Crear medidas de mitigación prácticas

Conocer los ataques es solo la mitad del trabajo; aplicar medidas de mitigación es el resto. Una medida de mitigación es cualquier medida que reduzca la probabilidad o el impacto de una amenaza. Ningún control lo detiene todo, por lo que debe aplicar varias capas para reducir el riesgo general.

Esta lección reúne las defensas prácticas y cotidianas que aplica un técnico para reforzar una red frente a los ataques que ha estudiado.

La gestión de parches es una de las defensas más eficaces. La mayoría de los ataques aprovechan vulnerabilidades conocidas que ya tienen solución. Aplicar rápidamente las actualizaciones de seguridad a los sistemas operativos, las aplicaciones y los dispositivos de red cierra esas brechas.

El parcheado automatizado y un calendario regular de actualizaciones mantienen los sistemas al día y reducen drásticamente el periodo durante el que los atacantes pueden utilizar un exploit conocido contra usted.

Las contraseñas débiles o reutilizadas provocan innumerables brechas. Exija contraseñas sólidas y únicas, y añada MFA (autenticación multifactor), que requiere una segunda prueba, como un código enviado al teléfono, además de la contraseña.

MFA es una de las defensas más valiosas disponibles: aunque un atacante robe una contraseña mediante phishing, no podrá iniciar sesión sin disponer del segundo factor.

Aplique el principio de mínimo privilegio: conceda a cada usuario y servicio únicamente el acceso que necesite. Si una cuenta se ve comprometida, unos derechos limitados reducen los daños y contienen el movimiento lateral.

Revise periódicamente los permisos, elimine rápidamente las cuentas que no se utilicen y separe las cuentas administrativas de las cuentas de uso cotidiano para que un compromiso rutinario no otorgue privilegios de administración.

Utilice firewalls con una postura de denegación predeterminada para permitir únicamente el tráfico necesario, y segmente la red para que una brecha en un área no pueda propagarse libremente. Aísle los dispositivos invitados, los dispositivos IoT y los sistemas sensibles en segmentos separados.

Estos controles de red contienen los incidentes y convierten lo que podría ser un compromiso de toda la red en un problema limitado a un único segmento.

Cifre los datos en tránsito (HTTPS, VPN y Wi-Fi cifrada) y en reposo (unidades y bases de datos cifradas). El cifrado impide las escuchas y los ataques on-path, y hace que los datos robados resulten inútiles sin la clave.

Establecer el cifrado como opción predeterminada en todas partes significa que el tráfico interceptado y los discos robados solo proporcionan datos desordenados e inútiles al atacante.

Implemente antivirus o EDR (Endpoint Detection and Response) en los dispositivos para detectar malware, y utilice filtrado de correo electrónico para bloquear el phishing y los archivos adjuntos maliciosos antes de que lleguen a las bandejas de entrada.

Dado que el correo electrónico es el principal método de distribución de ataques, unos filtros sólidos contra el spam y el phishing, combinados con la protección de endpoints, detienen automáticamente una gran parte de las amenazas antes de que los usuarios lleguen a verlas.

No puede detener aquello que no puede ver. Utilice IDS/IPS (sistemas de detección y prevención de intrusiones), registros centralizados y un SIEM (gestión de información y eventos de seguridad) para detectar rápidamente la actividad sospechosa.

Establecer líneas base normales permite que la supervisión detecte anomalías, y una detección rápida limita la cantidad de daños que un atacante puede causar antes de ser detenido.

Las copias de seguridad fiables son la defensa definitiva contra el ransomware y la pérdida de datos. Siga la regla 3-2-1: tres copias, en dos tipos de soporte, con una de ellas fuera del sitio o sin conexión.

Pruebe periódicamente las restauraciones, porque una copia de seguridad no probada puede fallar cuando más la necesite. Con buenas copias de seguridad, incluso un ataque que haya tenido éxito se convierte en un incidente recuperable en lugar de un desastre.

Los controles técnicos no son suficientes cuando los ataques se dirigen a las personas. La formación continua en concienciación sobre seguridad, unas políticas claras y un plan de respuesta a incidentes convierten a los usuarios en una capa de defensa y garantizan una reacción rápida y organizada cuando algo sale mal.

Una plantilla formada que sabe detectar y notificar actividades sospechosas es una de las defensas más rentables.

Una seguridad eficaz combina muchas medidas de mitigación prácticas: parcheado, MFA, mínimo privilegio, firewalls y segmentación, cifrado, protección de endpoints y del correo electrónico, supervisión, copias de seguridad y formación. Ninguna medida individual es suficiente, pero juntas dificultan mucho más iniciar, propagar y completar los ataques.

Compruebe sus conocimientos sobre medidas de mitigación.

Las medidas de mitigación prácticas se combinan para reducir el riesgo: gestión de parches, MFA y autenticación sólida, mínimo privilegio, firewalls y segmentación, cifrado en todas partes, protección de endpoints y del correo electrónico, supervisión (IDS/IPS, SIEM), copias de seguridad probadas (3-2-1) y formación de los usuarios. Ningún control es suficiente por sí solo.