Seguritecnia 494

/ Marzo-Abril 2022 84 Ciberseguridad E s de sobra conocido por to- dos que cualquier elemento que contenga un software es vulnerable, independien- temente de si está conectado a una red o no. Pero si está conectado, el riesgo aumenta debido a que las vulnerabilida- des crecen exponencialmente. Por ejemplo, uno de los ciberataques más grandes de la historia fue Mirai, cuyo objetivo era infectar dispositivos IoT ( routers , videograbadores, CCTV…) con malware para realizar ataques de dene- gación de servicio, dejando en un estado no operativo sistemas sustentados por Windows y Linux principalmente. Mirai infectaba mediante el uso de credencia- les por defecto que el malware incluye, ya que muchas de ellas son usadas en dispositivos IoT, donde la seguridad en muchos casos es deficiente. Recientemente, una empresa finan- ciera sufrió un ataque de denegación de servicio ejecutando 17,2 millones de solicitudes por segundo. Para llevar a cabo este ataque se estima que han participado 28.000 dispositivos infecta- dos, repartidos en 125 países diferentes. Durante el tiempo que duró el ataque se enviaron cerca de 330 millones de soli- citudes ‘http’. Los números son escanda- losos y se cree que detrás de este inci- dente se encuentra Mirai o una variante del mismo. Además de poder llegar a ser parte de una red botnet , el problema real es cuando un cibercriminal se pone en con- tacto con un delincuente, por separar el mundo lógico del físico, ya que ambos son delincuentes. Imaginemos el si- guiente escenario: Un cibercriminal rea- liza un ataque man in the middle , donde escucha la comunicación que realiza un panel de alarma con una central recep- tora de alarmas (CRA), lo copia y simula un estado de normalidad. Una vez que tiene el protocolo de comunicación en- tre el panel y la CRA puede proceder a la desconexión del sistema de seguridad y que el delincuente (físico) campe a sus anchas por la “casa” del cliente, sustra- yendo bienes materiales. Actuación Ante el panorama que nos encontramos solo podemos hacer una cosa, y es ac- tuar. Desde la Asociación Española de Empresas de Seguridad (AES) llevamos trabajando más de tres años en la con- cienciación mediante la difusión de un baseline o decálogo la ciberseguridad de los sistemas electrónicos de seguri- dad, principalmente en cuatro áreas: Ciberseguridad centrada en las per- sonas : Roles, asignación de responsa- bilidades, segregación de funciones, acuerdos de confidencialidad, control de proveedores y, sobre todo, sensibili- zación del personal se deben convertir en la primera barrera de defensa y no en el eslabón más débil. Instalaciones : Accesos físicos, control de suministros… Infraestructura IT : Redes, comunica- ciones y aplicaciones. Información : Clasificación, controles de acceso a la información, cifrado, copias, planes de recuperación de la in- formación debidamente probados, etc. Ciberseguridad en los sistemas electrónicos de seguridad. Hacia la seguridad 360º M anuel R odríguez R eguero M iembro de la J unta D irectiva y coordinador del Á rea de C iberseguridad de la A sociación E spañola de E mpresas de S eguridad (AES) Además de poder ser parte de una red ‘botnet’, el problema real es cuando un cibercriminal se pone en contacto con un delincuente