Superficie de ataque - Todos los puntos de entrada posibles

Lectura de 2 min aprox.

La superficie de ataque (Attack Surface) se refiere al conjunto total de todos los puntos que un atacante puede explotar para introducirse en un sistema o robar datos. Todo lo que parezca un «punto de entrada» desde la perspectiva del atacante forma parte de la superficie de ataque, desde los servicios web expuestos públicamente, los puntos de conexión de API y las cuentas de redes sociales de los empleados hasta las entradas físicas de una oficina. Un principio básico de la seguridad es mantener esta superficie de ataque lo más pequeña posible. Aunque exista una vulnerabilidad, cuanto más estrecha sea la superficie de ataque, mucho menor será la probabilidad de que sea explotada.

Las tres categorías de superficie de ataque

La superficie de ataque se clasifica en tres áreas según su naturaleza. Una defensa integral requiere comprender exhaustivamente todas estas áreas.

Los atacantes aprovechan al máximo la OSINT (inteligencia de fuentes abiertas) para recopilar esta información e intentar introducirse por el punto más vulnerable. Si una oferta de empleo dice «usamos Apache Struts 2.x», un atacante investigará de inmediato las vulnerabilidades conocidas de esa versión.

El auge de las herramientas ASM

El ASM (Attack Surface Management, gestión de la superficie de ataque) es una disciplina de seguridad para descubrir, supervisar y evaluar de forma continua la superficie de ataque de una organización. Mientras que una prueba de penetración tradicional es una evaluación tipo instantánea, las herramientas de ASM escanean automáticamente los activos expuestos a internet las 24 horas del día, los 365 días del año, y notifican en tiempo real los activos recién descubiertos y los cambios de configuración. Con la difusión de los entornos en la nube y la posibilidad de que los desarrolladores construyan infraestructura sin pasar por el departamento de TI, ha aumentado la cantidad de activos públicos no contabilizados (infraestructura del tipo shadow IT), lo que incrementa rápidamente la importancia del ASM.

El proceso de reducción de la superficie de ataque

La relación con la confianza cero

La confianza cero es un modelo de seguridad basado en la premisa de «no confiar, ni siquiera dentro de la red». En el modelo tradicional de defensa perimetral, el interior del cortafuegos se consideraba una zona de confianza, pero con el paso a la nube y el trabajo remoto el propio perímetro se ha vuelto difuso. Al someter todo acceso a verificación, la confianza cero aplica defensas individuales a cada punto de la superficie de ataque. Como resultado, logra una estructura en la que es poco probable que el daño se propague lateralmente aunque se vulnere un punto.

Errores comunes

La idea de que «si bloqueas el acceso externo con un cortafuegos, la superficie de ataque es cero» es errónea. Existen numerosas vías de ataque que eluden el perímetro de la red, como la intrusión física, la ingeniería social y los ataques a través de la cadena de suministro. Además, las VPN y los escritorios remotos que usan los usuarios legítimos forman parte ellos mismos de la superficie de ataque, y si se vulnera su autenticación, permiten la intrusión en la red interna.libros sobre ciberseguridad (Amazon) son recomendables para un estudio sistemático.

Casos de uso reales

«El primerísimo día que introdujimos una herramienta de ASM, esta descubrió una instancia EC2 que se había puesto en marcha para una campaña tres años antes y que después se había quedado funcionando. Ejecutaba una versión antigua de WordPress con múltiples vulnerabilidades conocidas. La apagamos de inmediato y pudimos prevenir un incidente importante antes de que ocurriera.»

Explicamos en detalle la creación de la base de seguridad de una organización en la lista de verificación de seguridad para startups, la superficie de ataque de los entornos de IoT en el artículo sobre seguridad de dispositivos IoT, y las medidas para entornos de trabajo remoto en el artículo sobre seguridad del trabajo remoto.