Guerra cibernética, autodefensa y el dilema del defensor

Después de reflexionar, investigar y tomar unas copas de vino, he decidido hacer un análisis sobre la guerra cibernética…

Como actualmente vivo en Canadá, escribiré sobre este tema desde una perspectiva canadiense. Como la mayoría de las cosas en Canadá, tomamos nuestra guía de los Estados Unidos, y nuestro enfoque de la seguridad cibernética no es diferente. Los Estados Unidos tienen numerosas leyes y reglamentos que rigen el uso legal e ilegal de las computadoras en todo el país. Enumeré algunos de estos en mi última publicación de blog titulada La era de la guerra cibernética , por lo que no los reiteraré aquí.

Sin embargo, quiero reiterar que el mal uso de los sistemas puede causar consecuencias mayores de lo que uno podría imaginar. Cuando entré por primera vez en el campo de la seguridad cibernética, me encargaron ayudar a mi equipo a desarrollar e implementar un programa de gestión de vulnerabilidades. Como la mayoría de las cosas en tecnología de la información, uno tiene que aprender rápidamente y sentirse cómodo sin saber cuál será su próxima tarea. En tales situaciones, Google y Youtube se convierten en tus mejores amigos.

Mientras reunía toda la información necesaria para comenzar, era solo cuestión de tiempo antes de que me inundaran con las diversas leyes y regulaciones que rodean el programa. Por ejemplo, ¿sabía que es ilegal sondear un sistema si no tiene permiso del propietario del sistema para hacerlo?

Un buen amigo mío me envió la tesis de maestría de su hija mientras leía mi última publicación sobre guerra cibernética. La tesis titulada Canadian Hack-Back?: A Consideration of the Canadian Legal Framework for Private-Sector Active Cyber Defense , es una buena lectura y uno de los únicos trabajos académicos que he encontrado sobre este tema. Durante su investigación, la autora se encuentra con el término Defensa Cibernética Activa ("ACD"), que parece tener tantas definiciones como se le ocurren. Sin embargo, define ACD como “cualquier respuesta no gubernamental a las ciberamenazas o intrusiones utilizando medios técnicos, cuando esa respuesta tenga efectos fuera de la propia red del defensor”. Con esta definición, cada acción que realizaría un defensor se clasificaría como ACD, incluida la investigación de un sistema de infiltración. Tenga en cuenta que traigo su tesis a esta publicación, no como una crítica o evaluación, sino simplemente para resaltar cuán complejo puede volverse este tema.

Como no soy abogado ni por asomo, dejaré el resto de las discusiones legales a los profesionales. Sin embargo, dado que la seguridad cibernética ahora toca cada parte de nuestras vidas, los profesionales de seguridad cibernética ahora deben estar capacitados para cumplir con todas estas leyes y poder brindar un servicio competente a sus clientes. Esto crece gradualmente hasta convertirse en una falla vital en el espacio de la ciberseguridad: hay una falta de profesionales de ciberseguridad experimentados, competentes y calificados. Imagínese tener que proteger cualquier cosa y todo lo que tenga un chip, que sea de naturaleza sensible e involucre a personas que tienen tantos defectos como yo...

Como sabrá cualquier profesional de la seguridad cibernética, la seguridad cibernética se divide aproximadamente en 8 dominios:

1. Seguridad y Gestión de Riesgos

2. Seguridad de activos

3. Arquitectura e Ingeniería de Seguridad

4. Comunicaciones y Seguridad de Redes

5. Gestión de identidad y acceso

6. Evaluación y pruebas de seguridad

7. Operaciones de seguridad

8. Seguridad de desarrollo de software

   
   

Cada dominio contiene subsecciones que cubren las personas, los procesos y la tecnología de una organización. Algunas de estas secciones contienen áreas que quizás no crea que están asociadas con la cibernética. Por ejemplo, ¿sabía que la supresión de incendios, la mitigación de llanuras aluviales y la iluminación exterior pueden clasificarse como seguridad cibernética? Yo tampoco, hasta que me di cuenta de que un sistema no se puede asegurar si está en llamas, anegado o robado al amparo de la noche. Baste decir que la seguridad cibernética involucra muchas áreas, cada una de las cuales debe ser protegida por un profesional experimentado.

Defensa de seguridad cibernética

A medida que comenzamos a comprender qué tan amplia es realmente la seguridad cibernética, podemos comenzar a comprender lo importante que es evitar ataques a nuestros sistemas en primer lugar. Sin embargo, parece que nos enfrentamos a una batalla cuesta arriba y cada paso adelante encuentra resistencia.

Hay algunos elementos que debilitan nuestra postura de seguridad cibernética desde el principio. Por un lado, la nueva computadora que compra en una tienda de confianza no es tan segura como cree. Por ejemplo, ¿alguna vez ha notado programas instalados en su computadora que no desea, como una versión de prueba de un programa antivirus o una suite de juegos? Esto se llama bloatware y abre su computadora a los ataques. ¿Qué pasa con los 'Servicios de ubicación' y el Asistente de voz AI 'Cortana' en Windows? Estos servicios pueden exponer su ubicación física, así como hacer que Microsoft tome una huella digital de su patrón de voz. Deshabilite estos servicios para reducir su superficie de ataque.

Otro problema es que la mayoría de los dispositivos inteligentes, como los relojes inteligentes y los televisores inteligentes, son vulnerables a los ciberataques básicos. Por lo general, estos dispositivos no son tan seguros como las computadoras portátiles o de escritorio, ya que la seguridad no es la primera consideración en la fabricación de estos dispositivos. Un ejemplo extremo pero bueno de esto es el ciberataque que ocurrió a través del sensor de la pecera de un casino .

Un punto más a considerar es que los usuarios de computadoras no suelen ser ciberconscientes. Por ejemplo, ¿sabías que puedes sufrir miles de ciberataques sin siquiera darte cuenta? Esto se puede hacer a través de correos electrónicos de phishing , ataques de denegación de servicio y violaciones de datos (por ejemplo, la violación de datos de Equifax de 2017 ). Sin mencionar que la mayoría de las personas reutilizan contraseñas débiles para la mayoría de sus cuentas. Eres culpable, y yo también lo era hace varios años. Por favor, hazme un favor a mí y al resto de la sociedad y deja de usar ' 123456' como tu única contraseña.

Creo que es seguro decir que las probabilidades están en nuestra contra. Sin embargo, ha habido cierto progreso hacia un mundo ciberseguro en los últimos años debido al costo creciente de los ataques cibernéticos. Hay esperanza, pero aún queda mucho trabajo por hacer en este sentido. Entonces, si está interesado en cambiarse al mundo de la seguridad cibernética, ahora es un buen momento.

Ofensa de seguridad cibernética

Al entrar en el tema de las tácticas ofensivas, es importante tener en cuenta que cualquier ataque invita a una respuesta de la víctima. Una agresión física a alguien invita a tomar represalias en forma de defensa propia, que puede variar desde un simple golpe hasta un golpe que puede matar.

Con esto en mente, hay dos preguntas que quiero discutir:

1. Si se produce un ciberataque en nuestros sistemas, ¿tenemos derecho a responder en defensa propia?

2. Si tenemos derecho a responder en defensa propia, ¿hasta qué punto podemos responder?

   
   

En el mundo físico, si somos provocados o dañados por otra persona, como sociedad hemos decidido una respuesta aceptable a través de la autodefensa. Si una persona intenta lastimarme, tengo derecho a defenderme. Y aunque tengo derecho a defenderme, me toca a mí en ese momento decidir si actúo con ese derecho. Como alguien que actualmente está aprendiendo un arte marcial, todo lo que tengo que decir es que responderé a un ataque de alguna manera. Usted ha sido advertido.

En el mundo digital, sin embargo, el tema de la legítima defensa se vuelve muy complejo. Para empezar, nunca puedes estar 100% seguro de quién te dañó (o cometió un ataque cibernético en tu sistema). La mayoría de los ataques cibernéticos tienen lugar desde un sistema comprometido de un tercero inocente y no desde la máquina del atacante real. Esto es por diseño, ya que se vuelve difícil, si no imposible, averiguar quién, qué, cuándo, dónde, por qué y cómo del ataque. Y así, incluso si tuviera la capacidad de lanzar un ataque cibernético a gran escala contra el sistema perpetrador, podría estar atacando a un transeúnte inocente haciendo que tome medidas contra sus sistemas... una profecía autocumplida.

Otro problema es que un ataque cibernético puede causar un daño significativo a un sistema, causando consecuencias imprevistas ya que el sistema atacado puede estar conectado a cientos, si no miles de otros sistemas, tanto en tecnología como en el mundo geopolítico. Por ejemplo, si un ataque cibernético logró cerrar un oleoducto, una nación puede quedarse sin petróleo hasta que los sistemas afectados puedan volver a estar en línea de manera segura. El incidente del ransomware del oleoducto colonial es un ejemplo de esto, ya que el sureste de los Estados Unidos experimentó una escasez de petróleo debido al ataque.

El tercer problema con las represalias es el de la responsabilidad y la posibilidad de escalamiento. ¿Quién es responsable de los daños causados por la represalia? Incluso si el ataque cibernético dañó los sistemas del atacante, ¿quién puede decir que no responderá de la misma manera? Si la represalia no la realiza un profesional, entonces la posibilidad de que un atacante descubra quién eres y qué sistemas atacar está casi garantizada. ¿Está preparado para manejar un ataque cibernético a gran escala no solo en sus sistemas sino también en su identidad, familia y amigos? ¿Quién sabe hasta dónde llegará el ataque?

Creo que es seguro decir que la mayoría de las personas no están preparadas para esta cantidad de consecuencias.

Por el bien del argumento, digamos que la respuesta a nuestra primera pregunta es sí. La siguiente pregunta es ¿hasta qué punto podemos responder a un ciberataque? Podemos hacer la respuesta más básica en la forma de sondear un sistema para ver si está encendido o apagado. También podemos cometer una denegación de servicio a gran escala, un ransomware o un ataque de fuerza bruta en los sistemas del perpetrador. ¿Dónde trazamos la línea? O la mejor pregunta es ¿cuál es la respuesta adecuada para cada ataque que experimentamos?

Si detectamos un atacante escaneando nuestros sistemas en busca de vulnerabilidades, ¿sería apropiado hacer lo mismo? ¿Qué pasa si un atacante envía un correo electrónico de phishing a nuestras direcciones de correo electrónico, podemos intentar estafarlo de alguna manera? ¿Podemos realizar un ataque de phishing si recibimos un ataque de ransomware? Creo que puedes ver a dónde voy con esto, no hay una buena respuesta a esta pregunta. La verdad es que nunca tendremos toda la información necesaria para llevar a cabo un ataque cibernético "de manera segura" en un sistema perpetrador. Las preguntas son infinitas y ni siquiera hemos hablado de la moralidad y la ética de todo esto. Dejaré ese tema para otro día.

Pensamientos finales

Tengo que admitir que me gusta el concepto de defensa personal cibernética, pero en mi opinión, simplemente no es factible hacerlo. Hay muy pocos profesionales, demasiados dispositivos inseguros y demasiados riesgos si las personas o las empresas comienzan a 'contraatacar'. Es con esto que siempre existirá el Dilema del Defensor: los atacantes siempre estarán un paso por delante de los defensores. El único caso en el que podría ver 'retroceso' como una opción es si la población mundial estuviera en riesgo a través de un evento similar a la Guerra Mundial. En este caso, la vida normal de todos se vería interrumpida y realmente no importaría que estuvieran ocurriendo ataques cibernéticos, ya que habría asuntos más urgentes que atender, como la lluvia nuclear, el hambre, los asesinatos y las enfermedades. Oremos para que no llegue a eso...

De todos modos, espero que esto sea útil para aquellos de ustedes que leen mi blog. Siempre digo que esta carrera no la elegí yo, ella me eligió a mí. Seguiré escribiendo sobre los temas que me importan y que creo que aportan valor a la sociedad.

Como siempre, estoy disponible si tiene alguna pregunta, comentario o inquietud sobre lo que escribo.

¡Paz, amor y todas esas cosas de la felicidad!

También publicado aquí.