Actores estatales podrían estar atacando su infraestructura: ¿Sus parches están a la altura?

8 de marzo de 2023 - Equipo de RRPP de TuxCare

La infraestructura es el núcleo de cualquier empresa, ya sea una tubería para líquidos, un centro de datos o el proceso de desarrollo que le ha llevado años construir. Una organización que sufra graves daños en su infraestructura puede tardar mucho tiempo en recuperarse y, en algunos casos, puede que nunca recupere su estado anterior.

Para los actores de amenazas, esto convierte a la infraestructura en uno de los mayores objetivos. Al ir tras la infraestructura de una empresa, un actor de amenazas podría infligir daños importantes (o extraer un enorme rescate). Las apuestas se vuelven realmente altas cuando el actor de la amenaza es un Estado-nación extranjero.

Sin embargo, los ataques a infraestructuras se basan en muchos de los mismos vectores de ataque que cualquier otra violación de la ciberseguridad, independientemente de quién los instigue. En este artículo, explicaremos cómo los actores estatales atacan con frecuencia las infraestructuras gubernamentales y empresariales, y por qué mantener los sistemas parcheados sigue siendo una de las mejores líneas de defensa.

¿Qué es una infraestructura y cuáles son sus riesgos?

La infraestructura es el elemento fundamental de una organización. La infraestructura respalda las operaciones y les permite funcionar con eficacia. Puede incluir recursos físicos, como equipos e instalaciones, así como componentes organizativos, como procesos, sistemas y políticas.

Las organizaciones que construyan una infraestructura sólida agilizarán sus operaciones, aumentarán la eficiencia y, en última instancia, mejorarán sus resultados.

Por otro lado, si la infraestructura de una organización se ve perjudicada, puede acarrear una serie de riesgos y consecuencias, como tiempo de inactividad, pérdida o robo de datos, pérdidas financieras, incumplimiento de la normativa, daños a la reputación, trastornos operativos y moral de los empleados.

Los actores de las amenazas saben que un ataque exitoso puede tener un impacto significativo en las operaciones, la reputación y el bienestar financiero de su objetivo. Por lo tanto, es importante que las organizaciones tomen medidas para prevenir el riesgo de daños a la infraestructura debido a un ataque de ciberseguridad y tener un plan sólido para responder con rapidez y eficacia si se produce el daño.

¿Quiénes son los agentes estatales y cómo atacan las infraestructuras?

En ciberseguridad, los actores estatales de amenazas se refieren a individuos o grupos patrocinados o dirigidos por un gobierno o entidad estatal para llevar a cabo ciberataques contra otras naciones, organizaciones o individuos.

Los autores de amenazas estatales pueden estar altamente cualificados y dotados de recursos, y pueden tener motivaciones muy diversas, como el espionaje, el beneficio político o económico, la interrupción de infraestructuras críticas o el sabotaje. Las tácticas y técnicas utilizadas incluyen phishing, malware, ransomware, ataques de denegación de servicio (DoS) y amenazas persistentes avanzadas (APT).

Algunos analistas consideran que los actores estatales son el tipo de ciberamenaza más sofisticado y peligroso, ya que cuentan con el respaldo de un Estado-nación y pueden tener acceso a importantes recursos, inteligencia y experiencia.

Ejemplos de ataques de agentes de amenazas

Defenderse contra los ciberataques patrocinados por el Estado puede ser todo un reto, y requiere un alto nivel de preparación en ciberseguridad, incluyendo defensas robustas, políticas de seguridad sólidas y planes eficaces de respuesta a incidentes. Por desgracia, no siempre funciona.

He aquí algunos ejemplos de ataques con éxito:

SolarWinds ataque: A finales de 2020, se descubrió que hackers rusos patrocinados por el Estado habían puesto en peligro la cadena de suministro de software de SolarWinds, una empresa de TI con sede en Texas que presta servicios al gobierno estadounidense y a otras organizaciones. Los piratas insertaron una puerta trasera en la infraestructura de desarrollo de software de SolarWinds, que luego se distribuyó a muchos de sus clientes.
Colonial Pipeline ataque: En mayo de 2021, un grupo criminal ruso conocido como DarkSide pirateó los sistemas informáticos de Colonial Pipeline, uno de los mayores operadores de oleoductos de Estados Unidos. Los hackers utilizaron un ransomware para cifrar los datos de la empresa. El ataque causó importantes trastornos en las operaciones de la empresa y provocó escasez de combustible y subidas de precios en varios estados de Estados Unidos.
Ataque a la planta de tratamiento de agua de Oldsmar: En febrero de 2021, un pirata informático consiguió acceder a distancia a los sistemas informáticos de una planta de tratamiento de aguas de Oldsmar (Florida). El hacker intentó aumentar los niveles de hidróxido de sodio (lejía) en el suministro de agua hasta niveles peligrosos. El ataque fue descubierto y evitado antes de que se produjeran daños.
Violación de datos de la OPM: En 2015, piratas informáticos chinos accedieron a los sistemas informáticos de la Oficina de Gestión de Personal de Estados Unidos (OPM), que gestiona las autorizaciones de seguridad y los expedientes personales de los empleados federales. La filtración dejó al descubierto información personal confidencial de millones de empleados y exempleados públicos, incluidos datos sobre autorizaciones de seguridad.

También ocurre en todo el mundo, como se vio con el ataque a la red eléctrica ucraniana en 2015. Un grupo de hackers vinculados al gobierno ruso lanzó un ciberataque contra los sistemas informáticos de la red eléctrica de Ucrania, provocando un apagón que afectó a más de 200.000 personas. El ataque se considera el primer caso conocido de un ciberataque que causa un apagón.

En todos los casos, los atacantes consiguieron infiltrarse en infraestructuras clave, tanto físicas como electrónicas.

Las vulnerabilidades sin parchear siguen siendo una puerta de entrada clave

Las vulnerabilidades conocidas siguen siendo una de las formas más comunes en que un actor estatal puede encontrar la manera de entrar en la red de una víctima, y luego proceder y ejecutar un ataque. Uno pensaría que la mayoría de las organizaciones aplicarían los parches correctamente, asegurando los sistemas mediante la aplicación constante de parches, pero la realidad es diferente.

Esto se debe a una mezcla de factores. Algunas organizaciones simplemente no dan prioridad a la aplicación de parches por falta de concienciación. Sin embargo, en la mayoría de los casos, la inconsistencia en la aplicación de parches se debe a la dificultad para gestionar la carga de trabajo que conlleva.

Cada año surgen miles de nuevas vulnerabilidades. En las grandes organizaciones, esto significa innumerables instancias de aplicación de parches, que debe realizar un equipo limitado. La automatización de la aplicación de parches puede ayudar, pero sigue existiendo el problema de la programación del tiempo de inactividad. A menudo, la interrupción es simplemente demasiado para manejarla, y la aplicación de parches se retrasa con frecuencia durante bastante tiempo.

El resultado: en algún lugar hay un sistema con una enorme vulnerabilidad que no ha sido parcheada simplemente porque nadie se puso a ello, lo que lo convierte en la oportunidad perfecta para que un actor estatal decidido encuentre la forma de montar un ataque a la infraestructura.

La aplicación de parches en directo

La aplicación de parches en directo ofrece una solución sencilla a este problema. Los equipos que utilizan live patching no necesitan reiniciar los sistemas para aplicar un parche. En su lugar, la aplicación de parches en vivo integra el código seguro en un servicio en funcionamiento, sin interrupciones.

Añada la automatización integrada que ofrece la aplicación de parches en tiempo real y dispondrá de una solución que funciona a la perfección para garantizar la aplicación sistemática de parches a las vulnerabilidades de seguridad conocidas. A su vez, los actores de amenazas estatales tienen menos oportunidades de montar un ataque, lo que significa que su infraestructura está más segura.

Con TuxCare, puedes parchear en directo una serie de servicios, como tu sistema operativo Linux, bases de datos y mucho más. Para obtener más información sobre cómo funciona la aplicación de parches en vivo de TuxCare haz clic aquí.