En un esfuerzo para reforzar la conciencia sobre la seguridad de la información en cuanto a las amenazas que se presentan en Internet, empresas como Cisco, IronPort y Websense dan a conocer las principales tendencias actuales en la materia y sugieren métodos de protección contra la nueva y sofisticada generación de amenazas en las tecnologías de información.
Categorías de Administración del Riesgo
John Stewart, Jefe de Seguridad de Cisco, explicó que existen siete categorías de administración del riesgo: vulnerabilidad, aspectos físicos, legal, confianza, identidad, humanitaria y geopolítica, y juntos abarcan los requisitos de seguridad que implican la protección contra el malware, protección de fuga de datos, la administración de riesgos empresariales y la planificación de desastres, entre otros.
"En la medida en que se incrementa la adopción de más dispositivos IP conectados y los métodos de comunicación, la oportunidad de sufrir ataques también aumenta. Estas tendencias están escribiendo un nuevo capítulo en la historia de las amenazas a la seguridad y también en lo referente a las metodologías de ataque", aseguró Stewart.
Del mismo modo, en la medida en que el Internet y el comercio electrónico fueron aumentando, las amenazas como el spam, que permite ataques de phishing(una modalidad de estafa que consiste en obtener información tal como números de tarjetas de crédito, contraseñas, información de cuentas u otros datos personales por medio de engaños), también evolucionaron, con la intención de robar dinero e información personal.
Stewart puntualizó: "la seguridad de la información ya no es una batalla contra un ataque de virus o de spam. Ahora hay frecuentemente factores de índole legal, de identidad y geopolíticos también involucrados".
Parte de esto es el ataque cibernético, que está evolucionando y utiliza a menudo técnicas que antes sólo se habían visto en forma electrónica.
Hoy día uno no puede darse simplemente el lujo de ver las amenazas a la información como un duelo individual contra un virus o un ataque de phishing; las amenazas involucran tecnologías e ingeniería social, de confianza y de uso pervasivo
Asimismo, los esfuerzos por resguardar la información y las identidades de las empresas, de las personas y de los países requieren un mayor nivel de coordinación entre las partes que hasta ahora no han tenido la costumbre de trabajar juntos tan cercanamente como era necesario. "Equipos de seguridad de IT, empresas, gobiernos, organismos de ley, consumidores, ciudadanos: todos ellos son 'blancos'; pero también son aliados. La eficacia de las medidas de seguridad en lo nacional, lo empresarial, lo personal, dependerá de la colaboración y comunicación entre todos estos grupos", señaló Stewart.
De acuerdo con Stewart la clave para esta colaboración es la educación.
Algunas de las recomendaciones son:
- Realizar auditorías periódicas dentro de las organizaciones sobre objetivos que pueden resultar atractivos y evaluar las vías que se pueden utilizar para atacarlas.
- Comprender la noción de que las amenazas siguen patrones de uso.
- Cambiar la mentalidad de los empleados, los consumidores y los ciudadanos que se consideran a sí mismos transeúntes inocentes y capacitarles para tener una posición activa, al compartir responsabilidades en materia de seguridad.
- Hacer que la educación en materia de seguridad sea una prioridad.
- Institucionalizar la educación en seguridad IT mediante su incorporación en los programas escolares.
- Considerar la posibilidad de algo más que el rendimiento cuando se está construyendo una red segura.
- Los fabricantes de soluciones de seguridad necesitan ofrecer herramientas que se extienden a través de toda la infraestructura de la red, la combinación de aplicaciones y los datos en sí mismos.
Ataques más específicos, elusivos y sofisticados
Para IronPort, 2007 fue decisivo, justo cuando parecía que el diseño de malware había alcanzado su máximo nivel de desarrollo, aparecen nuevas técnicas de ataque, algunas de ellas tan complejas que, seguramente, fueron diseñadas a través de un sofisticado proceso de investigación y desarrollo.
Los controles de seguridad diseñados para manejar el flujo de malware funcionaron bien por un tiempo.
Sin embargo, gracias a estos controles, los ataques se vieron obligados a evolucionar. En 2007 muchos de ellos pasaron por procesos importantes de adaptación. El malware se hizo más difícil de detectar y su nivel de sofisticación aumentó.
Cabe señalar que los ataques de spam, virus y malware son muy costosos. El usuario promedio invierte de 5 a 10 minutos diarios en controlar el spam, ya sea que se trate de un ataque malintencionado o un accidente, la pérdida de información puede dañar la marca, reducir el valor de las acciones y perjudicar el buen nombre y la reputación de una empresa.
La comunicación electrónica y móvil constituye el vector más importante en la pérdida de información empresarial en la actualidad. Los firewall y otras soluciones de seguridad de redes no incluyen funciones para evitar la pérdida de datos y asegurar la información transmitida. Es necesario implantar controles de escaneo de contenido, bloqueo de mensajes y codificación de la información confidencial.
Durante los últimos 13 meses, ha quedado expuesta la información confidencial
de 60 millones de personas y los costos globales de limpieza y disminución de la productividad ascienden a aproximadamente 20 mil millones de dólares.
Prácticamente, el 60 por ciento de la información corporativa se encuentra almacenada en computadoras de escritorio y portátiles que no están debidamente protegidas. Además, 48 por ciento de las organizaciones no cuentan con una política de notificación al cliente en caso de que su información privada esté en peligro.
En términos generales las tendencias del spam y el malware se resumen en una mayor cantidad de ataques que serán más específicos, elusivos y sofisticados. A continuación presentamos algunas observaciones:
- El volumen de Spam aumentó 100 por ciento, a más de 120 mil millones de mensajes spam diarios. Esto significa que todas las personas del mundo reciben 20 mensajes spam al día.
- El spam se ha enfocando cada vez menos en la venta de productos y más en el desarrollo de redes spam. El objetivo de las anteriores versiones de ataques spam era generalmente la venta de algún producto (farmacéutico, hipotecas con bajas tasas de interés, etc.).
- Los virus son menos visibles, pero están aumentando en términos de cantidad.
Ataques a través de la plataforma de Web
Desde la perspectiva de Websense, se prevé que los hackers tomen ventaja del incremento en la adquisición de Macs e iPhones como nuevos medios para ataques a través de la plataforma de Web.
Los grupos con intereses especiales dentro de cualquier grupo, con cierto estatus económico, u otras personas en particular con hábitos de compra se convertirán en el objetivo de ataques Web 2.0, y aumentará el correo no deseado (spam) en la "blogósfera" y secciones de comentarios en sitios de noticias para llamar la atención e incrementar los índices de uso de herramientas de búsqueda de sitios Web infectados.
Dan Hubbard, Vicepresidente de Investigación de Seguridad de Websense, mencionó que las técnicas cibernéticas criminales están evolucionando con rapidez y eficacia, no sólo para evadir la detección sino para robar la información y manipular el contenido confiable, como el de sitios Web y aplicaciones. Es importante que las organizaciones y los individuos reconozcan que los atacantes están cambiando las técnicas y lanzando ataques con objetivos específicos.
Las predicciones sobre amenazas de seguridad para Websense en este año son:
- Invasión de spam en blogs, herramientasde búsqueda, foros y sitios Web.
Los hackers aumentarán el uso de spam en la Web para enviar vínculos a sitios basura dentro deforos, blogs, en las secciones de comentarios de sitios de noticias y en páginas Web cuya seguridad ha sido comprometida.
Esta actividad no sólo conduce a sitios Web infectados, sino que también ayuda al sitio a otorgar mayores calificaciones en la herramienta de búsqueda, incrementando el riesgo de los usuarios de visitar el sitio.
- Uso de las "ligas más débiles" en la Web para lanzar ataques.
La Web es un enredo de ligas y contenido. La llegada de las adiciones de Web 2.0, como Google Adsense, aplicaciones híbridas (mash-ups) y redes sociales, junto con las cantidades masivas de anuncios Web ligados a páginas, ha incrementado la posibilidad de "ligas débiles", o sitios Web y contenido vulnerable. Websense predice que los atacantes explotarán las ligas más débiles en la infraestructura de la Web para tener como objetivo a las mayorías de la Internet.
- El número de sitios Web comprometidos superará el número de sitios maliciosos creados.
La Web, como vector de ataque, ha tenido un incremento estable en los últimos cinco años, y ahora los atacantes incluso usan más los sitios comprometidos como plataformas de lanzamiento en vez de sus propios sitios.
- Incremento en ataques contra Web 2.0 -hackers cuyo objetivo específico son los grupos basados en ciertos intereses y perfiles
Web 2.0 ha producido la proliferación de usuarios Web que visitan salas de pláticas (chats), sitiosde redes sociales y sitios de intereses especiales en la Web, como sitios de viajes, automotrices, entre otros.
- Métodos de encubrimiento de información con mayor sofisticación.
Websense predice el incremento en criptovirología y sofisticación en el encubrimiento de información, entre otros el uso de estenografía, introducción de información en protocolos de normas y potencialmente en archivos de comunicación.
- Combinación e incremento de prácticas fraudulentas con uso de protocolo de voz sobre IP (vishing) y spam de voz.
La vasta población de usuarios de teléfonos celulares ha crecido en un mercado lucrativo para el uso de spam y vishing para obtener ganancias financieras. Los investigadores han observado un incremento en el número de ataques vishing, pero no en el número de spam, o en llamadas automatizadas proactivas.
Finalmente, en 2008, Websense predice que vishing o la práctica de uso de ingeniería social y voz sobre IP (VoIP) para obtener información personal o financiera y el spam de voz se combinarán y aumentarán. Los usuarios recibirán llamadas automatizadas en líneas LAN con spam para engañarlos con el fin de que proporcionen información personal a través del teléfono.
