El aporte de Zero Trust en la respuesta de los incidentes

Sin ninguna duda los requerimientos de ciberseguridad son cada día más altos y específicos en las empresas, las cuales han visto como la transformación digital aumenta considerablemente la superficie de ataque a la que los delincuentes informáticos pueden acceder. Esto genera que las áreas de seguridad y los controles que se tenían implementados se hayan visto rápidamente sobrepasados y se requieran modelos más automáticos y preventivos.

Esta evolución debe ser progresiva dentro de las organizaciones. Pero en los últimos años el modelo más aceptado es el conocido como Zero Trust, donde la premisa es la desconfianza total de cualquier elemento que trate o gestione datos en la empresa. Incluso uno de los grandes de la industria, como lo es Microsoft, tomó este modelo de seguridad como base en sus desarrollos de seguridad de Windows.

Zero Trust es un modelo que ha confirmado se puede adaptar muy bien a los retos de los cambios tecnológicos que hemos vivido en los últimos años, y que la pandemia sin duda aceleró, debido al aumento casi exponencial de los incidentes cibernéticos. Sin embargo, está muy lejos de ser una solución perfecta que no sufra incidentes.

Es en este punto donde un incidente ocurre cuando el modelo de Zero Trust mejor puede complementar y ser el soporte de los equipos de Respuesta de Incidentes y equipos de Forense Digital (conocidos en el entorno de la ciberseguridad como DFIR) los cuales necesitan la mayor cantidad de datos e insumos del incidente para realizar su labor, paso garantizado en una organización que tenga un modelo de seguridad de Zero Trust.

Veamos por qué…

Recordemos que el modelo de seguridad está orientado a que los controles se ubiquen lo más cerca a los datos, cambiando el concepto de perímetro estático y llevando la seguridad a usuarios, dispositivos, activos y recursos. Dentro de sus componentes se estipulan cinco dominios, los cuales permiten desplegar los controles de seguridad de forma integral.

En el caso de un incidente son estos mismos dominios los componentes que se vuelven esenciales en los procedimientos de respuesta y de análisis forense. Para esto veamos qué implica cada dominio y que aporta en DFIR.

• Dispositivos.  Todo dispositivo que pueda conectarse los activos o datos de la organización debe evaluarse continuamente en riesgos y amenazas. Además, se puede usar la identidad del dispositivo o sesiones activas para detectar anomalías en acceso de forma preventiva.

Este contexto permite obtener evidencia de acciones realizadas por los diversos dispositivos en la red y los usuarios que los usen o la identidad asociada a los mismos. Para el acaso de un forense es vital tener esa visibilidad de acciones y riesgos de los dispositivos para la generación de una línea de tiempo y las identidades de quienes accedieron a los datos.

• Datos:  En una estrategia de Zero Trust completa los datos son protegidos en tránsito y en reposo a través de técnicas de cifrado, filtrado por datos DLP y detectores con capacidades de inspección profunda de datos.

En el proceso forense esta capacidad da visibilidad a la forma en la que se intentó realizar la extracción o movilización de los datos, dentro de la red o hacia afuera de la misma.

• Redes: En la práctica de Zero Trust la red debe estar segmentada en partes no solo pequeñas, sino adaptables, además de ser persistentemente monitoreada y tener estadísticas de análisis de la actividad, pues se opera con la premisa que todo es sospechoso en la red.

Esto da al proceso forense la capacidad de analizar los eventos de tráfico detalladamente, y genera un mapa de relaciones a través de la red y de los segmentos permitiendo la detección «simple» de movimientos laterales o conexiones a C&C.

• Flujos de carga: La automatización de prevención, detección y respuesta en cada elemento de la red debería permitir a los equipos de seguridad una detección temprana y efectiva de las anomalías, así como tomar medidas para neutralizar o aislar un ataque.

Esto centraría la investigación forense a las causas puntuales de la amenaza, reduciendo el espectro de análisis y aumentando la productividad en la respuesta del incidente y la detección de la causa raíz.

• Personas: El componente central del Zero Trust es la identificación del usuario como base de nuevo perímetro de seguridad. Por lo tanto, la autenticación y autorización del acceso a cada dato o información es controlado.

En el proceso forense entrega el contexto necesario para determinar en primera instancia los posibles sospechosos en el incidente y analizar puntualmente las acciones de estos usuarios sobre los datos.

Un ejemplo…

Supongamos un caso de una fuga de información, la cual fue expuesta en Dark Web y que expone información sensible de una empresa. En una investigación tradicional se tendría que buscar en todos los dispositivos de la empresa para tener una idea de donde estaba esa información. Después, validar si existen los registros en la máquina de los usuarios que pudieron estar conectados remota o directamente a dicho dispositivo. Basándose en la existencia de esos registros, tomar los dispositivos de los usuarios para extraer los artefactos forenses que se van a analizar.

Si es posible obtener toda esa información y acceso a los dispositivos el equipo forense tendría cientos de Megas de información que procesar, y los usuarios implicados en el proceso se enterarían de que están siendo investigados. Adicionalmente, no es posible garantizar que se tengan los datos suficientes para confirmar quien exfiltró la información.

En cambio, en un entorno de seguridad basado en Zero Trust se tiene un inventario detallado de dispositivos y de personal que puede acceder a cada uno de estos. Con el dominio de flujo de datos se tiene una idea clara de quiénes pudieron acceder a esta información, y con los registros de identificación una confirmación detallada de la lista de personas posiblemente involucradas.

La toma de artefactos forenses es remota y completamente silenciosa para los usuarios, pues todos los dispositivos deben tener sistemas de XDR que permiten este acceso desde sistemas centralizados y entregan detalles específicos de cada dispositivo, pudiendo así hallar la traza de cómo fue exfiltrada la información.

En conclusión…

Nada nos podrá garantizar una seguridad infranqueable. Pero la evolución de arquitecturas de seguridad, en combinación con buenas estrategias-acción en incidentes, nos permiten tener equipos e infraestructuras resilientes que puedan recuperar datos robados o aislar un área de la organización afectada sin poner en riesgo toda la operación.

Cuando las empresas combinan el Zero Trust con una estrategia posterior a un incidente que aprovecha el análisis forense digital, las organizaciones pueden confiar en que están preparadas para enfrentar cualquier desafío que presente una persona interna o una amenaza externa.