La National Cyber Security Centre (NCSC) del Reino Unido ha emitido una advertencia contundente dirigida tanto al gobierno como a la industria: muchos sistemas están conectados de maneras para las que sus diseñadores nunca previeron, basados en protocolos que no fueron pensados para la sofisticación de los atacantes actuales.

Esta advertencia se aplica a todas las organizaciones que dependen de procesos entre dominio para mover datos entre entornos con distintos niveles de seguridad, y es especialmente relevante para los sistemas ciberfísicos complejos donde fluyen datos entre activos de TI y tecnología operativa (OT).

La transferencia de archivos es uno de estos procesos fundamentales, pero sigue siendo uno de los más descuidados.

Cada factura enviada a un proveedor, cada actualización de firmware distribuida a una planta, cada informe compartido con un regulador es un dato que cruza entre sistemas con diferentes niveles de confianza.

Durante años, la seguridad de la transferencia de archivos se ha considerado un problema resuelto. Las empresas se contentaban con cifrar el canal, confirmar la entrega y seguir adelante. Eso tenía sentido cuando los sistemas eran más simples y las amenazas se movían con mayor lentitud. Sin embargo, ya no refleja la realidad.

Por qué la confianza basada en el perímetro ya no basta

La mayoría de las plataformas de transferencia de archivos nunca fueron concebidas con la seguridad como objetivo principal. Su función era mover datos de forma fiable entre sistemas, cifrar la conexión, verificar la llegada de un archivo y registrar que la tarea estaba hecha. Si el propio archivo era seguro rara vez formaba parte de la ecuación.

Esta brecha ofrece a los atacantes una forma constante de tomar posiciones en los sistemas de las organizaciones. Una plataforma de transferencia de archivos se ubica entre dos entidades por diseño, confiada por ambas partes precisamente porque está pensada para ser una infraestructura de uso común.

El modelo tradicional de MFT (Managed File Transfer) está diseñado para automatizar la entrega de archivos, no para defenderse de ataques. Por esa razón, permanece expuesto a amenazas conocidas como intercepción de hombre en el medio, robo de credenciales o malware incrustado en un archivo aparentemente inofensivo. Los atacantes no necesitan vulnerar la plataforma en sí; basta con explotar la premisa de que lo que pasa por ella puede confiarse.

Como hemos visto en incidentes como el ataque a MoveIT en 2023 y la brecha de SharePoint el año anterior, una única vulnerabilidad en una herramienta de transferencia ampliamente utilizada puede dar a los atacantes acceso a miles de organizaciones a la vez, simplemente porque cada una asumía que la plataforma era confiable.

Esa suposición es precisamente en la que cuentan los atacantes. Asegurar el canal por el que viaja un archivo nunca fue lo mismo que asegurar el archivo.

La ventana de respuesta se estrecha

La seguridad de los archivos ha sido históricamente un punto ciego, pero se ha vuelto crítica en los últimos años a medida que el ciclo de ataques se acelera. Las vulnerabilidades recién divulgadas suelen explotarse dentro de 48 horas de hacerse públicas, dejando poco margen para que las organizaciones realicen parches o incluso detecten el riesgo.

La detección, en cambio, sigue moviéndose relativamente lenta. Las brechas por ataques basados en archivos pueden pasar desapercibidas durante meses, otorgando al intruso tiempo suficiente para moverse lateralmente, extraer datos o incrustarse aún más en sistemas conectados antes de que alguien detecte algo anómalo.

No se trata solo de que los atacantes sean rápidos; la mayoría de las organizaciones siguen tratando el movimiento de archivos como algo que debe revisarse después, en lugar de controlarse en el punto de entrada. Para cuando se identifica un archivo malicioso, a menudo ya se ha causado daño.

Por eso, controles proactivos y por capas alrededor de cada archivo que entra o sale de la empresa importan más que nunca. Esperar a reaccionar no es una estrategia viable.

Establecer la verificación continua de archivos

Cerrar esta brecha implica avanzar hacia un proceso de MFT con enfoque de seguridad desde el inicio, donde cada archivo, usuario y flujo de trabajo se trate como un posible punto de exposición, y no como algo seguro por defecto.

La prevención debe ser parte del diseño, no una protección añadida después como ocurre en muchos modelos de MFT tradicionales. Esto comienza mirando dentro del archivo, no solo autenticando el canal por el que llega.

La inspección profunda del contenido examina la estructura real del archivo, identificando elementos ocultos o maliciosos que una simple exploración podría pasar por alto. Junto a esto, la detección automatizada de vulnerabilidades y la prevención de malware deben aplicarse a cada archivo por defecto, no como una opción reservada para transferencias de alto riesgo. Incluso el archivo más inocuo puede convertirse en un vector de ataque poderoso; de hecho, los atacantes cuentan con ello.

Asimismo, los atacantes más astutos diseñan payloads para evadir la detección, por lo que los procesos estándar deben incluir copias de seguridad. Los archivos potencialmente maliciosos deben probarse en un entorno aislado y seguro donde se pueda observar su comportamiento antes de que lleguen a un sistema en vivo. Este tipo de sandboxing detecta indicios que se pierden con verificaciones por reputación o escaneo estático, revelando la intención más que solo buscar firmas conocidas.

Un proceso de Content Disarm and Reconstruction (CDR) es una adición valiosa, descomponiendo y sanitizando archivos eliminando contenido activo sin afectar la funcionalidad.

Sin embargo, nada de esto funciona como un único punto de control. Cada una de estas medidas debe alimentarse en un proceso continuo, donde un archivo se valida en cada etapa de su recorrido en lugar de confiar una sola vez y mantener esa confianza para siempre. Estas capacidades deben ir acompañadas de monitoreo constante y visibilidad detallada de auditoría, de modo que, si algo se escapa, las organizaciones sepan exactamente qué se movió, a dónde fue y qué touched.

Como resultado, las organizaciones pueden construir una confianza fiable en los datos a medida que cruzan entre entornos, en lugar de presumir esa confianza y mantenerla sin revisión.

Cerrar el círculo de confianza

La advertencia y la orientación de la NCSC sobre sistemas entre dominios apuntan a una misma conclusión: la seguridad basada en límites fijos ya no puede mantenerse al ritmo de cómo se mueven realmente los datos.

La transferencia de archivos es donde este principio se manifiesta con mayor frecuencia en la práctica diaria. La confianza que antes se otorgaba por principio debe ganarse en cada cruce. Ese cambio, más que cualquier herramienta única, definirá una transferencia de archivos resiliente en el futuro.

Este artículo forma parte de la iniciativa TechRadar Pro Perspectives, que reúne ideas y perspectivas de líderes en la industria tecnológica.

from Latest from TechRadar https://ift.tt/D6Pag5l
via IFTTT IA