¿Qué es Attack Surface Management (ASM)?
Nombrado líder en The Forrester Wave: Soluciones de gestión de la superficie de ataque, Q3 de 2024
Definición de gestión de la superficie de ataque
La gestión de la superficie de ataque (ASM) es un enfoque y tecnología que fortalece la seguridad identificando la superficie de ataque (área objetivo de ataque) de una organización desde la perspectiva de un atacante y, a continuación, trabajando para reducir el riesgo de ciberataques. Al incorporar la gestión de riesgos de la superficie de ataque (ASRM), que identifica, evalúa y mitiga continuamente los riesgos de la superficie de ataque, se puede reducir la incidencia de incidentes que amenazan la continuidad del negocio de una organización.
Para comprender la gestión de la superficie de ataque (ASM), primero es necesario saber qué significa el término “superficie de ataque”.
Según la definición del Instituto Nacional de Estándares y Tecnología (NIST) de EE. UU., la superficie de ataque se refiere a activos, servicios y entornos digitales que podrían estar sujetos a ciberataques desde la perspectiva del atacante. En concreto, esto incluye dispositivos de red como terminales de clientes, terminales móviles, dispositivos IoT, servidores y dispositivos VPN, así como software, servicios en la nube y servicios que conforman la cadena de suministro.
La superficie de ataque a veces se clasifica en la Superficie de ataque externo, que se refiere a activos digitales que están disponibles públicamente, y la Superficie de ataque interno, que se refiere a activos digitales que existen dentro de la red de la organización.
En el pasado, las medidas convencionales solían centrarse solo en la superficie de ataque que estaba disponible públicamente desde la perspectiva de las rutas/defensa de intrusión en el punto de entrada. Sin embargo, como veremos a continuación, debido a los cambios en el entorno empresarial y la creciente sofisticación de los ciberataques, ahora es común tomar medidas basadas en la premisa de que los atacantes tendrán acceso a una organización. Por este motivo, es necesario tratar la superficie de ataque como que incluye no solo activos digitales disponibles públicamente, sino también todos los activos digitales internos que podrían ser utilizados indebidamente por los atacantes.
¿Por qué es importante ASM?
Hay dos razones principales por las que se necesita la gestión de la superficie de ataque:
Es necesario proteger el entorno de TI de las organizaciones
La digitalización de todo tipo de trabajo está progresando rápidamente en los últimos años debido a los cambios en el entorno empresarial provocados por la promoción de la transformación digital y los cambios en nuestra forma de trabajar, como el trabajo remoto. Como resultado, el entorno de TI se está volviendo más complejo que nunca debido a la introducción de nuevas tecnologías como el uso de dispositivos VPN y servicios en la nube, y el uso de dispositivos IoT.
Por otro lado, muchas organizaciones no pueden mantenerse al día con los rápidos cambios y la creciente complejidad de sus propios entornos de TI y los riesgos que plantean, y las medidas de seguridad se están poniendo en segundo plano. Como resultado, desde la perspectiva de los cibercriminales, el número de objetivos de ataques está aumentando
La sofisticación de los métodos de ciberataque
Los métodos utilizados en los ciberataques y otros delitos son cada vez más sofisticados para aumentar la tasa de éxito de los ataques. En el pasado, el principal tipo de ciberataque era el tipo de «dispersión y recopilación», en el que se enviaban programas maliciosos a un gran número de destinatarios no especificados por correo electrónico u otros medios. Sin embargo, los ciberataques modernos se están volviendo cada vez más sofisticados, con un número cada vez mayor de «ataques dirigidos» que aprovechan las vulnerabilidades de las VPN y los RDP, así como la información de autenticación robada, para infiltrarse en la red de la organización objetivo y luego llevar a cabo actividades internas como la escalada de privilegios, el movimiento lateral y el robo de información.
Como resultado, las organizaciones deben considerar no solo los activos digitales que están disponibles públicamente, sino también los activos digitales dentro de la propia organización e implementar medidas de seguridad en consecuencia.
Debido a los entornos de TI cada vez más complejos del lado de defensa y los métodos de ataque cada vez más sofisticados del lado de ataque, las organizaciones deben supervisar constantemente el estado de su superficie de ataque para garantizar que los ciberataques no conduzcan a cierres empresariales y tomar medidas para reducir la posibilidad de ataques y el impacto en el negocio en caso de un ataque. En otras palabras, en lugar de esperar hasta que se produzca un incidente, las organizaciones deben tomar medidas para controlar el riesgo de antemano.
Por otro lado, a muchas organizaciones les resulta difícil comprender la superficie de ataque y gestionar continuamente ese riesgo, principalmente debido a los tres problemas siguientes, por lo que existe una necesidad de tecnología para respaldar la gestión de la superficie de ataque.
- Es difícil cuantificar el riesgo de la superficie de ataque
- No hay suficientes recursos para gestionarlo de forma continua
- Hay una visibilidad limitada de la superficie de ataque y el riesgo
Características principales de ASM
La gestión de la superficie de ataque es una iniciativa para fortalecer la seguridad visualizando los activos digitales que deben protegerse dentro de una organización y, a continuación, supervisándolos de forma continua para comprender cómo está cambiando la superficie de ataque con el tiempo. Por otro lado, no es realista gestionar manualmente la superficie de ataque de una organización, que cambia cada día, porque lleva tiempo y esfuerzo. Por lo tanto, para lograr una gestión sostenible de la superficie de ataque, es importante utilizar tecnología que respalde todo el proceso a través de la “automatización”.
La tecnología que admite la gestión de la superficie de ataque proporciona las siguientes funciones.
- Visualización de la superficie de ataque
- Al supervisar activos digitales que podrían ser objetivos de ataque dentro de una organización, se recopila y visualiza continuamente la información más reciente sobre el número y los tipos de activos (dispositivos, cuentas, servicios en la nube, etc.) y la información relacionada (versiones de SO, nombres de host, etc.).
- Comprender los factores que componen la superficie de ataque
- Se detectan y visualizan los factores que podrían hacer que los activos digitales sean objeto de ataque, como vulnerabilidades que existen en los activos digitales, configuraciones de seguridad inadecuadas y si están expuestos al mundo exterior.
Además, la gestión de la superficie de ataque para activos digitales que son accesibles públicamente a veces se denomina gestión de la superficie de ataque externa (EASM), y algunas organizaciones tratan la gestión de la superficie de ataque como EASM.
Principales funciones de ASM
Además de las funciones de gestión de la superficie de ataque mencionadas anteriormente, la gestión del riesgo de la superficie de ataque proporciona funciones para «identificar», «evaluar» y «mitigar» los riesgos.
- Se recopila la identificación de riesgos en la superficie de ataque además del número y los tipos de activos digitales que podrían ser atacados (dispositivos, cuentas, servicios en la nube, etc.) y la información relacionada (versión de SO, nombre de host, etc.), información que podría ser un factor de riesgo, como filtraciones de información de cuenta y otra autenticación, vulnerabilidades, comportamiento sospechoso y rastros de ataques.
- Al evaluar el riesgo en la superficie de ataque basándose en la información recopilada que es un factor en el riesgo en cada superficie de ataque, la gravedad del riesgo se evalúa calculando cuantitativamente una puntuación de riesgo basada en la “probabilidad” de que ocurra un ataque y el “impacto” de que ocurra un ataque. Por ejemplo, al evaluar el riesgo de un dispositivo, si hay una vulnerabilidad con una puntuación CVSS (Common Vulnerability Scoring System) alta y los ajustes de seguridad como la supervisión del comportamiento y el machine learning no están habilitados, el riesgo se calcula como alto.
- Al reducir el riesgo en la superficie de ataque para reducir el nivel de riesgo en la superficie de ataque a un nivel aceptable para la organización, se implementan medidas de mitigación de riesgos como el aislamiento de endpoints y el bloqueo de destinos de comunicación sospechosos.
El Instituto Nacional de Estándares y Tecnología (NIST) ha publicado la “Guía para realizar evaluaciones de riesgos” del NIST SP800-30, que resume sistemáticamente los métodos para la evaluación de riesgos.
Al implementar la gestión del riesgo de la superficie de ataque en una organización, es importante poder recopilar exhaustivamente información de referencia que se pueda utilizar como factor en el riesgo de la superficie de ataque, evaluar cuantitativamente el riesgo utilizando métodos establecidos y adoptar tecnología que pueda realizar continuamente un ciclo de implementación de medidas para mitigar el riesgo.
Tipos de gestión de la superficie de ataque
Attack Surface Management (ASM) se clasifica en distintos tipos que abordan diferentes facetas del entorno digital de una organización. Estos incluyen ASM externo, ASM interno, ASM de activos cibernéticos y ASM de código abierto. Cada tipo desempeña un papel crucial en la supervisión y mitigación de riesgos, proporcionando a las organizaciones un enfoque integral para proteger sus activos digitales.
Gestión de la superficie de ataque externo
El ASM externo se centra en activos empresariales internos que están expuestos al Internet público, como aplicaciones web, recursos basados en la nube, direcciones IP y nombres de dominio que podrían ser aprovechados por los atacantes. Estos servicios orientados a Internet público suelen estar dirigidos a atacantes que buscan explotar vulnerabilidades o configuraciones erróneas. ASM externo identifica y supervisa estos activos continuamente para detectar debilidades que podrían servir como puntos de entrada para un atacante. Al mantener la visibilidad de los activos accesibles públicamente, el ASM externo reduce la exposición de una organización a posibles ataques.
Gestión de la superficie de ataque interno
El ASM interno aborda los riesgos dentro de la red privada de una organización, incluidos dispositivos, aplicaciones y sistemas que no son accesibles públicamente pero que podrían aprovecharse si los atacantes obtienen acceso. Es especialmente relevante para combatir amenazas persistentes avanzadas (APT) y amenazas internas, que a menudo implican movimiento lateral y escalamiento de privilegios dentro de la red. Los sistemas heredados o los servidores internos mal protegidos pueden servir como vulnerabilidades que los atacantes explotan una vez dentro de la red. Internal ASM permite a las organizaciones detectar y mitigar estos riesgos mediante la aplicación de controles de acceso, la supervisión de endpoints y la implementación de la segmentación de red, lo que ayuda a reducir el riesgo de amenazas internas.
Gestión de la superficie de ataque de activos cibernéticos
Cyber Asset ASM se centra en gestionar y proteger activos individuales en una organización, incluidos endpoints, cuentas de usuario, instancias en la nube y dispositivos móviles. Esto es especialmente crítico en los entornos de trabajo híbridos actuales, donde los activos se distribuyen en infraestructuras on premise y basadas en la nube. Las organizaciones que operan en entornos multinube a menudo tienen diversos activos, como contenedores, máquinas virtuales y API. Cyber Asset ASM proporciona una visibilidad detallada de estos activos supervisando continuamente las configuraciones de los activos y evaluando sus perfiles de riesgo, permitiendo a las organizaciones mantener un control estricto sobre sus ecosistemas en expansión y mitigar proactivamente las posibles vulnerabilidades.
Gestión de la superficie de ataque de código abierto
Open Source ASM se centra en la gestión de los riesgos asociados con las tecnologías de open source y la información de acceso público. Aunque el software de código abierto se utiliza ampliamente, introduce vulnerabilidades debido a su transparencia y dependencia de las contribuciones de la comunidad. Además, los atacantes a menudo aprovechan datos expuestos como credenciales filtradas, claves de API o archivos de configuración confidenciales que se encuentran en repositorios abiertos como Github. Por ejemplo, una organización podría publicar inadvertidamente información confidencial en un repositorio de código público, que las herramientas de Open Source ASM pueden detectar y marcar rápidamente. Al identificar y abordar estos riesgos, las organizaciones pueden proteger sus componentes de código abierto y evitar la explotación derivada de datos accesibles públicamente.
Categorías de superficies de ataque
Comprender las categorías de superficies de ataque es esencial para una gestión eficaz de la superficie de ataque (ASM). Estos puntos de entrada se pueden clasificar ampliamente en tres tipos:
La superficie de ataque físico
La superficie de ataque físico se refiere a los componentes tangibles de la infraestructura de TI de una organización que los atacantes pueden aprovechar. Estos incluyen cualquier hardware, dispositivo o ubicación física que pueda proporcionar acceso no autorizado a datos o sistemas confidenciales.
- Hardware desechado: Dispositivos como discos duros, memorias USB o impresoras que pueden contener datos confidenciales si no se eliminan correctamente.
- Dispositivos de endpoint: Ordenadores de sobremesa, portátiles, smartphones y otros dispositivos portátiles que podrían ser robados o manipulados.
- Infraestructura de red: Componentes como routers, switches, cables de red y datacenters, a los que se puede acceder físicamente o manipular.
- Puertos o periféricos no protegidos: Puertos USB o conexiones de almacenamiento externo que podrían utilizarse para introducir software o dispositivos maliciosos.
- Violaciones físicas: Personal no autorizado que obtiene acceso a áreas seguras o información confidencial, a menudo debido a mecanismos de control de acceso deficientes.
La superficie de ataque digital
La superficie de ataque digital abarca todos los activos digitales a los que podrían dirigirse los cibercriminales, incluidos los sistemas externos, las redes internas y el software o los servicios en la nube en uso.
- Aplicaciones web: Vulnerabilidades en sitios web o aplicaciones de acceso público que se pueden aprovechar para el acceso no autorizado.
- Servicios en la nube: Almacenamiento en la nube, API o máquinas virtuales mal configuradas que están expuestas a Internet.
- Dispositivos IoT: Dispositivos conectados a Internet como cámaras, sensores o dispositivos inteligentes que a menudo carecen de sólidos controles de seguridad.
- Software obsoleto: Aplicaciones o sistemas operativos con vulnerabilidades sin parchear que los atacantes pueden aprovechar.
- Credenciales de usuario: Contraseñas débiles o robadas que permiten a los atacantes infiltrarse en redes o sistemas internos.
La superficie de ataque de ingeniería social
La superficie de ataque de ingeniería social se centra en el elemento humano, explotando la confianza de los empleados o usuarios y la susceptibilidad a la manipulación. Los atacantes suelen utilizar tácticas psicológicas para engañar a las personas para que revelen información confidencial o realicen acciones que comprometan la seguridad.
- Correos electrónicos de phishing: Mensajes fraudulentos diseñados para engañar a los destinatarios para que hagan clic en enlaces maliciosos o proporcionen credenciales.
- Pretexto: Escenarios en los que los atacantes se hacen pasar por personas u organizaciones de confianza para obtener información o acceso.
- Baiting: Ofrecer algo tentador, como una oferta de trabajo falsa o una recompensa promocional, para atraer a las víctimas a una trampa.
- Suplantación: Fingir ser un compañero, proveedor o ejecutivo de confianza para explotar la confianza del objetivo.
- Remolcado: Obtener acceso físico a áreas seguras siguiendo al personal autorizado sin las credenciales adecuadas.
Relación entre ASM y XDR
La gestión de la superficie de ataque reduce la posibilidad de ciberataques e intrusiones durante los tiempos normales, reduciendo así la incidencia de incidentes graves que podrían afectar a la continuidad del negocio. Por otro lado, debido a la reciente sofisticación de los ciberataques, se recomiendan contramedidas basadas en la suposición de intrusión y tecnologías como XDR (Extended Detection and Response) admiten la detección y respuesta de amenazas. La gestión del riesgo de la superficie de ataque es una contramedida proactiva antes de que se produzca un incidente, mientras que XDR se posiciona como una contramedida reactiva después de que se produzca un incidente, pero las dos tecnologías deben trabajar estrechamente juntas.
Por ejemplo, al supervisar los riesgos a través de la gestión de riesgos de la superficie de ataque durante los tiempos normales, se puede reducir el número de incidentes, lo que resulta en una reducción de la carga de respuesta reactiva a los incidentes utilizando XDR. Además, la información sobre los rastros de ataques detectados por XDR se puede compartir con Attack Surface Risk Management como objetivo para la evaluación de riesgos en momentos normales, lo que contribuye a un cálculo más preciso de la puntuación de riesgo.
De esta manera, aunque la gestión de riesgos de la superficie de ataque y XDR son tecnologías diferentes, se complementan entre sí compartiendo información, lo que tiene un efecto sinérgico en la reducción del número de incidentes y la carga de respuesta. Por lo tanto, es importante tener una plataforma que permita que las dos tecnologías se complementen entre sí.
Solución ASM de Trend Micro
Haga clic aquí para superar a los adversarios con visibilidad completa, priorización inteligente y mitigación automatizada.
Artículos relacionados