Cifrado, ransomware basado en red y botnets IoT frente a analítica de seguridad, IA y machine learning

Cisco ha presentado las principales conclusiones de su Informe Anual de Ciber-seguridad 2018, que desvela las tendencias en ciber-seguridad observadas en los últimos 12 a 18 meses.

El Informe también incluye el estudio Cisco 2018 Security Capabilities Benchmark, que este año ha entrevistado a 3.600 directores de Seguridad (CSOs, Chief Security Officers) y responsables de Operaciones de Seguridad (SecOps) de 26 países (150 consultados en España) sobre el estado de la seguridad en sus organizaciones.

Principales conclusiones: ciber-ataques

Malware oculto en tráfico cifrado

Los ciber-delincuentes utilizan técnicas de cifrado como método para evitar su detección ocultando la actividad command-and-control. El malware detectado utilizando comunicaciones de red cifradas entre noviembre de 2016 y octubre de 2017 (12 meses) se ha multiplicado por más de tres pasando del 19% al 70%.

Ransomware basado en red

En 2017 proliferaron los gusanos de ransomware basados en red. Esto elimina la necesidad del elemento humano y facilita la auto-propagación. Además, estos ciber-ataques a menudo se “disfrazan” de ransomware cuando el objetivo principal es la destrucción de los sistemas, servicios y datos (ejemplo: Nyetya), con la posibilidad incluso de ‘destruir’ Internet.

Botnets IoT y DDoS

Los botnets IoT (redes zombie de dispositivos IoT) están creciendo tanto en tamaño como en alcance y potencia. Se utilizan para lanzar ataques de denegación de servicio (DDoS) que además aprovechan la capa de aplicaciones. No obstante, sólo el 13% de las organizaciones (cifra global) ven los botnets IoT como una amenaza inminente, y siguen añadiendo dispositivos IoT a sus redes en volumen y sin seguridad IoT.

Principales conclusiones: ciber-defensas

Mayor complejidad

Los defensores están implementando soluciones de múltiples proveedores para protegerse frente a las vulnerabilidades de seguridad. Esta mayor complejidad, junto al aumento de vulnerabilidades de seguridad, reduce la capacidad de ciber-defensa de las organizaciones.

• En 2017, el 21% de los profesionales de Seguridad españoles afirmaron estar utilizando soluciones de entre 11 y 20 proveedores (23% en EMEAR y 25% a escala global). Y casi el 50% encuentran esta situación compleja o muy compleja de gestionar.

• El 74% de profesionales de Seguridad consideran complicado o muy complicado gestionar múltiples alertas de seguridad (dato global).

Crece el uso del Cloud

• El 25% de los responsables de Seguridad españoles confirmaron estar usando Clouds privados externos (off-premise); 23% en EMEAR y 27% a escala global.
• Entre las organizaciones españolas que los utilizan, el 48% albergan redes en la nube por la mejor seguridad de datos y el 46% debido a su facilidad de uso. Cifras EMEAR: 53% y 47%. Cifras globales: 57% y 46%, respectivamente.

Aunque el Cloud ofrece una mejor seguridad de datos, los ciber-ataques aprovechan el hecho de que los equipos de Seguridad tienen dificultades para defender los cambiantes y crecientes entornos multi-Cloud. La combinación de mejores prácticas, tecnologías avanzadas como machine learning y plataformas de seguridad Cloud pueden ayudar a proteger este entorno.

Herramientas de análisis de comportamiento de red

• El 93% de los consultados en España afirmaron que las herramientas de análisis de comportamiento de red funcionan adecuadamente (91% en EMEAR y 92% a escala global).
• El 83% se apoyan en la automatización para reducir su nivel de esfuerzo y reforzar la ciber-seguridad (dato global).
• El 74% ya utilizan la IA/machine learning (dato global).

Alertas sin investigar

• El 44% de las alertas no se investigan (dato global). De las que se investigan (56%), el 34% son legítimas. Y de ellas, casi la mitad (el 49%) se quedan sin remediar.

Apuesta por el outsourcing de la seguridad TI

• Un 49% de los profesionales de Seguridad externalizaron servicios de monitorización de seguridad en 2017 (cifra global), frente al 44% en 2016.
• El 47% externalizaron la respuesta frente a incidentes (42% en 2016) y el 54% optaron por servicios de consultoría de seguridad (51% en 2016, cifras globales).

Tiempo de Detección (TTD)

Las muestras de malware detectadas por los investigadores de Cisco se han multiplicado por 10 entre 2016 y 2017. Un TTD menor ayuda a los defensores a actuar con mayor rapidez para detenerlo. El TTD de Cisco se ha reducido hasta cerca de 4,6 horas. El uso de tecnología de seguridad basada en Cloud ha sido un factor clave para alcanzar y mantener este TTD medio en un valor tan bajo.

Recomendaciones de Cisco

• Educar a los empleados por roles para una mayor eficacia
• Confirmar que se aplican las prácticas y la gestión de políticas corporativas para el parcheo de aplicaciones, sistemas y dispositivos
• Asumir la responsabilidad en la seguridad de los dispositivos IoT y reforzar su capacidad de defensa
• Utilizar herramientas analíticas de seguridad avanzadas, IA y machine learning en mayor medida
• Acceder a tiempo a datos precisos y procesos de inteligencia frente a amenazas
• Hacer back-up de datos más a menudo y probar el funcionamiento de los procesos de restauración
• Revisar la eficacia de la ciber-seguridad de terceros para reducir el riesgo de ataques a la cadena de suministro
• Analizar la ciber-seguridad de entornos de microservicios, servicios Cloud y sistemas de administración de aplicaciones