Para utilizar las funcionalidades completas de este sitio, es necesario tener JavaScript habilitado. Aquí están las instrucciones para habilitar JavaScript en tu navegador web .

El cibercrimen en definitiva viene en aumento. El año anterior fuimos testigos de muchos actos criminales en el ciberespacio, donde grandes compañías como Apple y Sony fueron víctimas de ellos.

Pero antes de comenzar con todo lo que nos espera para este 2015, vamos a repasar algunos conceptos, estadísticas y todo aquello que vivimos durante el 2014.

¿Qué entendemos por cibercrimen?

En palabras sencillas, el cibercrimen son las acciones ilícitas que llevan a cabo personas mal intencionadas utilizando como medio vías informáticas, con el fin de perpetuar algún robo de información, ejecutar fraudes, chantajes o falsificaciones.

Los delincuentes informáticos efectúan sus ataques utilizando diferentes medios y técnicas como por ejemplo:

  • Malware y virus:  Que tienden a reproducirse como los microorganismos acceden a todo el sistema y contagian otros sistemas.
  • “Caballos de Troya”:  Que es la manipulación de programas existentes e incubación de nuevas tareas o rutinas para causar daños y obtener información.
  • Phishing: El “phisher” se hace pasar por algún conocido o una entidad de confianza. Por ejemplo, utiliza el nombre de una entidad bancaria, y establece un canal de comunicación electrónico aparentemente “oficial” con el fin de adquirir información sensible para robar datos, registros y así poder cometer fraudes.
  • Botnets: Son un conjunto de computadores infectados con malware, conocidos como bots o zombies y que son manejados o administrados por un Botmaster que controla estos computadores de forma remota para poder realizar sus delitos. Ingeniería social: Es la técnica utilizada por los cibercriminales para obtener información útil de los usuarios, tales como nombres de usuario y contraseñas.

 Estadísticas…

El reporte “IBM Security Services Cyber Security Intelligence Index” publicado en el 2013, muestra en sus estudios de inteligencia de seguridad que se han logrado reducir los ataques recibidos a 73,400 a una sola empresa anualmente, y han sido detectados por herramientas encargadas de análisis de actividades maliciosas. De estos ataques 90,2 han sido incidentes de seguridad entre todos sus clientes (ver figura 1).

Aunque se han logrado reducir los ataques e incidentes con la utilización de herramientas de seguridad de alto calibre como las de IBM, estos números siguen siendo considerables y se debe tomar acción por parte de las organizaciones con socios de seguridad para disminuir este número aún más.


Figura 1: Resumen ataques e incidentes 2013
Estos datos fueron recopilados entre el 1 de abril del
2012 al 31 de marzo del 2013.

Pero en el reporte publicado en el 2014, indican que los problemas no desaparecen. Se considera que en el 2013 más de 500 millones de registros con datos personales, números de tarjetas de crédito y contraseñas fueron robados, donde los mercados más afectados fueron en Estados Unidos con un costo de $5.900.000 y Alemania con $4,7 millones.

Esto preocupa a todas las industrias, ya que gracias a los medios de comunicación, todos los usuarios se han dado cuenta de los ataques y robos que han tenido varias compañías, con lo que cada una de ellas podría perder la confianza de sus clientes.

Según los reportes del 2013 y 2014, se muestra que el top 5 de las industrias que más han recibido ataques no ha cambiado (ver figura 2 y 3). Sin embargo, podemos observar que duranteel 2013 las empresas dedicadas a finanzas y seguros han sido el foco de los ataques de los criminales cibernéticos.

Incident rates across monitored industries


Figura 2: Top5 industrias afectadas 2013.

Incident rates across monitored industries


Figura 3: Top5 industrias afectadas 2014.

¿Qué sucedió durante el 2014? ¿Cómo lo vivimos?

Cuando las compañías incursionaron en el uso del Internet para realizar comunicaciones, transacciones y comercio, se le dio la oportunidad a los delincuentes informáticos de aparecer y realizar ataques para perjudicar a las industrias. Con el paso del tiempo los ataques y delitos han aumentado y han venido mejorando, lo que ha causado un alto costo para las empresas.

Durante el 2014, se presentaron varias amenazas y se realizaron varios ataques informáticos que buscan robar información y dinero de los usuarios. Éstos fueron dirigidos a diferentes aplicaciones y plataformas. Según el resumen de amenazas del 2014 publicado por la compañía ESET se dan los siguientes acontecimientos:

  • Enero: Engañan a los usuarios de WhatsApp haciéndoles creer que existe una aplicación de escritorio para desatar un malware detrás de la botnet Zeus.
  • Febrero: Convierten a Latinoamérica en el foco de ataque y se infectaron sistemas con Linux/Ebury con un virus que roba contraseñas de servidores. Los sistemas con aplicaciones Mac también fueron protagonistas con un malware que roba Bitcoins al obtener los accesos a éstos, produciendo una pérdida de miles de dólares.
  • Marzo: Aparece un malware que tiene como finalidad la extorsión. Las personas que recibían el malware por medio de un correo electrónico como un archivo adjunto, que al descargarlo cifra todos los documentos para que los usuarios ya no los puedan ver. De esta manera, los criminales piden rescate para recuperar sus documentos pagando una suma en BitCoins.
  • Abril y Mayo: Se presentaron vulnerabilidades para OpenSSh que permitió revelar gran cantidad de información sensible alojada en servidores. Se presentaron variantes de rasomeware que tenían como finalidad atacar el sistema operativo Android. Para mayo, Ebay indica a sus usuarios cambiar las contraseñas de sus cuentas por un robo de información.
  • Setiembre: El sistema de iCloud fue afectado y varias de sus cuentas se vieron comprometidas, donde pudieron robar información de sus usuarios.
  • Octubre: Se dice que Qbot, la botnet que tiene como objetivo el robo bancario, afectó a más de 500 mil computadoras con las cuales pudieron interceptar transacciones bancarias en Estados Unidos y Europa.
  • Diciembre: Se reveló un ataque a Sony Pictures donde se vieron comprometidas credenciales de varias cuentas oficiales y contraseñas internas de la compañía. En este ataque, también se filtraron varias películas que aún no se habían estrenado.

 ¿Qué nos espera este 2015?

Distintas empresas expertas en la materia tienen sus puntos de vista. Por ejemplo, según el
informe emitido por ESET Latinoamérica, sus predicciones en el tema del cibercrimen se dividen en tres categorías.

  • Ataques dirigidos: Si hay algo verídico, es que los ataques dirigidos van en aumento y este año no será la excepción. Los APTs (Advanced Persistent Threats, o en español, Amenazas Avanzadas Persistentes), tienen un objetivo definido. Además, este tipo de ataques busca mantenerse sin ser detectado.
  • Sistemas de pago en la mira: El interés de los cibercriminales en dirigir sus ataques a estos medios va en aumento. Los cibercriminales continuarán destinando esfuerzos en atacar sistemas de pago, esa es la realidad, ya que día con día hay mayor cantidad de dinero circulando por internet.
  • Internet de las cosas: Los nuevos juguetes para los atacantes, día con día son más dispositivos de diferentes tipos que se conectan a internet. Dicho sea de paso, la tendencia es que los dispositivos se comuniquen entre sí, sin necesidad de la intervención del ser humano. Por esta razón, sin lugar a duda el Internet de las cosas será un blanco más del cibercrimen.

 Ahora que conocemos qué nos podría esperar este año ¿Cuál sería la mejor forma de prepararse para lo que viene?

Para esto, es importante recordar la frase dicha por George E. Marshall:

“El único modo de vencer en una guerra es evitándola” - George E. Marshall:

¿Pero cómo la evitamos? En las organizaciones, se debe tener implementada una estrategia de
seguridad proactiva que nos permita evitar el combate de tú a tú con los atacantes, debido a que ellos van a tener la ventaja. Para ello, la estrategia debe estar orientada en la prevención y detección temprana de amenazas y vulnerabilidades, con el objetivo que los responsables de seguridad puedan anticiparse a cualquier ataque. La siguiente información puede serle útil para preparar su estrategia proactiva de seguridad. 

Fase 1:

Preparación

Entre mejor preparado esté, más rápido puede actuar. Por esto, es esencial tener en cuenta lo siguiente:

  • Gobierno de seguridad: Alinear la estrategia de seguridad con los objetivos de negocio, siempre será el paso estratégico para implementar con éxito el programa de seguridad. El establecer la estrategia de seguridad tomando en cuenta los objetivos y crecimiento de negocio, nos permitirá definir de forma más acertada los objetivos de seguridad de la organización. Además, nos permitirá definir las políticas y métricas idóneas dentro de nuestro sistema de seguridad de la información.
  • Gestión de riesgos: El identificar y valorar los riesgos es un paso fundamental antes de aplicar controles. Este ejercicio nos permitirá determinar los riesgos prioritarios por atender y así poder ejecutar el presupuesto de seguridad de forma eficiente, en línea con las necesidades reales de la organización. Para ejecutar efectiva y eficientemente esta tarea, la mejor opción sin lugar a duda es la automatización. IBM cuenta con la solución que automatiza éste y el punto anterior, denominada IT Governance, la cual permite bajo una única plataforma, gestionar los riesgos de TI y alinear los objetivos de TI y seguridad de la información con los objetivos de negocio.
  • Conciencia en seguridad: Algo que nunca debe olvidarse y pasar por alto, es la educación y toma de conciencia sobre seguridad. Dentro los recientes estudios sobre eventos de seguridad, como la fuga de datos, un alto porcentaje de estos eventos son ocasionados por errores humanos e ingeniería social. Siempre es de suma importancia trabajar con el eslabón más débil y muchas de las empresas no le toman la importancia debida. Un buen programa de concientización en seguridad, puede hacer la diferencia en ser o no una víctima más del cibercrimen.
  • Proceso de atención de incidentes: Saber cómo y en qué momento actuar es vital para contener un posible ataque y evitar un daño mayor. La capacitación del personal miembro del comité de atención de incidentes, es una actividad que siempre debe estar dentro de nuestro plan.
  • Descubrimiento y clasificación de datos: El entender dónde están almacenados los datos y que tan sensitivos son, nos permitirá enfocar los recursos disponibles para proteger aquellos datos sensibles para la organización, lo que hará mucho más eficiente el proceso de mitigación de riesgos y permitirá entregar más valor al negocio. En el mercado hoy en día existen herramientas automatizadas que le facilitan la vida a los responsables de la clasificación de datos. Por ejemplo, IBM posee la herramienta denominada InfoSphere Guardium, la cual dentro de sus muchas funcionalidades, cuenta con la capacidad de descubrir instancias de base de datos en la red de la organización y clasificar los datos según su criticidad, basado en las políticas de cada compañía.
  • Gestión de vulnerabilidades: Realizar frecuentemente un análisis de vulnerabilidades sobre la plataforma tecnológica, nos permitirá identificar las brechas de seguridad que tenemos, las cuales deberíamos de corregir. Aquellas vulnerabilidades que se identifiquen y puedan ser corregidas por algún motivo, deben de establecerse controles compensatorios para llevar el riesgo a los niveles de tolerancia adecuados. Al igual que el punto anterior, la automatización de los controles es vital para realizar las actividades con mayor precisión y disminuir los costos operativos asociados. Por eso, es importante mencionar que las tareas de gestión de vulnerabilidades se pueden automatizar. Ya no hace falta tener guías de “hardening” y nadar en la configuración de cada dispositivo de red, base de datos y aplicaciones para evaluarlas. IBM cuenta una solución que se encarga de esto. La combinación de InfoSphere Guardium Vulnerability Assessment y Qradar Vulnerability Manager, despliegan las capacidades necesarias para realizar un análisis profundo de las vulnerabilidades existentes a lo largo de toda la plataforma y guían a los administradores a cerrar las brechas identificadas.

Fase 2:

Establecer la defensa

Una vez que tenemos identificados los datos sensitivos y las vulnerabilidades, debemos establecer controles específicos para mitigar los distintos riesgos asociados. Tradicionalmente, las empresas enfocaban sus esfuerzos en tener bien cercado su perímetro; sin embargo, esto hace un buen rato ya no es suficiente. Hoy en día, tenemos nuevas tecnologías, nuevos “exploits” y ataques cada vez más avanzados; además, tenemos amenazas hacia lo interno de la organización que la seguridad perimetral no las cubre. A raíz de esto, hay que establecer una estrategia de defensa orientada en un perímetro lógico.

Según las predicciones de Gartner con respecto a los retos en seguridad, determinan que las empresas deben preparar su infraestructura para monitorear sus procesos y activos de información, a cualquier hora y en cualquier lugar. Las herramientas automatizadas que nos permitan ejercer políticas de seguridad en tiempo real o cerca del tiempo real, serán de mucha ayuda para contrarrestar cualquier tipo de ataque, tanto interno, como externo a la organización. Un ejemplo de éstas, es la solución que cuenta IBM denominada Security Intelligence (ver figura 4).

Esta solución posee la capacidad de detectar amenazas a lo largo de toda la organización en tiempo real y aplicar políticas de seguridad específicas para detener cualquier intento de ataque. Pero eso no lo es todo, esta solución cuenta con una variante mucho más robusta e innovadora, la cual toma las capacidades de Security Intelligence y las potencializa con las capacidades de Big Data & Analytics. Así mismo,esta solución avanzada analiza todo tipo de datos y crea predicciones, con el objetivo de anticiparse a cualquier evento de seguridad y fraude que pudiese ocurrir. En la siguiente imagen se puede observar cómo se relacionan estos dos componentes para combatir el cibercrimen.

Otro punto importante a lo hora de establecer laestrategia de defensa, es que debemos pensar queno sólo el ambiente productivo es importante.Tenemos datos confidenciales por todas partes, en ambientes de desarrollo y pruebas, en servidores de archivos y en las máquinas de cada uno de los usuarios, por lo que la estrategia debe ser holística para cubrir las brechas de seguridad a lo largo de toda la empresa. Para este caso, IBM cuenta con una estrategia integral para proteger los datos en todo momento y en todo lugar, tomando en cuenta los distintos estados de los datos. En la siguiente imagen se muestra dicho enfoque.

Fase 3:

Pruebas y simulacros

Parte importante de un plan de seguridad son las pruebas periódicas que se deben realizar. Dentro de estas pruebas están las ya conocidas de Ethical Hacking o Pen Testing; sin embargo, es importante que los procesos también se pongan a prueba. A cómo realizamos simulacros para evaluar la gestión de la continuidad de negocio, debemos realizarlos para evaluar los procesos concernientes a la seguridad de la información. Dentro de éstos están la atención de incidentes, los procesos de comunicación a lo interno y externo de la organización y evaluar cómo interactúan recursos humanos, legal, finanzas, mercadeo, entre otros y las diferentes áreas de negocio ante un evento inesperado.

Por otra parte, los famosos juegos de guerra cibernéticos que hoy en día diferentes empresas y países están empleando, son de mucho valor para poner a prueba, tanto la tecnología que tenemos implementada, como los propios procesos internos.

Las brechas de seguridad son inevitables, la clave está en qué tan preparados estemos para detectarlas oportunamente. La agilidad y velocidad para identificar una amenaza, una exposición de datos sensibles y para remediar cualquier tipo de ataque, hará la diferencia para gestionar los riesgos asociados y controlar los costos durante el incidente.

Una estrategia integral de seguridad es vital para no luchar de tú a tú contra los cibercriminales. Entre mayor automatización se tenga, más efectivos y eficientes seremos en la implementación de las medidas de control establecidas.


Figura 5: Estrategia holística de seguridad y privacidad de datos

Fuente: https://www-935.ibm.com/services/us/en/it-services/security-services/2014-cyber-security-intelligence-index-infographic/


Compartir este artículo
Cybersecurity Transformation

07 Septiembre, 2018 | A lo largo de los tiempos, las organizaciones se han ocupado de construir una línea de defensa que los proteja de las ciberamenazas. Haciendo la analogía con la edad media, las organizaciones se han esmerado en construir castillos para crear un perímetro de seguridad robusto y, lo que han venido haciendo a lo largo de los años, es hacer más altos y fuertes los muros de ese castillo para estar seguros. No obstante, en los últimos años, se han presentado cambios significativos que han hecho que las organizaciones replanteen su estrategia. El mundo interconectado, la nube, el IoT, movilidad y las distintas tecnologías disruptivas, han revolucionado la forma en que las empresas operan y hacen sus negocios. Estos cambios han obligado a los líderes de seguridad en reevaluar su programa de seguridad, dado que el enfoque de seguridad tradicional, el cual está basado en hacer crecer y robustecer los muros del castillo, ya no es suficiente. El proceso de transformación de la ciberseguridad que se ha derivado de estos cambios está conceptualizado en una forma diferente de pensar sobre la ciberseguridad. Las organizaciones ya no pueden escudarse detrás del Firewall perimetral, dado que sus aplicaciones y datos ahora están en la nube, se acceden desde cualquier parte, desde cualquier tipo de dispositivo y en cualquier momento. Dado esto, un nuevo enfoque ha emergido para abordar estos nuevos retos. Este nuevo enfoque está orientado a aplicar controles a los usuarios, datos y sistemas en los niveles apropiados, según la criticidad para el negocio. También, esta estrategia toma en cuenta muy fuertemente el enfoque de “Security by Design”, el cual permite formalizar el diseño de la infraestructura y automatizar los controles de seguridad para que pueda generar seguridad en cada parte del proceso de administración de TI. Algunos de los conceptos clave que sobresalen sobre este enfoque de transformación de la ciberseguridad está el definir controles, lo más cercanos a los datos posibles y el establecer un nuevo perímetro de seguridad, basado en la identidad de los usuarios. Dentro los principales controles que predominan en este nuevo enfoque están: La protección de la de la identidad de los usuarios. Control de acceso basado en riesgo. Técnicas de ofuscación de datos para la protección de la privacidad. Controles de acceso a los datos. Monitoreo del comportamiento de usuarios, endpoints, sistemas y la red. En la próxima entrega, vamos a profundizar sobre estos controles y sobre las capacidades de las tecnologías disponibles en la industria que nos permitirán apalancar esta transformación.

Percepción y hechos en la seguridad

25 Junio, 2018 | En una conferencia de seguridad hace unos meses, un presentador nos encuestaba: ¿Se sienten seguros en su silla?, ¿sienten que su vehículo esta seguro? ¿Creen que este edificio es seguro? Y asi unas cuentas mas hasta que empezamos a cuestionarnos nerviosamente de nuestra seguridad, cosa de la que estábamos tan persuadidos hacía no más de 2 minutos. Y efectivamente, nuestro presentador terminó diciendo: “La seguridad es una percepción” y estoy totalmente de acuerdo. Les aseguró que hay militares que están tan tranquilos en su base que esta a 500 metros del enemigo como nosotros viendo una película en el cine. ¿Cuál es la diferencia? La percepción. El militar está seguro de sus compañeros le cuidan las espaldas y esta entrenado para reaccionar a una amenaza y nosotros en el cine, confiamos en que el ambiente es seguro y la seguridad del mall y la policía nos protege. Así, que llevando esto a nuestros negocios, debemos construir nuestra percepción de seguridad basada en riesgos y hechos, como veremos ahora. Los riesgos Los riesgos los debemos sopesar como algo que, si bien es una posibilidad, no queremos que afecte extraordinariamente en el caso de un incidente a nuestra organización, y para esto, primero permítame explicar los riesgos en el área de dominio que nos compete hoy que es en las Tecnologías de la Información. Estamos claros que, lo que impacta negativamente al negocio es aquello que nos hace perder ganancias o entrar en pérdidas económicas. Sin embargo, hoy día como todo está conectado al negocio, y con esto me refiero, a las redes sociales personales y corporativas, las actividades de responsabilidad social corporativa, las relaciones con otras organizaciones, las relaciones con el gobierno, la publicidad, entre muchas otras afectarán sustancialmente nuestro negocio según la industria y mercado.  Un riesgo, entonces, lo determina qué tanto impacto puede causar en  nuestro  negocio  un evento relacionado con Tecnologías de la Información. Les dejo una lista corta de eventos de alto impacto: Secuestro de la información:  un ente atacante encripta la información asegurándose de no dejar otra copia usable pidiendo un rescate por la llave para desencriptar. Chantaje informático: el ente de ataque obtiene información confidencial privada no solo del negocio, sino de los clientes de éste y reclama algo a cambio de no hacerla pública. Secuestro de infraestructura: ente  de ataque consigue las credenciales administrativas de la infraestructura y la aísla para su único dominio y luego pide un rescate para devolver las credenciales a la organización. Y la más compleja, pero más lucrativa es el infiltrado: la persona atacante logra entrar a la red del negocio y detecta el patrón de operación del mismo de forma que logra montar operaciones y transacciones indefinidas veces durante meses y años sin que la organización detecte su presencia. Para cerrar este punto por el momento, los riesgos informáticos son muchos verdaderamente, pero igualmente debemos, digámoslo asi, medir nuestros riesgos. Para esto, hay consultorías especializadas es verdad, pero con un poco de sentido común podemos decir que, dependiendo de la visibilidad pública de nuestra empresa y el volumen de dinero que maneja, entonces está más en la mira de un atacante, con la excepción de los ataques automatizados a los cuales todos como personas o empresas estamos expuestos, así que, definitivamente nos conviene ejecutar un análisis sencillo. Mi empresa tiene: Página Web pública Redes sociales corporativas (Instagram, Facebook, Twitter, Pinterest, etc) Sistemas de pagos electrónicos (Internet Banking, pagos en línea, tarjetas de fidelidad, etc) Plataformas de nube Pública autorizadas o no (Azure, AWS, Office 365, G Suit, DropBox, etc) Bases de Datos con información de los clientes y pagos (Oracle, SQL, MySQL, DB2, etc) En el caso de que respondiera negativamente a todos los puntos, estaría bastante libre de riesgos informáticos, pero tambien necesita estudiar la posibilidad de incrementar las ganancias del negocio usando estas tecnologías. En resumen, y sabiendo que no estoy incluyendo variables muy importantes como el factor humano, entre más puntos de los anteriores le aplican a nuestra organización estamos en mayor riesgo, y por ende deberíamos tener alguna protección. Hechos Los hechos que estamos a punto de tocar son aquellos que nos dan luz sobre nuestra seguridad informática. Como dijimos anteriormente la seguridad es una percepción, y ésta la debemos construir a partir de hechos, que en este caso sería hacer algo que nos confirme nuestra asunción de seguridad, así como cuando le activas la alarma al vehículo, oyes y ves las señales de que se activó pero, aún así, halas la manilla de la puerta para estar seguro de que cerró con el HECHO de que NO ABRE. En este sentido, los hechos que buscamos para demostrar que estamos seguros desde una perspectiva informática son: Nadie puede entrar a ninguna información de la organización sin usar un mecanismo de identificación acorde con los sistemas y dependiendo de la sensibilidad de la información: Usuario y Clave, PIN, Tarjeta de Seguridad, Carnet RFID, biométrico, etc. incluyendo un segundo  factor de autenticación como SMS, Token, o llamada de ser necesario. Existen niveles de acceso a todos los recursos, donde, cada uno accede solo a lo que debe, en el lugar correcto, desde la aplicación correcta y desde la ubicación correcta. Poder saber si alguien intenta violar alguna política de la organización respecto al acceso de la información, por ejemplo, un desarrollador de la página web de la empresa intentando acceder al servidor de base de datos de nómina. Los colaboradores están enterados y practican las normas de  seguridad  de la información: cambios de password, manejo de correos electrónicos sospechosos, redes sociales personales y corporativas, almacenamiento de la información en los sistemas correctos. Tener procesos y sistemas de contingencia ante un ataque Al igual que la sencilla lista de riesgos, ésta necesita que nos apliquemos todas las opciones porque hacemos realmente muy poco solo teniendo una o dos. Y lo que realmente importa, es comprobar que se cumplen, bien con una auditoría interna de la organización o con una externa, porque la consecuencia de hacerlo mal es que no valdrá la pena el esfuerzo de “tratar”, porque al final el atacante siempre se irá como el agua, por el camino más fácil, es decir, por aquello que no tengamos o que tengamos desactualizado. Para concluir, sin ser catastrófico, la verdad es que el tema de seguridad de la información es complejo y con muchos matices, pero, de las cosas que son indudables es que, hay una demanda inmensa de personal, no solo especializado sino con experiencia que se hace para muchas empresas restrictivo económicamente hablando. Así que, una salida exitosa, han sido los proveedores de servicios gestionados de seguridad, que se encargan de aplicar todas estas cosas que he expuesto en este artículo por una inversión en el modelo optimizado de prácticas y personal altamente capacitado para brindar un servicio eficaz, de muy alto valor y costo amigable con las finanzas. Nota: Se dará cuenta que, uso la palabra ente en casi todos los ejemplos, esto tiene una razón especial, es que, ya hoy día las máquinas son más agiles y energéticas que los hombres (las máquinas trabajan 24x7x365 al mismo ritmo y adicionalmente, así como la inteligencia artificial se usa para cosas buenas, también para malas), así que, un ente puede ser un robot informático o una persona.

AI vs. AI: Pueden los modelos predictivos detener ciberataques reforzados con Inteligencia Artificial?

25 Junio, 2018 | La tecnología de machine learning y la inteligencia artificial (IA) son ahora componentes esenciales de cualquier estrategia efectiva de defensa  antifraude. Como ya sabemos, toda acción defensiva trae consigo una reacción criminal equivalente debido a que los hackers siempre intentarán evadir los controles. Entonces, si la IA está siendo utilizada para prevenir el fraude, ¿qué evita que los hackers empleen la misma tecnología, no solo para vencer los sistemas de defensa tradicionales sino también los basados en IA? Como punto de partida de este experimento, analizamos los posibles casos en que los criminales sacarían ventaja de IA: Creación de malware más poderoso e inteligente Debilitación de controles de autenticación Engaño al monitoreo transaccional basado en reglas Mejoras en los ataques de phishing Primera estapa de la investigación: El ataque y la evolución de estrategias de detección. Para llevar a cabo esta prueba, decidimos escoger las “mejoras en los ataques de phishing” como nuestro enfoque; entonces, el interrogante sería ¿qué tal si los estafadores emplean inteligencia artificial para crear URL más efectivas que puedan evadir el software de detección? Con la pregunta clave ya planteada, empezamos la búsqueda de cuál inteligencia artificial sería la vencedora. Para poder hacer la comparación de efectividad de IA, necesitamos conocer cómo se llevan a cabo los ataques de phishing tradicionales. El phishing tradicional sigue un mismo proceso en el cual los criminales buscan los blancos más vulnerables, crean sitios fraudulentos y despliegan su ataque. Un sistema tradicional de detección de phishing emplea reglas estáticas para identificar patrones conocidos de fraude y desactiva las URL que encienden las alertas basadas en dichas reglas. Este método resulta en un alto número de falsos positivos y negativos, concediéndole así la ventaja a los cibercriminales. Cuando nosotros utilizamos algoritmos inteligentes, en vez de un sistema basado en reglas para encontrar patrones nuevos y conocidos, el método ataque de los estafadores sigue siendo el mismo, pero la tasa de detección de las URL de phishing se eleva hasta un 98.7%. Tenemos nuevamente la ventaja. Pero ¿podríamos continuar con nuestra racha ganadora si los criminales deciden emplear tecnología de IA para su beneficio? Para saber esto con certeza, creamos un grupo hipotético de atacantes. Después de explorar los datos existentes de phishing, logramos determinar grupos o “bandas” de estafadores. Identificamos estos grupos al buscar URL que seguían un patrón similar que provenían de un mismo dominio. De ese modo encontramos a la banda Purple Rain, hábil grupo de estafadores. Este grupo logró una tasa de éxito de 0.69% haciendo uso de varias estrategias tradicionales. Esto significa que el 0.69% de sus ataques no fueron detectados por los sistemas anti-phishing. Este porcentaje de éxito puede parecer muy pequeño, pero es tres veces más alto que el de otros atacantes. Segunda etapa de la investigación: Mejorando la creación de URL usando IA Para la siguiente etapa del experimento, creamos un generador de URL basado en IA. Con esto fue posible modelar lo que la banda Purple Rain probablemente haría con IA: crear rápidamente una gran cantidad de URL específicamente diseñadas para minimizar la detección de los sistemas antifraude y maximizar el éxito de los ataques de phishing. Con la automatización de la generación de URL (en la cual se utilizaron los ataques previos de Purple Rain incluyendo URL, institución afectada, dominio comprometido, etc.) la eficiencia operacional mejoró dramáticamente. Entonces ¿qué sucedió cuando la banda empezó a emplear IA maliciosa? ¡Su tasa de éxito se incrementó en 3000%, de 0.69% a 20.9%! Tercera y última etapa de la investigación: ¿Estamos Perdidos? Afortunadamente ¡No! Nuestro experimento nos enseñó que la IA puede llegar a ser extremadamente útil para los estafadores. ¡Pero eso no significa que no hay esperanza! En la última fase del experimento, decidimos volver a nuestra posición de buenos, solo que esta vez mejoramos nuestro sistema de IA y entrenamos a nuestro algoritmo para que anticipara el uso de IA maliciosa. De esta forma, fuimos capaces de reducir la eficiencia de tal tecnología, derrotando así el sistema malicioso que creamos cuando actuamos como la banda Purple Rain. Es cierto que fuimos capaces de vencer la IA maliciosa en nuestro propio experimento, pero ¿podríamos llevar estos resultados al mundo real contra atacantes armados con la tecnología de IA? La respuesta es sí. No solo ya contamos con IA integrada en nuestras soluciones de seguridad, sino que gracias a nuestro experimento también sabemos cómo actuarían los estafadores haciendo uso de IA. Además, el enorme banco de datos de phishing que hemos construido gracias a nuestras aplicaciones nos da la ventaja. De forma similar a cuando encontramos la banda Purple Rain, detectamos y analizamos la estrategia de otros grupos capaces de aprovechar la IA. Entendiendo sus tácticas, podemos mejorar más rápidamente nuestros propios sistemas para derrotarlos. Incluso si los cibercriminales emplean la IA para lanzar ataques más nefastos, nosotros estamos preparados con tecnología más fuerte y eficaz. En la batalla de IA contra IA, siempre estaremos un paso adelante.



Escribe un comentario