Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
28/12/2012
Consejos para evitar amenazas de seguridad
Una mayor concienciación acerca de los posibles riesgos para la seguridad es un paso fundamental para frustrar ataques malintencionados. Sin embargo, con demasiada frecuencia, las organizaciones públicas y privadas se ven obligadas a reconocer que los riesgos potenciales de seguridad son aún mayores cuando un atacante logra obtener privilegios de administrador, independientemente de si es un atacante externo o una amenaza interna.
Quest Software (ahora parte de Dell) tiene un profundo conocimiento de los problemas a los que se enfrentan las organizaciones que carecen del control y las auditorías adecuadas sobre los accesos de administración y las cuentas de superusuario.
Tal y como se recoge en un estudio realizado este año en la The Experts Conference, conferencia anual que reúne a profesionales de la informática de todo el mundo bajo el patrocinio conjunto de Quest y Microsoft, la mitad de las organizaciones encuestadas manifestaron que su principal problema normativo es garantizar la correcta asignación de los privilegios de acceso de los usuarios, incluyendo los accesos con privilegios. En el caso de la gestión de cuentas con privilegios, la situación es aún más problemática cuando los administradores reciben “las llaves del reino”, al obtener privilegios de acceso anónimo compartido a sistemas informáticos cruciales. En el sector privado, los errores y carencias a la hora de gestionar los accesos a la información y la adecuación a las normativas mediante mandatos de seguridad pueden conllevar pérdidas de ingresos, auditorías adversas y un deterioro generalizado de la marca. En las instituciones gubernamentales, por su parte, la gestión de los derechos de acceso plantea situaciones de alto riesgo, ya que anticiparse a las posibles amenazas emergentes es una cuestión de seguridad nacional. Tanto es así, que la gestión de las cuentas con privilegios queda recogida en varias certificaciones de seguridad, incluyendo las ISO 27001 y NIST 800-53. Un nuevo informe elaborado por Enterprise Management Associates para Quest, destaca los controles de accesos de administración incorrectos como “una de las lagunas de seguridad informática más indignantes en muchas organizaciones.”
El informe, titulado “Por qué debería replantearse la gestión de privilegios de acceso (y cosas que desconoce que debería conocer),” examina algunas de las excusas más frecuentes que ofrecen las compañías a la hora de justificar sus descuidos. Además el informe ofrece perspectivas de gran utilidad sobre cómo las prácticas modernas de administración de cuentas con privilegios (o PAM, por sus siglas en inglés), y las correspondientes soluciones tecnológicas pueden cubrir esas carencias de seguridad mediante un control flexible de las políticas, la automatización de los flujos de trabajo y el registro y seguimiento de todas las actividades, con el fin de aumentar la seguridad, cumplir las normativas y aumentar la eficiencia.
Con el fin de ayudar a los directores ejecutivos a evitar estos riesgos de seguridad, tristemente tan frecuentes, Quest ofrece tres prácticos consejos:
1. Asignar responsabilidades inpiduales a la actividad de los superusuarios
Los derechos de administración compartidos y mal gestionados no son una mera mala ocurrencia; suponen la forma más rápida y sencilla de exponer a toda una organización a riesgos innecesarios, ya que estas cuentas de superusuario suelen tener amplios privilegios sobre sistemas operativos, aplicaciones, bases de datos, etc. De compartirse las cuentas, cualquier posible fallo de seguridad o normativa podrá rastrearse a nivel de cuenta, pero no será posible determinar qué administrador la ha estado empleando.
Por ello, con el fin de contener posibles riesgos, convendrá adoptar un planteamiento por el que solo ofreceremos a los administradores privilegios de acceso sobre aquello que necesiten, cuando lo necesiten. Ni más, ni menos. Así, solo se emitirían las credenciales que fueran necesarias, en el momento en que fueran necesarias, acompañándolas de un registro auditado de quién las utiliza, quién ha aprobado su uso, para qué se han utilizado y cómo y por qué se han entregado. Una vez se hayan utilizado para el fin para el que estaban previstas, deberá cambiarse la contraseña de inmediato. La capacidad para automatizar y asegurar todo este proceso supone un medio eficaz para gestionar los derechos de administración de toda una organización. Del mismo modo, las prácticas PAM son fundamentales a la hora de garantizar la correcta colaboración entre agencias locales, estatales y federales, y pueden suponer la diferencia entre una correcta colaboración e intercambio de información entre todas las esferas del gobierno, o suponer un colapso total de dicha colaboración.
El resto de la noticia aquí.