Lecciones para las PYMES del lado oscuro de la seguridad

BLACK HAT USA — Las Vegas — Con presentaciones sobre una variedad de investigación de vulnerabilidades, análisis de malware y nuevas técnicas de ataque, Black Hat USA tiende a ser una conferencia de seguridad para analistas y gerentes de grandes empresas y proveedores de seguridad.

Sin embargo, aunque es poco probable que los expertos en seguridad que asistan a la conferencia trabajen en pequeñas y medianas empresas, la investigación orientada a los ataques que debuta en Black Hat ofrece lecciones para las empresas más pequeñas. La primera lección: las pymes también están en el punto de mira de los atacantes. De hecho, el tamaño tiene menos que ver con el objetivo de una empresa que con su negocio y sus activos intelectuales, dice Joe Stewart, director de investigación de malware de Dell Secureworks, un proveedor de servicios de seguridad administrada.

En la conferencia, Dell Secureworks reveló detalles sobre una botnet, denominada Comfoo, que existe desde hace más de siete años y ataca a grandes empresas y organizaciones gubernamentales. Sin embargo, las organizaciones más pequeñas también deberían tener cuidado, dice.

«No importa cuán grande sea su negocio, es cuán interesante es para la competencia», dice.

El informe anual de seguridad publicado por Symantec ha demostrado que las PYMES están en riesgo de sufrir ataques, y la mitad de todos los ataques dirigidos detectados por la empresa se centran en las PYMES, según su Informe de amenazas a la seguridad de Internet.

Dado que hay más pymes que empresas más grandes, es menos probable que las pymes sean atacadas en general, pero es más probable que sean víctimas de ataques oportunistas masivos, dice Wolfgang Kandek, director de tecnología de Qualys. Una presentación de Black Hat mostró la rentabilidad del uso de redes publicitarias para controlar los comportamientos de los navegadores en una amplia franja de empresas, controlándolos esencialmente como una red de bots básica.

«Las PYMES tienen las mismas amenazas que las empresas más grandes, pero quizás menos específicas», dice Kandek. «Sin embargo, si realizan algún desarrollo tecnológico, entonces deberían preocuparse por ser atacados».

El desafío para cualquier empresa, y en particular para las PYMES que carecen de recursos, es aprovechar al máximo sus sistemas de información y la nube sin perder el control de su información.

Algunas sugerencias de los expertos de Black Hat:

Obtenga ayuda de expertos

Las pequeñas empresas deben buscar servicios administrados, proveedores y consultores para ayudarse a determinar dónde deberían invertir mejor su presupuesto limitado para asegurar su negocio. Encontrar el subconjunto de amenazas que más impactan a un sector específico puede ayudar a las PYMES a organizar sus recursos.

Al ayudar a las empresas a administrar la fuerza laboral móvil, la empresa de verificación de aplicaciones Appthority trabaja con empresas más pequeñas para crear políticas basadas en otras empresas de su industria, dice Domingo Guerra, presidente y cofundador de Appthority.

«Las pequeñas empresas nos dirán, ‘no tenemos un equipo para desarrollar una política, así que dennos algo para implementar’, y lo apoyamos», dice.

[Straight-shooting advice–and some out-of-the-box thinking–on how smaller companies can save money on security while doing it better. See 5 Ways For SMBs To Boost Security But Not Costs.]

Las PYMES también pueden usar las herramientas en línea gratuitas anunciadas por los investigadores para aprender de las experiencias de otras empresas. Un sistema de aprendizaje automático presentado por el investigador de seguridad Alexandre Pinto puede ayudar a las PYMES a evaluar sus registros de firewall y detectar tráfico malicioso en el que concentrarse.

Presta atención a los grandes

Las pequeñas empresas pueden beneficiarse de la investigación realizada por empresas más grandes sobre amenazas y productos de seguridad. La creación de redes con empleados de empresas más grandes puede ayudar a los especialistas en tecnología de la información de empresas más pequeñas a evaluar qué ataques son más preocupantes y qué defensas funcionan mejor.

Aunque las empresas con equipos de seguridad más grandes pueden preocuparse más por las amenazas individuales, las empresas más pequeñas no deben descartar los ataques más avanzados como irrelevantes. Con frecuencia, los ataques únicos que se muestran en Black Hat representan clases de amenazas que también pueden afectar a las PYMES, dice Jaime Blasco, director de investigación de la empresa de administración de seguridad AlienVault.

«Incluso si solo tiene un equipo de seguridad con una, dos o tres personas, aún necesita saber sobre las amenazas», dice.

Cuidado con los empleados que llevan dispositivos móviles

Quizás la amenaza emergente más importante para las empresas es la amenaza de los dispositivos propiedad de los empleados. En el pasado, las empresas que entregaban computadoras, teléfonos celulares y otra tecnología a los empleados podían controlar la seguridad de esos dispositivos. Hoy en día, con los empleados trayendo sus propios dispositivos con una variedad de aplicaciones de consumo, las redes de las PYMES son más porosas que nunca.

En Black Hat, los investigadores mostraron una serie de amenazas centradas en los dispositivos móviles, desde cargadores de energía maliciosos que pueden tomar el control de un dispositivo instantáneamente hasta redes de espionaje de bricolaje en toda la ciudad que podrían rastrear a los usuarios móviles durante largos períodos de tiempo.

«Cualquier lugar donde la gente traiga su propio dispositivo, realmente crea cierto nivel de amenaza», dice Guerra de Appthority.

¿Tienes algún comentario sobre esta historia? Haga clic en «Agregar su comentario» a continuación. Si desea contactar lecturas oscuras editores directamente, envíenos un mensaje.

Deja un comentario