Juan Antonio Calles: “El threat hunting podría mejorar la capacidad de detección y respuesta de una organización”

“En estos últimos años, el mundo de la ciberseguridad se ha profesionalizado enormemente. España comienza a ser un referente internacional; prueba de ello es el gran número de eventos de ciberseguridad que tenemos en nuestro país”. Son las palabras de Juan Antonio Calles, CEO de Zerolynx y CSO de Osane. Previamente, ha sido responsable del laboratorio de ciberseguridad de KPMG y responsable del centro de hacking de Everis. Además, Juan Antonio cuenta con varias certificaciones de prestigio como Certified Hacking Forensic Investigator (CHFI) de Ec-Council y CISA de ISACA.

Según este experto en seguridad informática, la evolución en los últimos quince años ha sido tremenda. “Antes los trabajos de seguridad se centraban en la revisión de las páginas web de los clientes y auditorías internas para evaluar la seguridad del parque informático de los empleados. El sector ha evolucionado hasta un punto que por aquel entonces era difícil de predecir”.

• A medida que las empresas adoptan cada vez más las estrategias cloud, ¿cómo garantizamos su seguridad?

Hace unos años, con disponer de un firewall de protección perimetral, muchas organizaciones se consideraban seguras, sin tener en cuenta que no solo hay que protegerse frente a las amenazas externas, las internas son igualmente importantes.  Ahora las fronteras de confianza comienzan a desaparecer. Si a esto le añadimos una nube difusa con toda nuestra información distribuida entre varios CPDs repartidos por el mundo, con diferentes jurisdicciones, el entorno de seguridad se complica.

Si estamos decididos a dar el salto a la nube, es indispensable revisar si tendríamos capacidad para montar una nube sobre nuestra infraestructura. De ser posible, también habría que evaluar bien a los posibles proveedores, y una vez decidido, intentar alojar los datos de forma cifrada.

• El firmware de Nintendo Switch fue hackeado el mismo día de su lanzamiento. ¿Cómo podría haber evitado Nintendo este tipo de situaciones?

El caso de la última versión del firmware (v7.0.0) de la consola de Nintendo es especial, pues no se trata de una vulnerabilidad del software, sino de un problema sobre el hardware de la consola. Lo que sucedió en enero es que habían logrado crackear las claves privadas sobre las que se firma esa versión del firmware para poder modificarlo. En este caso, para solucionarlo se debe hacer una revisión del hardware de la consola, en el cual Nintendo ya debe estar trabajando.

Por otra parte, para evitar fallos en el software, es crucial introducir la seguridad desde las primeras fases de su diseño: el llamado shift left. La integración de la seguridad en los flujos de trabajo de DevOps de una manera colaborativa, también conocido como DevSecOps, es una manera eficiente de preservar la calidad y la seguridad del trabajo en equipo, la agilidad y la velocidad de DevOps. Estos modelos de trabajo han demostrado un éxito contrastable frente a los modelos de desarrollo tradicionales, permitiendo desarrollar software con mayor calidad y seguridad, sin aumentar especialmente los tiempos y costes de desarrollo.

• ¿Cuáles dirías que son las mayores amenazas para la ciberseguridad empresarial en la actualidad?

Una de las mayores amenazas es el ransomware, sobre todo para pequeñas y medianas empresas que no cuentan con las medidas de seguridad habituales de las grandes organizaciones. Uno de los puntos más explotados en este tipo de ataque son los accesos remotos vía Team Viewer, VNC y similares. Para poder mitigar este tipo de ataques es vital disponer de VPNs robustas que permitan acceder de forma segura desde el exterior a los recursos de la organización, con un 2FA para asegurar que un robo de credenciales no sería suficiente para acceder remotamente, y una segmentación de red restrictiva, para contener el incidente en caso de que se produzca.

Otra amenaza que sigue en aumento es el cryptojacking, aprovechándose de igual manera de equipos expuestos para poder explotar su capacidad de cómputo para el minado de criptomonedas. Prácticas como el threat hunting permitirían encontrar de forma proactiva este tipo de amenazas dentro de las organizaciones, y mejorarían las capacidades de detección y respuesta.

También seguirán en aumento las amenazas sobre las infraestructuras críticas, sobre todo en el panorama actual de la industria 4.0. en el que las redes IT y OT comienzan a trabajar de forma coordinada, y los PLCs y demás componentes de la red OT adquieren capacidades de transmisión diferentes a la red cableada tradicional. En estas casuísticas tan complejas, es necesario crear un entorno hostil para el adversario, con una óptima segmentación entre el entorno OT-IT, evitando la exposición directa del entorno OT a internet (incluyendo los accesos a proveedores), desplegando capacidades de detección y respuesta en las máquinas de salto entre entornos y maximizando el control sobre las cuentas privilegiadas.

Finalmente, una de las amenazas que seguiremos encontrándonos en organizaciones y entornos industriales, es el espionaje industrial. Aunque las medidas de seguridad sean muy altas, siempre hay eslabones débiles que pueden pasar desapercibidos en los procesos de pentesting tradicionales. Por ejemplo, unos de los más destacados son los sistemas de videoconferencia, los cuales no suelen estar bien bastionados y raramente sus comunicaciones viajan de forma cifrada.

¡No te pierdas la segunda parte de nuestra entrevista con Juan Antonio Calles en la que hablaremos de ciberresiliencia, biohacking y digital forensics!