Prevención y refuerzo de la seguridad

Ningún control individual detiene el ransomware. La prevención establece capas de barreras independientes, de modo que eludir una de ellas no elimina las demás. El objetivo es dificultar la intrusión, ralentizar la propagación y garantizar la recuperación.

Esta lección cubre los controles de mayor impacto: copias de seguridad, segmentación, mínimo privilegio, MFA, aplicación de parches y reducción de la superficie de ataque.

Las copias de seguridad son el seguro definitivo contra el cifrado. Una estrategia sólida sigue el esquema 3-2-1-1-0:

• 3 copias de los datos
• 2 tipos de medios diferentes
• 1 copia fuera de las instalaciones
• 1 copia sin conexión o inmutable
• 0 errores, verificados mediante pruebas periódicas de restauración

La copia inmutable y sin conexión es la que sobrevive a un atacante con permisos de administrador del dominio que busca sus copias de seguridad.

Las copias de seguridad inmutables no pueden modificarse ni eliminarse durante un periodo de retención establecido, ni siquiera por un administrador. Las copias aisladas de la red están desconectadas física o lógicamente, de modo que el malware no puede alcanzarlas.

Una red plana permite que el ransomware se propague desde un equipo infectado a todos los demás. La segmentación divide la red en zonas con tráfico controlado entre ellas, limitando el alcance del ataque.

• Separar las redes de usuarios, servidores, copias de seguridad y administración
• Bloquear el tráfico entre estaciones de trabajo, una vía lateral habitual
• Aislar la infraestructura de copias de seguridad tras sus propios controles

Mejor aún, aplique la microsegmentación para que cada carga de trabajo solo se comunique con aquello que necesita.

El ransomware se propaga con los privilegios del elemento que compromete. Limitar esos privilegios limita el daño.

• Los usuarios no deben ser administradores locales de sus equipos
• Utilice cuentas independientes y específicas para las tareas administrativas
• Evite reutilizar la misma contraseña de administrador local en varios equipos
• Conceda acceso justo a tiempo y retírelo al terminar

Una cuenta de usuario estándar comprometida no puede cifrar todo el entorno.

Las contraseñas robadas provocan una gran parte de las intrusiones. La MFA bloquea a los atacantes que tienen una contraseña válida, pero no el segundo factor.

• Exija MFA para todo acceso remoto: VPN, RDP, correo web y portales de administración
• Prefiera métodos resistentes al phishing (llaves de hardware FIDO2) en lugar de SMS
• Protéjase contra la fatiga de MFA exigiendo la confirmación de número

La MFA en los accesos expuestos a Internet es una de las medidas individuales más eficaces para prevenir el ransomware.

Los sistemas sin parches expuestos a Internet son objeto de explotaciones repetidas para obtener el acceso inicial. Priorice las acciones y reduzca la exposición.

• Aplique parches primero a las vulnerabilidades expuestas a Internet y explotadas activamente
• Elimine o restrinja el acceso a RDP y SMB expuestos desde Internet
• Retire los servicios y protocolos heredados que no se utilicen
• Consulte las listas de vulnerabilidades conocidas y explotadas para establecer prioridades

El phishing es el principal método de distribución, así que refuerce conjuntamente la bandeja de entrada y el endpoint.

• Filtrado del correo electrónico, reescritura de enlaces y análisis de archivos adjuntos en un sandbox
• SPF, DKIM y DMARC para reducir la suplantación
• Bloqueo predeterminado de la ejecución de macros y scripts de riesgo desde el correo electrónico e Internet
• Implemente EDR para detectar comportamientos maliciosos en los endpoints

Combine los controles técnicos con formación de concienciación para que los usuarios sepan informar de los mensajes sospechosos.

Una lista de permitidos sobre lo que puede ejecutarse detiene la mayoría de las cargas desconocidas. Combínela con la desactivación de las funciones que suelen aprovecharse.

• Lista de permitidos de aplicaciones para que solo se ejecuten binarios aprobados
• Desactive de forma predeterminada las macros de Office procedentes de fuentes que no sean de confianza
• Restrinja los intérpretes de scripts y las herramientas administrativas integradas cuando sea posible
• Active la mitigación de exploits del sistema operativo y la protección contra manipulaciones en las herramientas de seguridad

La protección contra manipulaciones es importante porque los operadores intentan desactivar el EDR antes de cifrar.

El movimiento lateral se basa en credenciales obtenidas. Haga que sean más difíciles de robar y reutilizar.

• Protéjase contra el volcado de credenciales desde la memoria
• Utilice contraseñas de administrador local únicas en cada host (con rotación gestionada)
• Limite los lugares desde los que pueden iniciar sesión las cuentas privilegiadas (no utilice cuentas de administrador del dominio en estaciones de trabajo)
• Supervise los patrones de autenticación inusuales

Limitar la reutilización de credenciales rompe la cadena entre un equipo comprometido y todo el dominio.

Los controles se degradan sin mantenimiento. Trate la prevención como un programa continuo:

• Realice periódicamente pruebas de restauración, no se limite a comprobar que las copias de seguridad se completan
• Realice ejercicios tabletop para que el equipo conozca el plan
• Elabore continuamente un inventario de los servicios expuestos y las cuentas privilegiadas
• Mida la cobertura de MFA, la latencia de aplicación de parches y las deficiencias de segmentación

Un programa probado convierte una posible catástrofe en un incidente gestionable.

Ha creado defensas por capas contra el ransomware.

• Copias de seguridad 3-2-1-1-0 con al menos una copia inmutable o aislada de la red y restauraciones probadas
• Segmentación para contener la propagación; mínimo privilegio para limitar el daño
• MFA en todo acceso remoto; aplicar parches primero a los errores expuestos a Internet y explotados
• Correo electrónico, EDR, lista de permitidos de aplicaciones y protección de credenciales
• Gestionarlo como un programa, con pruebas de restauración y ejercicios tabletop

A continuación: detectar un ataque que ya está en curso.