La forma de pensar del defensor
- Muchas defensas de red empiezan mal orientadas antes de entrar en contacto con el adversario
- Los defensores se enfocan en proteger activos, asignar prioridades y clasificarlos según la función del negocio
- Los defensores están rodeados de listas de activos en servicios de gestión de sistemas, bases de datos de inventario de activos, hojas de cálculo de BCDR y más
- El problema es que los defensores no tienen una lista de activos, sino un grafo
- Los activos están conectados entre sí por relaciones de seguridad
- Los atacantes usan técnicas como el spear phishing para entrar en algún punto del grafo y luego recorrerlo en busca de sistemas vulnerables
¿Qué es un grafo?
- El grafo de una red representa las dependencias de seguridad entre los activos
- El diseño de la red, su administración, el software y los servicios en uso, y el comportamiento de los usuarios influyen en el grafo
- Por ejemplo, si la estación de trabajo de Bob, que administra el controlador de dominio (DC), no está protegida, el DC puede verse comprometido
- Otras cuentas con privilegios de administrador en la estación de trabajo de Bob también pueden comprometer el DC
- Un atacante puede comprometer el DC a través de esas rutas
Los seis pasos de Mallory
- El atacante espera en un dispositivo comprometido hasta que una cuenta de alto valor inicie sesión
- Con un grafo de ejemplo se explica cómo un atacante puede llegar a activos de alto valor
- Si se compromete un servidor terminal, se pueden volcar credenciales de muchos usuarios
- El atacante recorre el grafo y descubre varias rutas para moverse hacia activos de alto valor
- Para proteger activos de alto valor, todos los elementos de los que dependen deben estar igual de protegidos
Dependencias de seguridad
- En redes Windows, las credenciales pueden ser robadas cuando un usuario realiza ciertos tipos de inicio de sesión
- Distintas relaciones generan dependencias de seguridad
- Cuentas de administrador local con contraseñas compartidas
- Servidores de archivos y servidores de actualización de software que alojan scripts de inicio de sesión para muchos usuarios
- Servidores de impresión que entregan controladores de impresora a dispositivos cliente
- Autoridades certificadoras que emiten certificados para inicio de sesión con tarjeta inteligente
- Administradores de bases de datos que pueden ejecutar código en servidores de bases de datos, entre otros
Gestión del grafo
- Lo que puede hacer el defensor:
- Visualizar la red para convertir listas en un grafo
- Implementar controles para podar el grafo
- Revisar aristas no deseadas que generan gran conectividad
- Reducir la cantidad de administradores
- Usar autenticación de dos factores
- Aplicar un enfoque de rotación de credenciales cuando una cuenta de usuario sea comprometida
- Replantear las relaciones de confianza entre bosques
Detectar la mentalidad de listas
- El defensor debe evitar que el atacante tenga ventaja al visualizar el campo de batalla
- El defensor puede tener información completa sobre la red
- El atacante debe estudiar la red pieza por pieza
- El defensor debe aprender de la forma en que el atacante entiende el grafo
- Gestionar la realidad tal como es constituye la mentalidad de un defensor preparado
Lecturas adicionales
- Artículos sobre varios grafos de ataque:
- Heat-ray: Combating Identity Snowball Attacks Using Machine Learning, Combinatorial Optimization and Attack Graph
- Two Formal Analyses of Attack Graphs
- Using Model Checking to Analyze Network Vulnerabilities
- A Graph-Based System for Network-Vulnerability Analysis
- Automated Generation and Analysis of Attack Graphs
- Modern Intrusion Practices
- Attack Planning in the Real World
Resumen de GN⁺
- Este texto compara la mentalidad de la defensa de redes con el enfoque de los atacantes
- Destaca que los defensores deben entender la red a través de un grafo, no de una lista de activos
- Los atacantes exploran vulnerabilidades y encuentran rutas de ataque mediante el grafo
- Los defensores pueden reforzar la seguridad visualizando la red y gestionando el grafo
- Este texto es útil para quienes se interesan por la seguridad de redes y ayuda a entender la diferencia entre la mentalidad del atacante y la del defensor
1 comentarios
Opiniones de Hacker News