Ataques a la cadena de suministro digital y riesgos para terceros
Contenido en está página
- ¿Qué son los ataques a la cadena de suministro digital?
- Ataques a la cadena de suministro digital: Riesgos y ejecución
- Instancias de ataques a la cadena de suministro digital
- Ataques a la cadena de suministro digital: Medidas de seguridad y mejores prácticas
¿Qué son los ataques a la cadena de suministro digital?
Una cadena de suministro está formada por todas las partes implicadas en el recorrido de un producto, desde su creación hasta su entrega a los clientes. En el mundo empresarial tradicional, esto suele ser lineal y los actores implicados abandonan el escenario una vez que su rol ha concluido.
En la era digital, con los negocios en línea y el aumento de los modelos de entrega basados en la nube, los actores de la cadena de suministro digital permanecen conectados y participan activamente para realizar actualizaciones periódicas con el fin de mejorar el producto y ofrecer soporte al cliente de forma permanente. Esto amplía la superficie de seguridad de la red más allá de las instalaciones de una organización y la hace más accesible a los atacantes. Si alguno de estos enlaces se convierte en víctima de un ataque cibernético, la puerta se abre a todo el entorno.
Los actores de amenazas buscan constantemente eslabones débiles para explotar y comprometer las cadenas de las empresas con técnicas avanzadas de ataque persistente.
Aquí hay un ejemplo:
- La Empresa A es un banco que utiliza el software de nóminas de la Empresa B y el CRM de la Empresa C.
- La Empresa B utiliza la aplicación de análisis de datos de la Empresa D.
En este caso, la Empresa A no sólo es susceptible a las vulnerabilidades de sus enlaces directos, sino también a las de los enlaces relacionados, como la Empresa D. Esto es un simple resumen general. El mundo real funciona con varias capas de cadenas de suministro digitales entrelazadas, con múltiples eslabones débiles.
Ataques a la cadena de suministro digital: Riesgos y ejecución
Estos son algunos de los riesgos asociados a las cadenas de suministro digitales y cómo abusan de ellas los atacantes:
- Uso de técnicas de ingeniería social para suplantar la identidad de terceros proveedores con el fin de obtener datos confidenciales o beneficios monetarios.
- Firmar aplicaciones maliciosas con certificados robados a autoridades de confianza. En este caso, la autoridad de certificación de confianza es el tercero que supone un riesgo.
- Campañas masivas de phishing y ataques de malware para aprovechar todas las vulnerabilidades, como las organizaciones que no tienen un marco de seguridad y son los eslabones débiles.
- La falta de controles de acceso seguros conduce a la exfiltración y filtración de datos sensibles por parte de terceros que explotan los privilegios injustificados que se les han asignado.
- Malware incrustado en hardware adquirido de terceros.
- Uso indebido de software de código abierto de uso común, que ha aumentado exponencialmente en los últimos años.
- Explotación de vulnerabilidades de día cero en aplicaciones de confianza mediante estrategias de penetración.
Una vez que los atacantes se infiltran en la red de terceros, implantan malware, roban credenciales, establecen un canal de comando y control para descargar más carga útil de malware, se mueven lateralmente escalando privilegios y persisten en la red. Podrían localizar sus datos, robarlos y exigir un rescate, o proceder a abusar del acceso concedido a los terceros.
Instancias de ataques a la cadena de suministro digital
- Ataque NotPetya: En 2017, el código del malware NotPetya, una versión actualizada del ransomware Petya, se inyectó en un software de impuestos y contabilidad que las empresas ucranianas utilizaban habitualmente. El malware cifró el código de arranque de los sistemas y se propagó por las redes de los clientes interrumpiendo sus operaciones. No se pidió ningún rescate a cambio de las claves de descifrado, ya que el único objetivo de este ataque era causar daños irreversibles. Este ataque encabeza la lista de los más devastadores de la cadena de suministro digital, con daños estimados de hasta $10 mil millones.
- Mimecast: Este es un ejemplo de ataque de abuso de certificados digitales. Mimecast ofrece soluciones SaaS para la seguridad y la gestión del correo electrónico. En 2021, los atacantes comprometieron el certificado digital de Mimecast utilizado para autenticar a los usuarios y proteger las comunicaciones. El ataque permitió interceptar las comunicaciones por correo electrónico de los clientes de Mimecast y dio lugar al robo de datos.
- Gigabyte firmware: Gigabyte, un fabricante de placas base con sede en Taiwán, envió más de 250 modelos de placas base con un código oculto incrustado que se ejecuta durante el arranque del sistema. Aunque el código se incluyó para actualizar el firmware, los analistas de seguridad encontraron vulnerabilidades que podían ser aprovechadas para inyectar malware. Esta instancia muestra los riesgos de terceros causados por el firmware.
- Abuso en serie de las aplicaciones de transferencia de archivos: Comúnmente utilizadas por las empresas, las aplicaciones gestionadas de transferencia de archivos se han visto implicadas en los últimos años en múltiples casos de incidentes de robo de datos, como los ataques a Fortra GoAnywhere, Accellion y Progress MOVEit. Los grupos de ransomware explotan vulnerabilidades de día cero para implantar web-shells y exfiltrar datos. Muchas cadenas de instituciones financieras, educativas y sanitarias de alto nivel, así como organismos gubernamentales, han sido víctimas de estos ataques.
Ataques a la cadena de suministro digital: Medidas de seguridad y mejores prácticas
¿Es usted el eslabón más débil?
Para proteger el entorno digital contra los ataques a la cadena de suministro, debe empezar por preguntarse si su organización es el eslabón vulnerable. Es importante establecer mecanismos de seguridad estrictos y seguir el proceso cíclico de monitorear, auditar y actualizar continuamente sus sistemas y directivas.
Aquí hay una lista de las mejores prácticas de seguridad para los proveedores:
- Audite el código fuente de su aplicación en busca de vulnerabilidades que puedan permitir ataques como la inyección SQL y el scripting entre sitios. Guíe y ayude a sus empleados a ser conscientes de la evolución de los riesgos cibernéticos y a adoptar métodos para escribir un código limpio y seguro.
- Asegúrese de que sus clientes están informados de las últimas actualizaciones y que deben implementarlas en sus aplicaciones on-premise. En el caso de los productos basados en la nube, utilice la protección del agente de seguridad de acceso a la nube (CASB), cifre los datos en tránsito, los datos en reposo y proteja todas las comunicaciones entre el entorno del cliente y el centro de datos.
- Implemente estrategias defensivas, como la realización de pruebas de penetración, el escaneo de vulnerabilidades y la instalación de honeypots y honeytokens, para desviar a los atacantes y captar sus técnicas.
- Cumpla con los mandatos normativos de TI, sea transparente con sus clientes sobre sus directivas de privacidad de datos, informe a sus clientes en caso de ataque, ayúdeles a proteger sus redes e implemente los parches inmediatamente.
Medidas de seguridad para que los SOC protejan a las organizaciones frente a los riesgos de la cadena de suministro digital:
- Asegúrese de gestionar el inventario en tiempo real manteniendo un inventario digital del software de terceros utilizado en su organización, audite los privilegios asignados y los datos recopilados de su red.
- Cifre todos sus datos, evite el abuso de privilegios y el escalamiento implementando modelos de seguridad como la confianza cero, los controles de acceso basados en roles y los principios de acceso con mínimo privilegio.
- Audite minuciosamente las directivas de privacidad y seguridad de los datos de sus enlaces directos con terceros, asegúrese de que cumplen las directivas normativas estándar y las específicas de su sector.
- Monitoree los logs de las aplicaciones de terceros instaladas on-premise y on-cloud, audite los servidores on-premise que alojan las aplicaciones, compruebe si hay tráfico malicioso interactuando con esos servidores.
- Identifique el comportamiento anómalo de las cuentas de terceros que se conectan a su red, los archivos a los que acceden y los intentos de exfiltración de datos.
ManageEngine Log360, la solución de SIEM centralizada para la gestión avanzada de amenazas, ayuda a los SOC a detectar los ataques a la cadena de suministro digital y a remediar sus efectos. Además de monitorear logs en tiempo real, alertar y correlacionar actividades en toda la red, esta solución también proporciona CASB para la protección de la nube y UEBA para la detección de anomalías basada en machine learning. Las fuentes contra amenazas globales integradas y el dashboard de MITRE ATT&CK ayudan a detectar las fuentes incluidas en listas negras y los patrones, tácticas y técnicas de ataque de los grupos de amenazas. Acceda a cientos de informes predefinidos, busque amenazas, detecte incidentes y redúzcalos mediante flujos de trabajo de respuesta a incidentes. Explore la solución ahora.
Mejore su postura de seguridad aprovechando las funciones de Log360
Deje que nuestros expertos evalúen sus requisitos de seguridad y le demuestren cómo Log360 puede ayudarle a satisfacerlos.
Descubra cómo Log360 puede ayudar a las organizaciones a construir y fortalecer sus defensas contra ataques a la cadena de suministro digital con un conjunto de funciones de seguridad como:
- Correlación en tiempo real de eventos de red
- Detección de anomalías basada en aprendizaje automático
- Integración de fuentes de amenazas globales y el panel de control MITRE ATT&CK