Més enllà del perímetre: com abordar la seguretat en capes

Vaig sopar a Washington, DC, amb l'ex-zar nacional de ciberseguretat Richard Clarke, ara president i conseller delegat de Good Harbour Security Management Management, quan va explicar que una bona seguretat perimetral no és suficient per protegir la vostra xarxa. "Els dolents", va explicar Clarke, "ja són dins de la vostra xarxa."

L'objectiu de Clarke va ser que els ciberataques, especialment els agents patrocinats per l'estat, tenen la capacitat de penetrar en la majoria de la protecció de seguretat perimetral, almenys fins a cert punt. Això no significa que la seguretat del perímetre no sigui necessària. Aquest és un aspecte important a seguir, tal com vaig assenyalar a la columna de la setmana passada. Tot i que és crític, no és suficient. Necessiteu capes de seguretat perquè, quan els dolents es trenquen pel perímetre, no poden fer res per fer-vos mal.

La seguretat per nivells és alguna cosa que probablement heu sentit parlant abans, però per a molts d’informàtica, no deixa de ser un misteri. Com es creen capes de seguretat? Com decidiu quantes capes necessiteu? Què han de protegir les capes? Pot haver-hi massa capes?

La resposta dependrà de la vostra xarxa, de la naturalesa del vostre negoci i del vostre nivell de risc. Però és important recordar que els vostres socis comercials poden afectar el vostre nivell de risc. Per tant, si sou un proveïdor o contractista, per exemple, el vostre nivell de risc serà el mateix que el seu, perquè aquests nois intenten utilitzar-vos com a ruta per als vostres socis comercials.

Les capes es basen en les dades que cal protegir. Això significa que heu d'assegurar-vos que es conserven les vostres dades i, a més, us heu d'assegurar que no es poden treure de vosaltres. I, per descomptat, heu d’assegurar-vos que la vostra xarxa estigui protegida dels danys perquè la vostra empresa no es vegi afectada.

Preservació de les vostres dades

La preservació de dades és la primera capa crítica. Això requereix que us assegureu que una còpia de les vostres dades importants estigui en un emmagatzematge segur on sigui inaccessible per als hackers o altres usuaris, inclosos els empleats descontents. Per a la majoria de les empreses, aquest tipus de còpies de seguretat haurien d’existir al centre de dades on s’hi pot accedir fàcilment quan sigui necessari, i també al núvol on la manipulació és molt més difícil. Hi ha diversos serveis al núvol públic que gestionaran còpies de seguretat, inclosos Amazon Web Services (AWS), Google Cloud i IBM Cloud, així com serveis dedicats de còpia de seguretat com Carbonite, que recentment va adquirir el seu competidor Mozy.

A continuació, es poden fer una còpia de seguretat de les còpies de seguretat en ubicacions geogràfiques diverses, cosa que permet que no es vegin compromeses en un sol desastre. Normalment es pot automatitzar tot el procés de còpia de seguretat de manera que, un cop estigui configurat, l’únic que heu de fer és confirmar la integritat de les vostres còpies de seguretat segons sigui necessari.

Aleshores, hi ha protecció de dades, cosa que significa que ha de ser inaccessible i inutilitzable si algú la troba. Perquè les vostres dades siguin inaccessibles, heu de segmentar la vostra xarxa de manera que accedir a una part de la xarxa no significa que pugueu arribar a tot. Per exemple, Target hagués segmentat la seva xarxa quan es va incomplir el sistema HVAC el 2013, els hackers no podrien haver accedit a altres dades.

La segmentació de xarxa requereix encaminadors que deneguen l'accés de manera predeterminada i només permeten les connexions de xarxa des de nodes de xarxa específics, que els encaminadors filtren mitjançant les seves adreces IP o Media Access Control (MAC). Els tallafocs interns també poden exercir aquesta funció i poden ser més flexibles en aplicacions complexes.

El fet de passar per alt el xifrat és un gran error

A més de la segmentació, també s’han de xifrar les dades, tant mentre s’estan transferint a la xarxa com mentre s’emmagatzemen. El xifratge és fàcil d’aconseguir perquè es realitza de manera predeterminada en programari d’accés sense fil i núvol i tots els sistemes operatius moderns (SO) ofereixen el xifrat com a servei estàndard. No obstant això, el fracàs de xifrar dades crítiques és potser la causa més gran de pèrdua de dades en els incompliments recents.

Les raons per les quals aquestes dades no es xifren, malgrat els requisits legals en molts casos per fer-ho, es poden resumir en quatre paraules: mandra, incompetència, ignorància i estupidesa. Simplement, no hi ha excusa per no haver de xifrar les dades.

Finalment, hi ha protecció de xarxa. A més de protegir les vostres dades, també heu d'assegurar-vos que la vostra xarxa no s'utilitza com a plataforma per llançar atacs i heu d'assegurar-vos que els vostres dispositius de xarxa no s'utilitzin en contra. Aquest és especialment un problema amb les xarxes que inclouen controladors de màquines al vostre magatzem o fàbrica i és un problema amb els vostres dispositius Internet of Things (IoT).

• No sabotegeu la vostra pròpia seguretat, entreu als vostres usuaris No sabotegeu la vostra pròpia seguretat, entreu als vostres usuaris
• Comenceu a protegir la vostra xarxa de les amenaces IoT de grau consumidor Comenceu a protegir la vostra xarxa de les amenaces IoT de grau consumidor
• Com trobar i solucionar la seguretat al vostre perímetre de xarxa Trobar i corregir la seguretat al vostre perímetre de xarxa

Aquest és un problema important perquè tants dispositius de xarxa tenen poca o cap seguretat. Per tant, és bastant fàcil utilitzar-los com a plataforma per llançar un atac de denegació de servei (atac DoS) o per sifonar les seves dades com a manera de realitzar vigilància sobre les operacions de la vostra empresa. També es poden utilitzar com a base d’operacions contra la vostra xarxa. Com que no podeu eliminar aquests dispositius, el millor que podeu fer és posar-los a la seva pròpia xarxa, protegir-los tant com sigui possible, i no deixar-los connectar directament a la vostra xarxa interna.

Aquí hem comentat diverses capes i, en alguns casos, la vostra xarxa pot requerir més. Però és important recordar que cada capa requereix una gestió i que la protecció necessària per a cada capa ha d’existir a una xarxa amb altres capes de seguretat. Això significa que és fonamental que tingueu el personal per gestionar cada capa i que la seguretat de cada capa no afecti negativament la seguretat en una altra.

També és important evitar la solució del dia, és a dir, una seguretat única per combatre una amenaça específica. És fàcil deixar-se xuclar en una mena de mola de seguretat i acabar amb un embolic que no es pot gestionar. En lloc d'això, trieu un enfocament ampli en què l'amenaça del dia no requereixi cap altra capa.