StoneSoft anuncia que quiere fomentar entre las organizaciones la reevaluación de su actual gestión de riesgos y arquitectura de seguridad.

Fenómenos recientes como Wikileaks, Stuxnet, las Técnicas de Evasión Avanzadas o la brecha de seguridad en el sistema criptográfico RSA han cambiado el panorama de la seguridad permanentemente y están actuando como estímulos en el ámbito estratégico. En consecuencia, StoneSoft considera que las organizaciones deberían reflexionar acerca de su actual gestión de riesgos y arquitectura de seguridad, de tal forma que la responsabilidad última fuera detentada por la alta dirección y el consejo de administración.

El periodo comprendido entre el año 2010 y comienzos de 2011 ha cambiado para siempre el panorama de la seguridad. Cuatro fenómenos diferentes, Wikileaks, Stuxnet, las Técnicas de Evasión Avanzadas y la violación del código fuente SecurID, han derribado los axiomas básicos del pensamiento de seguridad y actuado como despertadores también en el ámbito estratégico.

En efecto, las recientes series de cíber-ataques subrayan aún más la necesidad de pasar a la acción, sobre todo porque parece que cuanta más información valiosa posee una organización, más susceptible es de convertirse en objeto de un ataque. Así pues, las organizaciones deberían reevaluar su gestión de riesgos existente y su arquitectura de seguridad, incluso por parte de sus juntas directivas. 

Wikileaks ha sido criticado por exponer información clasificada, dañar en ocasiones la seguridad nacional de varios países, comprometer la diplomacia internacional y faltar a la discreción editorial. Pero, por otro lado, ha llevado a las empresas a considerar si todavía pueden permitirse el lujo de mantener información y hábitos de sus negocios que, en caso de llegar al gran público, podría afectar o, en el peor de los supuestos, destruir sus compañías. En consecuencia, si la información básica de una organización debe permanecer oculta, ésta debería ser protegida de acuerdo a su importancia.

En segundo término, el gusano Stuxnet ha puesto de manifiesto que existen organizaciones y/o individuos que cuentan con recursos y competencias suficientes como para llevar a cabo ataques avanzados y muy bien orientados contra compañías u organizaciones. Por tanto, el argumento de que atacar ciertas redes es demasiado difícil o requiere de demasiados recursos ya no es válido; todo es posible si ofreces altas recompensas a los cíber-criminales o hackers.

Por su parte, las Técnicas de Evasión Avanzadas (AETs) constituyen un nuevo tipo de técnicas de evasión que pueden ser alteradas o combinadas con criterios diversos para evitar la detección por parte de los sistemas de seguridad.

Así, las AETs actúan como una llave maestra para acceder a los lugares altamente protegidos y facilitan que cualquier carga útil -nueva o vieja- pueda ser entregada en los objetivos. Las Técnicas de Evasión Avanzadas ponen en riesgo la funcionalidad de los datos capitales y sistemas de las organizaciones, lo que indica que el campo de la seguridad se ha centrado demasiado en la velocidad y la comercialización de los productos mientras la seguridad más importante, la real, estaba comprometida.

En consecuencia, con el descubrimiento de las AETs, hoy más que nunca las organizaciones deben asumir la responsabilidad de analizar en profundidad las arquitecturas de seguridad para asegurarse de que sus datos y sistemas críticos están protegidos.

Es más, la brecha de seguridad provocada en el sistema RSA ha hecho posible que los cíber criminales entren en los sistemas de seguridad y creen duplicados de claves electrónicas "SecurID" de la División de Seguridad de EMC Corp RSA.

Los SecurID son claves electrónicas muy extendidas, que fueron diseñadas para frustrar a los hackers que trataban de usar las claves de registro de virus para capturar contraseñas generando constantemente nuevas, en un intento por penetrar en el sistema. Pues bien, en marzo de 2011 EMC reveló que los hackers habían penetrado dentro de su red y habían robado información relacionada con las SecurID; ésta podría ser usada para comprometer la efectividad de aquellos dispositivos encargados de asegurar las redes de sus clientes.

Resumen de las brechas de seguridad recientes

Durante 2010-2011, hemos asistido a varias brechas de seguridad severas:

 

·         Nasdaq, 2010

o       Los hackers penetraron en repetidas ocasiones en la red de los equipos de la compañía que dirige el Mercado de Valores Nasdaq durante el pasado 2010. El caso ha planteado dos preocupaciones para las autoridades: preservar la estabilidad y fiabilidad del mercado continuo, y asegurar que los inversores cuenten con plena fe en ese sistema. Es sabido que las bolsas de valores son con frecuencia objetivos de los hackers.

 

·         La brecha RSA de marzo de 2011

o       Unos hackers se infiltraron exitosamente en la firma de seguridad RSA con el fin de sustraer información relacionada con sus productos de autenticación de dos factores.

 

·         SONY es hackeado varias veces en 2011

o       El incidente es el último de una cadena de ataques y brechas que se prolongó durante una semana. Los problemas comenzaron el 19 de abril, cuando la compañía comenzó a investigar y, en último término, descubrió una brecha masiva de seguridad en su red PlayStation, un cíber escándalo que comprometió la información personal de más de 100 millones de usuarios.

 

·         La brecha Comodo, marzo de 2011

o       La autoridad de certificación digital estadounidense Comodo ha admitido que dos de sus Autoridades de Registro (RAs) han sido hackeadas. Este ataque no guarda, aparentemente, ninguna relación con el incidente pirata Iranian Ione que tuvo lugar a principios de ese mismo mes, cuando al menos cinco cuentas quedaron comprometidas.

 

·         Barracuda, abril de 2011

o       Tras varias horas de sondeos automatizados, los hackers encontraron y explotaron una inyección SQL de vulnerabilidad en la web Barracuda con el fin de atacar varias bases de datos y secuestrar los nombres e información de contacto de partners, clientes y empleados de esta organización.

 

·         Lockheed Martin Corp, mayo de 2011

o       Hackers aún no identificados entraron en las redes de seguridad del contratista de Defensa más grande del mundo, Lockheed Martin Corp.

 

·         L-3 Communications, intento de ataque en 2011

o       El contratista de Defensa L-3 Communications fue el objetivo de varios ataques de penetración con el objeto de lograr información confidencial. L-3 no ha revelado datos acerca de si el ataque obtuvo o no éxito.

 

·         Citibank hackeado en mayo de 2011

o       Se infringió la información personal y relativa a las cuentas de unos 200.000 poseedores norteamericanos de tarjetas bancarias, incluyendo datos específicos, como nombres y direcciones de email.

 

·         El FMI, hackeado en junio de 2011

El Fondo Monetario Internacional, el organismo que supervisa el sistema financiero mundial y agrupa a 187 naciones miembro, se ha convertido en el último objetivo conocido de un significativo cíber-ataque.

 

El común denominador de casi todas las organizaciones mencionadas es el hecho de que sus sistemas de seguridad de redes operan bajo los máximos niveles de seguridad e integridad. Estas organizaciones han dedicado equipos con experiencia y dominio, así como centros de control para gestionar y proteger sus redes contra múltiples incidentes y escenarios. Y, sin embargo, han sido hackeados.

 

Por tanto, es probable que sigan ocurriendo esta clase de eventos y que las infracciones de seguridad se extiendan también a áreas no tan bien protegidas a medida que las herramientas de hackeo continúen en evolución y se hagan cada vez más accesibles de forma común.

 

"El escenario de amenaza ha cambiado permanentemente, y los principios de diseño que se han usado para proteger los activos digitales de las organizaciones necesitan ser puestos en tela de juicio. La estrategia de seguridad TI está convirtiéndose en un área de creciente importancia de la gestión de riesgo, y la alta gestión necesita tenerlo en cuenta en su agenda. Ignorar la seguridad y dejarla sólo en manos de la gestión TI es claramente un signo de gobierno pobre", asegura Ilkka Hiidenheimo, CEO de Stonesoft Corporation. "Incluso los consejos de Administración deberían participar más en el ejercicio de supervisión de las responsabilidades de gestión y revisión del perfil de riesgo de la organización".

 

Para más información acerca de la completa gama de Stonesoft de soluciones de seguridad en la red, visite www.stonesoft.com

 

Sobre Stonesoft Corporation

Stonesoft Corporation (NASDAQ OMX: SFT1V) es un innovador proveedor de soluciones de seguridad integradas de red destinadas a blindar el flujo de información de las empresas distribuidas geográficamente. Sus clientes incluyen aquellas empresas con crecientes necesidades de negocio relacionadas con la seguridad avanzada de red y una conectividad siempre disponible.

La Plataforma de Conectividad Segura StoneGateTM unifica firewall, VPN, IPS y VPN SSL, combinando seguridad de red, disponibilidad punto a punto y un galardonado balanceo de carga en un sistema unificado y gestionado de forma centralizada. Los principales beneficios de la solución de conectividad segura StoneGate comprenden un reducido TCO, un elevado ROI y un excelente ratio precio-rendimiento. La solución virtual StoneGate protege la red y asegura la continuidad del negocio tanto en entornos de red físicos como virtuales.

StoneGate Management Center proporciona una administración unificada para StoneGate Firewall combinado con VPN, IPS y VPN SSL. Tanto StoneGate Firewall como el dispositivo IPS trabajan de forma conjunta para aportar una defensa inteligente de toda la red corporativa, mientras StoneGate VPN SSL provee seguridad avanzada en el acceso móvil y remoto.

Fundada en 1990, Stonesoft Corporation es una compañía global con la sede central ubicada en Helsinki, Finlandia; y cuenta con una sede corporativa para América, en Atlanta, Georgia.

Para obtener más información visite www.stonesoft.com, www.antievasion.com y http://stoneblog.stonesoft.com.