La mira cibernética de Irán se centra más allá de la infraestructura crítica
OPINIÓN
Para muchos CISO, los titulares sobre ataques relacionados con Irán a empresas de agua y redes eléctricas desencadenan una peligrosa sensación de inmunidad: «No soy una empresa de servicios públicos, no soy un objetivo». Existe una suposición tranquilizadora, aunque errónea, de que estas operaciones son meros juegos geopolíticos limitados al área de alto riesgo de la infraestructura crítica. Pero en el panorama de amenazas moderno, la ambigüedad no es una defensa y el estado no crítico no es un escudo. Si su empresa tiene un latido digital y una vulnerabilidad en Internet, ya está expuesto a varias amenazas potenciales, lo sepa o no.
Los grupos detrás de los recientes ataques, entre ellos Handala, Ababil de Minaby otros que operan en el ecosistema de influencia cibernética iraní se esconden bajo la máscara del activismo cibernético o “hacktivismo”. Son en gran medida oportunistas. No son objetivos de caza específicos; En Shodan Safaris busca vulnerabilidades fácilmente explotables o sistemas inseguros. Un bufete de abogados o un centro logístico con un controlador lógico programable expuesto o una VPN sin parches es un objetivo fácil y atractivo.
Muchas empresas desconocen qué parte de su infraestructura es accesible desde el exterior o qué poca se necesita para explotar lo que está expuesto. Handala, que el Departamento de Justicia de Estados Unidos atribuye al Ministerio de Inteligencia y Seguridad de Irán, Un ataque a Stryker, un fabricante de dispositivos médicos, borró de forma remota más de 200.000 hostsen marzo. El incidente interrumpió la producción y afectó las ganancias del primer trimestre. Más recientemente, Ababil de Minab comprometió a Vyncsuna plataforma de rastreo GPS utilizada en todo el sector logístico está desconectando los sistemas y desfigurando su sitio web. En el incidente de Stryker, esto fue probablemente lo que hizo posible el ataque. Credenciales robadas mediante malware estándar y se ofrecen para la venta a través de canales ilegales, lo que subraya la naturaleza oportunista de estos eventos.
Separando la señal del ruido hacktivista
Los titulares que rodean las operaciones cibernéticas relacionadas con Irán tienden a tratar cualquier supuesto ataque como una catástrofe inminente o a descartarlo como incidentes insignificantes que equivalen a una denegación de servicio o un sitio web desfigurado. A ambas reacciones se les escapa algo. Un ataque aparentemente “simple” puede exponer vulnerabilidades que de otro modo podrían tener un impacto mucho más grave en las organizaciones víctimas.
Los incidentes de tecnología operativa (OT) ilustran el problema. Los atacantes normalmente obtienen acceso a las redes de las víctimas a través de exploits heredados o credenciales predeterminadas en sistemas expuestos externamente. Los sistemas de seguridad física y las limitaciones técnicas, si bien preocupan y abren posibilidades para diversos resultados, limitan la capacidad real de actuar de los adversarios. Por eso toman capturas de pantalla sin contexto de los dispositivos, las publican en Telegram y lo llaman «ataque a la infraestructura».
Si bien el impacto es limitado, las vulnerabilidades que permitieron el acceso no lo son. Los mismos puntos de entrada encontrados mediante el escaneo oportunista también están disponibles para actores de amenazas más sofisticados. Un adversario más capaz y con conocimiento real del dominio podría utilizar la misma ruta de entrada original y potencialmente causar un daño mayor. Lo que estas intervenciones de baja complejidad demuestran en la práctica es qué entornos son accesibles. Esta información no desaparece una vez que el hacktivista avanza.
Pon el orden en tu casa
Los patrones de ataque aquí son predecibles. Aquí está el punto de partida:
-
Gestión de la superficie de ataque. La primera pregunta es simple: ¿Qué puede realmente lograr alguien en su área en Internet? La respuesta a menudo difiere de lo que muestran los inventarios internos de activos. Los puntos de acceso remoto olvidados y los dispositivos no administrados son los puntos de entrada más comunes y los más fáciles de pasar por alto.
-
Autenticación. Las credenciales predeterminadas y la autenticación multifactor (MFA) débil o faltante siguen siendo algunos de los factores más comunes en estos incidentes. La MFA resistente al phishing debería ser el mínimo para cualquier cosa accesible externamente. Compruebe qué sistemas accesibles externamente carecen de MFA y comience por ahí. Las credenciales predeterminadas de los proveedores en sistemas OT o de acceso remoto deben verse como una puerta abierta, lo que enfatiza la necesidad de garantizar que existan controles compensatorios para evitar un posible acceso adversario.
-
Gestión de parches. Las vulnerabilidades que normalmente se atacan no son nuevas ni complejas; Simplemente no se abordan. Por ejemplo actualmente Ataques relacionados con Irán en EE. UU. probablemente armado CVE-2021-22681una vulnerabilidad de 5 años. Primero, priorice la aplicación de parches y el refuerzo de los activos externos y luego trabaje en sistemas críticos y similares. Para OT y tecnologías relacionadas, aproveche los ciclos de mantenimiento y tiempos de inactividad similares para realizar actualizaciones cuando sea posible.
-
Conciencia de amenazas. Comprender qué está siendo atacado en un sector determinado –y cómo estos grupos anuncian e intensifican sus operaciones– requiere una visión del entorno de amenazas a medida que se desarrolla, y no después del hecho. Eso significa monitorear los canales que estos grupos realmente usan, como publicaciones en Telegram y sitios de filtraciones, y no simplemente esperar avisos formales. Cuando se publica un aviso gubernamental, la actividad descrita en él suele llevar semanas en marcha.
-
Monitoreo continuo. Las medidas de defensa pasiva no son suficientes. Los equipos de seguridad deben poder detectar y responder rápidamente a actividades anómalas en activos externos. Se requieren actividades de inicio de sesión inusuales, como escenarios de viaje imposibles o detección de fuerza bruta, para detectar cuándo los atacantes intentan acceder a los entornos. Aprenda cómo se ve la normalidad en sus activos externos para que pueda reconocer cuando algo no es así. Estos grupos no permanecen en silencio por mucho tiempo: una publicación de Telegram que exige crédito puede ocurrir horas después de que se accedió por primera vez.
Actualmente, la mayoría de las actividades de los grupos hacktivistas vinculados a Irán son, en el mejor de los casos, moderadamente perturbadoras, aunque en algunos casos, como Stryker, son genuinamente dañinas. La lección que se puede aprender de estos acontecimientos, aunque en gran medida caen dentro del ámbito del “acoso cibernético”, es cómo dichas organizaciones obtienen acceso a las víctimas. Los mismos canales pueden ser utilizados (y en muchos casos lo son) por actores más preocupantes para lograr resultados más efectivos. Al extraer esta señal del ruido de los eventos hacktivistas, los defensores y los tomadores de decisiones pueden prepararse mejor para amenazas reales.
Nos llegó este contenido de ciberseguridad de: DarkReading
Llegarás a la noticia original en el enlace que sigue: https://www.darkreading.com/cyber-risk/iran-cyber-crosshairs-beyond-critical-infrastructure
