EMEA se ha convertido en un hotspot global para los ataques de fuerza bruta, según una nueva investigación de F5 Labs integrada en el informe Application Protection Report 2019. Este informe constata que la mayoría de ataques que sufren las aplicaciones se producen en su nivel de acceso, sorteando los procesos legítimos de autenticación y autorización. Como norma general, se considera que hay un ataque de fuerza bruta cuando se producen diez o más intentos fallidos de inicio de sesión en menos de un minuto o cien o más intentos en un periodo de 24 horas.
El Equipo de Respuesta de Incidentes de Seguridad de F5 (SIRT) establece que durante 2018 los ataques de fuerza bruta sufridos por clientes de F5¹ representaron el 18% del total de ataques y un 19% de todos los incidentes de seguridad tratados.
De todos los ataques registrados en la zona EMEA por el SIRT de F5 el año pasado, el 43,5% fue de fuerza bruta. Canadá ocupó el segundo lugar (41,7%), seguida por EE.UU. (33,3%) y la zona APAC (9,5%). El sector Público fue el más afectado, con el 50% de todos sus incidentes en forma de ataques de fuerza bruta, seguido por el sector Financiero (47,8%), Salud (41,7%), Educación (27,3%) y proveedores de servicios de telecomunicaciones (25%).
"Si las capacidades de monitorización de una organización no son lo suficientemente robustas, los ataques de fuerza bruta pueden parecer inocuos, apareciendo como un inicio de sesión legítimo con el nombre de usuario y la contraseña correctos", afirma Ray Pompon, Principal Threat Research Evangelist de F5 Networks. "Los ataques de esta naturaleza pueden ser difíciles de detectar porque, en lo que respecta al sistema, el atacante parece ser el usuario legítimo".
Cualquier aplicación que requiera autenticación es un objetivo potencial para un ataque de fuerza bruta. Los ataques identificados por F5 Labs se centran, principalmente, en:
- Fuerza bruta de autenticación basada en formularios HTTP (29% de los ataques registrados a nivel mundial ). Ataques contra formularios de autenticación web en el navegador. La mayoría de los inicios de sesión tradicionales en la web presentan esta forma.
- Fuerza bruta de acceso a la web a través de Outlook (1 7,5 %), Office 365 (12%) y ADFS ( 17,5 %). Ataques contra los protocolos de autenticación de servidores de Exchange, Microsoft Active Directory y Servicios de Federación. Dado que a estos servicios no se accede a través de un navegador, los usuarios se autentican a través de solicitudes separadas. Debido a las capacidades single sign-on de Active Directory y de los Servicios de Federación, los ataques que tengan éxito lograrán acceder tanto a la información de cuentas de correo como a la almacenada en las intranets de la organización.
- Fuerza bruta SSH/SFTP (18%). Los ataques de acceso SSH y SFTP se encuentran entre los más frecuentes , en parte porque la autenticación SSH que tenga éxito supone, a menudo, una ruta rápida para hacerse con los privilegios del administrador. La fuerza bruta de SSH es enormemente atractiva para los hackers, ya que muchos sistemas siguen confiando en credenciales predeterminadas.
- Fuerza bruta S-FTP (6%) . La fuerza bruta de S-FTP es peligrosa, ya que además de ser un método para introducir malware, presenta una amplia gama de opciones para conseguir privilegios o controlar los equipos y las redes.
El correo electrónico es generalmente el objetivo preferido cuando se trata de ataques de fuerza bruta. Las organizaciones que no tienen actividad relacionada con el comercio electrónico suelen almacenar sus activos más valiosos lejos del perímetro y detrás de múltiples capas de control. Es en estos casos cuando el acceso al correo electrónico supone la mejor fórmula para robar datos y lograr el control de las herramientas necesarias para causar un perjuicio.
De esta manera, el correo electrónico aparece vinculado al 39% de las brechas de acceso y al 34,6% de todas las causas de violación, es decir, es el elemento clave en más de un tercio de todos los incidentes registrados.
Mantenerse a salvo
Según el informe Application Protection Report 2019 de F5, la protección contra los ataques en el nivel de acceso sigue siendo un reto importante para muchas organizaciones. La autenticación múltiple puede resultar complicada de implementar y no siempre es factible. Además, aunque las contraseñas resulten insuficientes para alcanzar una protección adecuada, el informe de F5 señala que el 75% de las organizaciones sigue utilizando credenciales simples, de nombre de usuario/contraseña, para proteger aplicaciones web críticas.
“Está claro que las tácticas de ataque van a ir cambiando a medida que las tecnologías avancen, no obstante, los principios básicos para mantenerse a salvo van a seguir siendo importantes en el futuro”, dice Pompon.
“Para comenzar, hay que asegurarse de que el sistema puede detectar ataques de fuerza bruta. En este punto, hay que saber equilibrar la importancia de la confidencialidad e integridad de la información con los requisitos de disponibilidad del negocio. Configurar algunas alarmas en el firewall no es suficiente, también es importante contar con mecanismos de restablecimiento del servicio tanto para la organización como para sus usuarios. Finalmente, hay que ejecutar pruebas de monitorización y capacidad de respuesta, así como desarrollar manuales que permitan a los profesionales reaccionar de forma rápida y con confianza ante cualquier incidente”.
