poca cantidad de miembros que suele tener el equipo de IT.

En los próximos 5 años se esperan las siguientes tendencias en las PYMEs:

  1. 50% instalará una solución de seguridad en la nube y transitará el tráfico de navegación a través de un túnel seguro hasta la nube.
  2. 25% instalará un UTM como un sistema de control y monitoreo de acceso a servicios en la nube, para controlar terminales móviles y para evaluar la seguridad de sus estaciones de trabajo.
  3. 10% de las nuevas sucursales de empresas distribuidas implementará su seguridad bajo el modelo de Firewall como servicio.

Las grandes empresas, tienen necesidades de seguridad diferentes a las PyMes, incluso en sus sucursales, que normalmente atienden con firewalls empresariales del segmento más bajo, aprovechando la economía de escala resultante de las compras por volumen y la facilidad de administración que implica trabajar con una sola consola. Por esta razón GARTNER genera un análisis diferente para Firewalls Empresariales.

A continuación el cuadrante mágico de GARTNER para UTMs

Cuadrante Magico Gartner UTM

Definición de los cuadrantes

LEADERS:  Son los que más venden equipos. Tienen una amplia gama de modelos de equipos para la venta.  Tienen gran cantidad de funciones y son fáciles de gerenciar y configurar.

VISIONARIES: Tienen el diseño y funciones que requieren las empresas que compran UTM, pero carecen de la estrategia o finanzas que le permitan competir con los líderes. Para aquellas empresas en donde la tecnología de seguridad es muy importante, los visionarios son la elección.

CHALLENGERS: Son los que tiene muchas Ventas pero sus Equipos no tienen la tecnología y funciones que requiere el mercado. Son empresas que han tenido éxito con productos en otros segmentos de mercado y que logran hacer ofertas globales (en conjunto) que le permiten obtener buenas ventas.

NICHE PLAYERS: Son vendedores que se enfocan en una vertical de mercado o un área geográfica específica.  Están totalmente enfocadas a su cliente.

 

4 Servicios Wi-Fi que requieren las PyMes.

(Tomado y Adaptado de #WatchGuard #Secplicity)

WatchGuard como empresa orientada exclusivamente al canal, recibe requerimientos de sus asociados dedicados a la prestación de servicios asistidos (MSP – Managed Security Partners).

4 Soluciones WiFi

Estos requerimientos cuando están asociados a las Pymes son muy diferentes a los servicios requeridos por las grandes empresas y pueden ser agrupados en 4 categorías que pueden ser explotadas por los MSP como servicios facturables:

  1. Managed Wi-Fi:  El MSP maneja todos los aspectos de configuración y resolución de problemas asociados a los Wi-Fi.
  2. Managed Wi-Fi Security: El MSP ofrece los servicios de seguridad inalámbrica a través del uso de Sistemas de Prevención de Intrusiones Inalámbricas (WIPS), lo cual le permitiría a los clientes cumplir con los estándares HIPAA y PCI 3.2.
  3. Portales captivos que interactuan  con los usuarios: Se crean portales de autenticación que contienen anuncios que pueden ser adaptados a las estrategias de mercadeo de los clientes.
  4. Datos de Seguimiento en Tiempo Real: El MSP genera métricas asociadas a los dispositivos que se conectan al Wi-Fi y su comportamiento al visitar el establecimiento del cliente.

Algunos fabricantes ofrecen estas capacidades a través de la integración de sus APs a productos de terceros.

En el caso de WatchGuard se pueden ofrecer todos estos servicios con un sólo producto: la subscripción Wi-Fi Cloud.  Esta es una suite que provee un ambiente inalámbrico seguro, simple de administrar, inteligente y que incluye herramientas para aumentar la interacción con los usuarios y generar métricas de interés para el negocio.

 

5 Señales que indican que su PYME necesita contratar una empresa MSS.

(Tomado y Adaptado al Español de #WatchGuard #Secplicity)

Empresas de todos los tamaños están enfrentando retos en Seguridad de Información regularmente.  En particular, las PYME enfrentan una cantidad de riesgos de seguridad motivados a la escasez de recursos.  La única manera en que una PYME puede mantener los datos de sus clientes seguros sin dedicar a un personal dedicado exclusivamente a la seguridad, es contratando a un Proveedor de Servicios Gestionados (MSSP por sus siglas en inglés Managed Security Service Provider) – después de todo, ellos son los expertos. Sin embargo, Cómo una pequeña empresa puede identificar que debería iniciar una conversación para conseguir apoyo externo a su seguridad de información?

PYMES necesitan MSSPs

El Director de WatchGuard encargado del producto asociado a gestión, Himanshu Verma, escribió recientemente un artículo que muestra los 5 indicadores clave que una pequeña empresa  debe reconocer para contratar a un MSSP. El también explica que los datos sugieren que las PYMES se mueven en la dirección correcta cuando delegan su seguridad en una MSSP.

“Las buena noticia es que las PYMES están comenzando a darse cuenta del valor de un soporte externo para su seguridad. De acuerdo a una encuesta reciente llevada a cabo por Vanson Bourne, mas del 60% de los revendedores  de soluciones para PYMES no creen que la mayoría de sus clientes conocen la diferencia entre UTM y NGFW.  De los 1400 revendedores encuestados, cerca del 80% no cree que sus clientes se preocupen acerca del tipo de producto que usan o su clasificación – y solamente quieren saber que su negocio se encuentra protegido con los últimos y mejores servicios de seguridad.  Estos datos sugieren que las PYMES han comenzado a seguir las mejores estrategias y recomendaciones de seguridad que le indican los revendedores de equipos de seguridad y los MSSPs”.

Los 5 aspectos clave que indican que una PYME debe contratar con un MSSP son:

  1. Si la pyme no cuenta con un presupuesto dedicado exclusivamente para la seguridad de información.
  2. Si la empresa se relaciona en un ecosistema de negocios con empresas más grandes.
  3. Si ha tenido mejor suerte encontrando un unicornio en la empresa que un especialista en seguridad de información (CISSP)
  4. Si no posee visibilidad de los datos y recursos de IT que usa.
  5. Si cree que el cumplimiento de las normativas es un inconveniente.

 Virtual Strategy Magazine.

A través de Máquinas expendedoras de Soda fue hackeada una Universidad .

(Tomado y Adaptado de #WatchGuard #Secplicity)

De acuerdo a Network World, las máquinas expendedoras, las bombillas inteligentes  y otros 5000 dispositivos WiFi (Internet of Things -IoT) fueron secuestrados recientemente en una Universidad cuyo nombre no fue divulgado.  Suena apestoso, ¿No? Esto tuvo por resultado, un ataque a la red interna que generaba requerimientos de DNS cada 15 minutos a dominios relacionados con comida marina.

hacking-iot

Esta historia proviene de un documento de incumplimiento de escenarios de Verizon en 2017, en el que se describe cómo la universidad notó una explosión en el interés de su red por los sitios relacionados con mariscos, además de un número anormal de sub-dominios asociados con esta comida marina. Los servidores responsables de la resolución de nombres DNS, estaban luchando para mantenerse actualizados con el explosivo aumento del tráfico, causando que las búsquedas legítimas fueran interrumpidas y evitando el acceso a la mayoría de los sitios de internet.

El equipo de Verizon RISK, investigó este caso (que se presume se produjo en una universidad que era su cliente) y descubrió que las máquinas expendedoras, las bombillas de luz y otros miles de dispositivos IoT estaban haciendo los requerimientos de resolución DNS a sitios de comida marina cada 15 minutos. 4 de las direcciones IP resueltas por los DNS y cerca de 100 dominios requeridos por los servidores, se mostraban como comprometidas en una red BOTNET.  Este malware se distribuía de un dispositivo IoT a otro que tenía contraseñas débiles o por defecto.  Después que el BOTNET tomaba control del dispositivo IoT cambiaba los passwords, para dejar bloqueada a la Universidad.

La universidad se pudo recuperar del ataque BOTNET, mediante la instalación de un sniffer que fue utilizado para capturar las nuevas contraseñas en texto plano, que el malware utilizaba en los dispositivos IoT que ya se encontraban comprometidos.  El reporte de Verizon, recomienda a las organizaciones  crear zonas de red separadas para los diferentes Sistemas de Dispositivos IoT y aislar estas redes tanto como sea posible de otras redes críticas.  Adicionalmente, recomienda que debería limitarse el monto de información que puede almacenarse en un sólo lugar.

Fuente: http://www.networkworld.com/article/3168763/security/university-attacked-by-its-own-vending-machines-smart-light-bulbs-and-5-000-iot-devices.html

 

 

USB de un Profesor, estuvo apunto de infectar la red de una escuela de enfermería.

(Tomado y Adaptado de #WatchGuard #Secplicity)

La escuela de enfermería Gurnick con sede en California, evitó caer víctima de una de las infecciones más difundidas mundialmente: el Ransomware.

Cuando un profesor introdujo su disco USB para transferir material de lectura del computador de su casa al equipo de su trabajo, fue recibido con un aviso del ransomware donde solicitaba un rescate de 740,00 US$ en Bitcoins para desencriptar y devolverle sus archivos.

ransomware-enfermeria

De acuerdo a CSO Online, El ransomware no estaba únicamente en su USB, también se encontraba en su Google Drive, donde almacenaba el respaldo de sus archivos de lectura. Afortunadamente, el departamento de IT reconoció las señales tempranas y evitó que el ransomware se esparciera por toda la academia de enfermería al desconectar el equipo de la red. Por otra parte, el instructor reportó que eligió no pagar el rescate y perdió el acceso a sus archivos de lecturas y probablemente a varias presentaciones y datos personales.

Caer víctima del ransomware puede ser una cuestión muy costosa y engorrosa. Aquí le daremos algunos tips de prevención que debe mantener siempre presentes:

  • Reduzca la posibles formas de ataque, manteniendo actualizados sus programas y sistema operativo, con los últimos parches de seguridad.
  • Sea cauteloso con los intentos de phishing y sea increíblemente escéptico con los enlaces web que estén dentro de emails no solicitados.
  • Si usted ha sido alcanzado por un ransomware, no pague el rescate. Esto seguirá contribuyendo al crecimiento contínuo de la cyber-extorsión, al validarla como un flujo de ingresos viable para los hackers.
  • Ejecute y verifique offline, de forma periódica, sus copias de seguridad, con el fin de minimizar el efecto de un ransomware  atacante  y para asegurarse de que puede recuperar rápidamente sus archivos después de una infección.
  • Después de descargar un archivo, descarte cualquier posible riesgo mediante el escaneo del archivo con una solución antivirus antes de ejecutarlo.
  • Siempre que sea posible, deshabilite la ejecución de macros de Office de los documentos recibidos de fuentes desconocidas o no confiables.