Llegamos a ustedes gracias a:



Reportajes y análisis

La X-Force de IBM para seguridad

[07/10/2014] Hace ya un tiempo que IBM ha dividido su campo de acción en cinco prioridades: Cloud, analytics, mobile, social y security, pero de entre estas cinco tendencias quizás la seguridad sea la que sustente a las demás; y es obvio, sin seguridad no se puede asegurar el buen funcionamiento de las demás.

Por eso también, hace unos días IBM ofreció la visión que tiene la compañía con respecto a este campo, y lo hizo a través de la experiencia del IBM X-Force, el grupo especial de seguridad que se dedica a analizar las amenazas que tienen que enfrentar las organizaciones en la actualidad. Mediante exposiciones de miembros de este grupo especial, IBM ofreció en resumen información sobre aquello a lo que debe enfrentarse uno si desea mejorar la seguridad en la organización.

Que tan maduros estamos

Vicente Gonzalbo, miembro del worlwide security Tiger Team.
IBM X-Force

La primera información que expuso IBM tiene que ver con el grado de madurez que han alcanzado las empresas latinoamericanas en el campo de la seguridad. Esto lo midió a través de un estudio en el que se determinaron cinco campos a evaluar: seguridad en infraestructura, seguridad en aplicaciones, seguridad en datos, seguridad en identidades y GRC (governance, risk and compliance) e inteligencia de seguridad.

Vicente Gonzalbo, miembro del worlwide security Tiger Team, fue el que presentó la información de este estudio, y para ello mostró los puntos en los que mejor desempeño han tenido las empresas y aquellos en los que peor desempeño han tenido.

Los cinco mejores controles -estimados con respecto a la media- fueron el cumplimiento regulatorio, la administración de credenciales de identidad, cultura de la seguridad & capacitación en concientización, políticas de seguridad de la información, y evaluación y pruebas de la seguridad de las aplicaciones.

Es de resaltar que de estas cinco, tres pertenecen al ámbito del GRC, otro al de las personas (las credenciales de identidad) y otro a las aplicaciones; y no es de sorprender pues en un mundo donde muchas cosas se encuentran reguladas -el mundo de la seguridad- lo primero con lo que se cumple es con aquello que tiene un estándar obligatorio por detrás.

En el otro extremo se encuentran los cinco peores controles que encontró este estudio. El que peor se encuentra es el del perfil de activos de la información, seguido de la administración de la identidad, la administración de los activos, la correlación de eventos y la administración del ciclo de vida de los sistemas.

Robert Freeman, manager de X-Force Research.
IBM X-Force
Las amenazas siguen en el panorama

Otro de los aportes del grupo de seguridad de IBM fue el ofrecido por Robert Freeman, manager de X-Force Research. Luego de ofrecer información sobre las actividades y la misión de su grupo, Freeman mostró un panorama algo alentador con respecto a la seguridad: Hay mejoras. No son muchas, pero algo se ha avanzado.

El panorama presentado por Freeman, sin embargo, da que pensar. El año pasado, por ejemplo, y de acuerdo a lo señalado por el expositor, más de 500 mil registros de información personalmente identificable (PII, por sus siglas en inglés) fueron filtrados al exterior.

No solo eso, el Managed Security Service (MSS) de IBM fue testigo de más de 300 mil ataques en 24 horas, luego de que se descubriera el conocido Heartbleed; es decir, un promedio de 3,47 ataques por segundo. Es más, el MSS continua observando unos siete mil ataques en promedio al día, mayormente desde hosts maliciosos.

Lo preocupante de estos ataques es que se han sofisticado. Ahora ya no se trata de una sola dirección IP que ejecuta los ataques de forma repetida, sino que ahora muchos de los ataques utilizan un método distribuido.

Esto permite a los atacantes tener una superficie de ataque grande y diversificada, y la flexibilidad para superar las estrategias de bloqueo rudimentarias.

Por ejemplo, los ataques de un día demuestran la velocidad con la que los atacantes pueden explotar una vulnerabilidad como Heartbleed. Aunque en realidad la X-Force notó que esta tendencia es similar a lo que ocurrió en el 2012 cuando se reveló una vulnerabilidad en Java.

A pesar de estos hay buenas noticias, como se dijo en un inicio. Y éstas son que ha habido un declive en el número de revelaciones de vulnerabilidades en el primer semestre del 2014, y de hecho, ésta puede tratarse de la primera reducción en esta cifra desde el 2011, de acuerdo a Freeman.

Es difícil señalar un factor en particular que haya contribuido al declive en el número de vulnerabilidades reveladas en el 2014; pero Freeman sí hizo algunas sugerencias para mitigar estas amenazas.

La primera, y más importante, es seguir haciendo inteligencia sobre las amenazas; mantener un inventario de activos actualizado y exacto; tener una solución de parches que cubra toda la infraestructura; implementar controles de mitigación; instrumentalizar el ambiente con herramientas de detección efectivas; y, por supuesto, crear y practicar un amplio plan de respuesta ante incidentes.

Jose Antonio Trujillo, CIO Perú