Rastrear todo lo que hay en la web oscura es una misión crítica

Una de las herramientas de ciberseguridad estándar en la actualidad es la verificación constante. Red oscura – el lugar de trabajo preferido de los delincuentes de todo el mundo – para cualquier pista sobre los secretos de su empresa y más propiedad intelectual fueron exfiltrados.

El problema es que demasiados directores de seguridad de la información (CISO) y gerentes de centros de operaciones de seguridad (SOC) asumen reflexivamente que cada vez que encuentran información corporativa confidencial, significa explícitamente que sus sistemas corporativos han sido atacados con éxito. Podría muy bien ser eso significa, pero también podría significar cientos de cosas más. Podría ser que los datos provengan de un sitio en la nube corporativo, un sitio en la nube en la sombra, la computadora portátil de un empleado, una empresa de respaldo corporativa, una empresa corporativa de recuperación ante desastres, un teléfono inteligente, un socio de la cadena de suministro o incluso una memoria USB robada de un coche.

Lidiando con la rutina propiedad intelectual – incluida la información de identificación personal (PII) del cliente, datos de salud, credenciales de tarjetas de pago o planos de un sistema de armas militares – es útil saber que se ha capturado alguna versión del mismo. Pero hasta que no esté claro dónde, cuándo y cómo se produjo este robo, es casi imposible saber qué hacer al respecto.

En algunos casos, la respuesta podría ser «nada». Considere algunos de los archivos más confidenciales de su sistema: secretos como claves API, tokens de acceso, contraseñas, claves de cifrado/descifrado y credenciales.

Si todo se rastrea y registra correctamente, su equipo puede descubrir que los secretos de la Dark Web que encontraron ya se han desactivado de forma rutinaria. Por lo tanto, no es necesario tomar más medidas.

Sin embargo, la mayoría de las empresas rastrean la web oscura sin codificación ni otros detalles de seguimiento suficientes para determinar de manera efectiva los siguientes pasos correctos si encuentran algo.

Obtenga los detalles correctos

La mayoría de los CISO entienden que descubrir secretos en la web oscura significa que estarán comprometidos. Sin embargo, en ausencia de detalles apropiados, a menudo reaccionan de forma exagerada (o inapropiada) y realizan cambios costosos y perturbadores que pueden ser completamente innecesarios.

Esto podría incluso extenderse a la divulgación del cumplimiento normativo, incluido el Reglamento General de Protección de Datos (GDPR) de la Unión Europea y el Comisión Nacional del Mercado de Valores(SEC) requisitos de ciberseguridad, basados ​​en suposiciones erróneas. Esto puede exponer a la empresa a multas por almacenamiento y cumplimiento si son innecesarias.

El ciclo de vida de un secreto en la Dark Web (su valor, uso y relevancia) cambia con el tiempo. Comprender este ciclo de vida puede ayudar a los CISO a tomar decisiones informadas sobre qué secretos priorizar para la rotación o protecciones adicionales. Por ejemplo, los secretos relacionados con proyectos temporales pueden volverse irrelevantes más rápidamente que los secretos relacionados con infraestructuras de larga data. Monitorear la Dark Web, comprender si sus secretos existen y agregar metadatos y contexto a esos secretos es clave para comprender qué secretos son actualmente valiosos para los atacantes y requieren una acción inmediata.

El peligro de las suposiciones falsas

La situación es ligeramente diferente cuando el material descubierto son archivos de datos confidenciales, en particular datos altamente regulados, como información de identificación personal (PII), datos de salud y financieros. Sin embargo, el descubrimiento debería dar lugar a una mayor investigación. Si el siguiente paso es la acción, su equipo puede terminar tomando la acción equivocada basándose en suposiciones erróneas.

Primero, ¿cuántos datos se encontraron? ¿Es su empresa el único lugar donde podrían existir estos datos? ¿Podrían existir estos datos también en los sistemas de las empresas afiliadas? ¿Fueron ellos los que resultaron heridos? Ésta es una de las principales razones por las que todo debe codificarse y etiquetarse con precisión.

Una vez que se determina que los datos realmente provienen de los sistemas de su empresa de alguna manera, debemos volver a la codificación. ¿Ha sido robado el archivo que se encuentra en su local? ¿En una nube? Si es una nube, ¿qué nube? ¿Son estos los datos que recibió su equipo de marketing para analizar hace un mes?

Cada vez que los datos se copian y comparten, se pueden rastrear mediante registros y enriquecimiento de metadatos para determinar cómo, por qué y cuándo fueron robados. Idealmente, esto le indicará a su equipo dónde hay una brecha que debe abordarse.

Volvamos a las herramientas secretas. Si esa clave ya expiró, probablemente no te importe si está en la web oscura. (Probablemente quiera saberlo porque todavía podría ser una indicación de una infracción aún no detectada, pero la respuesta es mucho menos preocupante). Supongamos que las claves de las máquinas descubiertas todavía están activas. Obviamente esto es un problema. La solución –qué hacer al respecto– no es nada obvia. Las claves de acceso programáticas pueden proporcionar acceso a gran parte de su infraestructura. Desde la perspectiva del ladrón, este es el dato más valioso de todos. Éstas son las proverbiales llaves de tu reino. Si no se maneja correcta y rápidamente, se puede terminar el juego.

¿Cuál es el truco? Una vez que descubra los datos o las claves robados, ya será demasiado tarde. Si el contexto crítico no se crea y se agrega a cada clave en el momento en que se crea (y no se modifica en el momento en que se traslada a algún lugar), descubrir los detalles de la infracción más adelante es una tarea mucho más difícil. A los mejores equipos forenses del mundo les tomará una eternidad rastrear la historia de una clave si no se agregó al principio.

Establecer mejores prácticas

Debe mantener un inventario estrictamente controlado de todos sus secretos, incluidos mecanismos de hash sofisticados y cuidadosos para rastrear todo el uso y la actividad. Esta es la única forma viable de monitorear toda la actividad en las credenciales de su máquina en tiempo real. Si hace esto de manera agresiva, debería saber acerca de la credencial de una máquina robada mucho antes de que llegue a la web oscura y se venda al mejor postor.

Otra buena práctica es bombardear periódicamente la web oscura (y los escondites de otros malos actores) con archivos falsos para agitar aún más la ecuación. Esto podría llevar a algunos delincuentes sofisticados a evitar sus datos por completo si no están seguros de si son válidos o no.

En pocas palabras: es una misión fundamental rastrear todo lo que hay en la web oscura. Sin embargo, si no ha marcado todos sus datos confidenciales de antemano, su equipo puede terminar tomando decisiones exactamente opuestas a las que deberían ser. En la web oscura, los secretos robados son tu enemigo y mucho contexto es tu amigo.