La Agencia de Seguridad Nacional (NSA) y la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) han publicado un aviso conjunto que detalla las diez configuraciones erróneas de ciberseguridad más frecuentes encontradas en redes de grandes organizaciones. Estas configuraciones, identificadas durante evaluaciones realizadas por los equipos rojo y azul de ambas agencias, representan vulnerabilidades sistémicas que ponen a todos los estadounidenses en riesgo.
Configuraciones erróneas más comunes
Las diez configuraciones identificadas incluyen: configuraciones predeterminadas de software y aplicaciones, separación inadecuada de privilegios de usuario/administrador, monitoreo insuficiente de la red interna, falta de segmentación de la red, mala gestión de parches, omisión de controles de acceso al sistema, métodos de autenticación multifactor (MFA) débiles o mal configurados, listas de control de acceso (ACL) insuficientes en recursos compartidos y servicios de red, mala higiene de credenciales y ejecución de código sin restricciones.
Impacto de las configuraciones erróneas
Estas configuraciones permiten a los actores de amenazas utilizar tácticas, técnicas y procedimientos (TTP) para obtener acceso, moverse lateralmente y apuntar a información o sistemas confidenciales. La NSA y CISA destacan que estas vulnerabilidades son comunes en redes del Departamento de Defensa (DoD), el Poder Ejecutivo Civil Federal (FCEB), los gobiernos estatales, locales, tribales y territoriales (SLTT) y el sector privado.
Recomendaciones para fabricantes de software
Eric Goldstein, subdirector ejecutivo de ciberseguridad de CISA, instó a los fabricantes de software a adoptar prácticas proactivas que permitan abordar estas configuraciones erróneas. Entre las recomendaciones se incluyen la integración de controles de seguridad en la arquitectura del producto desde el desarrollo inicial y durante todo el ciclo de vida del desarrollo del software.
Además, los fabricantes deberían dejar de utilizar contraseñas predeterminadas y garantizar que comprometer un único control de seguridad no ponga en peligro la integridad del sistema. También es esencial tomar medidas proactivas para eliminar categorías enteras de vulnerabilidades, como utilizar lenguajes de codificación seguros para la memoria o implementar consultas parametrizadas.
Recomendaciones para los defensores de la red
La NSA y CISA recomiendan a los defensores de la red implementar medidas de mitigación que reduzcan el riesgo de explotación de estas configuraciones erróneas. Entre las recomendaciones se incluyen eliminar credenciales predeterminadas, fortalecer configuraciones, desactivar servicios no utilizados y implementar estrictos controles de acceso.
Se debe garantizar actualizaciones periódicas y automatizar el proceso de parcheo, priorizando el parcheo de vulnerabilidades conocidas que han sido explotadas. También se recomienda reducir, restringir, auditar y monitorear de cerca las cuentas y privilegios administrativos.
Pruebas contra amenazas
Las agencias federales también recomiendan ejercitar, probar y validar el programa de seguridad de la organización contra los comportamientos de amenazas asignados al marco MITRE ATT&CK for Enterprise. Además, se sugiere probar el inventario de controles de seguridad existentes para evaluar su desempeño frente a las técnicas descritas en el aviso.
El aviso conjunto subraya la necesidad crítica de que los fabricantes de software adopten principios de seguridad desde el diseño, mitigando así el riesgo de compromiso. La NSA y CISA alientan a los defensores de la red a implementar las medidas de mitigación recomendadas para reducir el riesgo de explotación.