Accesos privilegiados excesivos en la nube, un alto riesgo para las compañías

Casi cuatro de cada 10 organizaciones en todo el mundo están expuestas a altos niveles de riesgo. En México, el 77% de los profesionales de TI y seguridad creen que la nube es su mayor área de riesgo.

Robert Huber, CISO de Tenable. Foto: Portal ERP México.

En el marco del mes de la ciberseguridad, Tenable dio a conocer los detalles de su Cloud Risk Report 2024 que analiza los peligros a los que se enfrentan las empresa al mover sus cargas en la nube.

En el mundo digital moderno, las exposiciones cibernéticas son riesgos que tienen el poder de causar pérdidas y daños irreparables en el negocio. A medida que la nube se vuelve crucial para las operaciones, el panorama de riesgos sigue evolucionando, creando nuevos puntos ciegos que dan paso a vulnerabilidades.

Según datos de Tenable, casi cuatro de cada 10 organizaciones en todo el mundo están expuestas a altos niveles de riesgo. En México, el 77% de los profesionales de TI y seguridad creen que la nube es su mayor área de riesgo.

Este nivel de riesgo se debe a lo que Tenable denominó la “tríada tóxica en la nube”, es decir, tres vías de ataque de alto riesgo: cargas de trabajo expuestas públicamente, críticamente vulnerables y altamente privilegiadas; cargas de trabajo expuestas públicamente, cargas que están críticamente vulnerables y tiene con accesos privilegiados excesivos, convirtiéndose en grandes objetivos para actores malintencionados.

“En la nube tenemos muchas veces activos que son accesibles de manera pública, es decir, están expuestos al internet. Eso no necesariamente está mal, pero cuando los usuarios tienen accesos privilegiados excesivos, y además hay una vulnerabilidad crítica, se forman los ingredientes perfectos para una tormenta. Desafortunadamente, un porcentaje muy alto de compañías que nosotros analizamos tienen al menos una criada tóxica”, comentó Javier Salazar, Gerente de Canales para México.

Te recomendamos: Visibilidad de los ambientes de nube, clave para la ciberseguridad: Tenable

Por su parte, Robert Huber, CISO de Tenable, recomienda hablar con los directivos en términos de negocio, para poder reflejar de manera adecuada el nivel de exposición que podrían tener: “Las empresas deben de entregar este tipo de información en términos de negocios. Puede haber información de clientes expuesta públicamente, personas que tienen demasiados privilegios de acceso, así como vulnerabilidades críticas, eso tiene significado para mí como líder de seguridad, pero cuando hablo con un CEO o la junta directiva, reformulo esto y digo que esto impacta al 45% de nuestros ingresos o podemos perder cierto porcentaje de clientes. Eso llamará más su atención, no las vulnerabilidades, ni la exposición, es la relación directa con el impacto en el negocio y clientes”.

Cada una de estas desviaciones por sí sola, introduce un riesgo para los datos de la nube, pero la combinación de las tres aumenta drásticamente la probabilidad de acceso de exposición por parte de los atacantes cibernéticos. Las brechas de seguridad causadas por errores de configuración, derechos riesgosos y vulnerabilidades se combinan para aumentar drásticamente el riesgo en la nube.

El Cloud Risk Report 2024 de Tenable destaca áreas como las identidades y la gestión de los permisos, las cargas de trabajo, los recursos de almacenamiento, las vulnerabilidades, los contenedores y Kubernetes. En concreto, como los datos en la nube expuestos públicamente y altamente privilegiados provocan fugas de datos. Las vulnerabilidades críticas exacerban la probabilidad de incidentes.

El informe revela que un 38% de las organizaciones tienen cargas de trabajo en la nube que cumplen con los tres criterios de esta tríada tóxica en la nube, lo que representa una tormenta de exposición perfecta para que los atacantes cibernéticos la aprovechen.

Cuando los agentes maliciosos explotan estas exposiciones, los incidentes comúnmente incluyen interrupciones de aplicaciones, tomas completas de sistemas y ataques DDoS que a menudo están asociados con ransomware. Escenarios como estos podrían devastar a una organización, siendo que el costo promedio en 2024 de una sola filtración de datos fue de cerca de USD 5 millones.

“Las tecnologías que se ejecutan en la nube deben estar supervisadas siempre por un equipo de ciberseguridad, desde sus inicios y en todo el proceso, deben entender cómo se configura, cómo se protege y cómo mantenerla. Casi siempre hay una brecha en el deseo de cualquier organización de implementar nuevas tecnologías y capacidades, y los procesos de protección, desde la tecnología hasta la educación, capacitación o el conocimiento de los equipos de seguridad para apoyarlos y asegurarlos, pero pasarlo de largo trae como consecuencia configuraciones erróneas, brechas y acceso público”, puntualizó el CISO de Tenable.

Hallazgos clave del Cloud Risk Report :

• El 84% de las organizaciones tienen claves de acceso riesgosas a los recursos en la nube: la mayoría de las organizaciones (84,2%) poseen claves de acceso no utilizadas o de larga data con permisos excesivos críticos o de alta gravedad, lo que representa una brecha de seguridad significativa que plantea un riesgo sustancial.
• El 23% de las identidades en la nube tienen permisos excesivos de gravedad crítica o alta: un análisis de Amazon Web Services (AWS), Google Cloud Platform (GCP) y Microsoft Azure revela que el 23% de las identidades en la nube, tanto humanas como no humanas, tienen permisos excesivos críticos o de alta gravedad.

“Tener una nube no garantiza una seguridad inherente entregada por el proveedor; tenemos que validar cuál es nuestra posición, cuáles son nuestros data posts, cuáles son las identidades y acceso, para saber cuáles son los accesos que no deben estar, cuáles son los usuarios super privilegiados que tenemos en la nube que podrían causar un problema. Específicamente en México hemos visto que 68% de las empresas muestran una preocupación inherente en términos de seguir la seguridad en la nube”, comentó Arturo Barquin, Director Senior Tenable América Latina.

• Las vulnerabilidades críticas persisten: en particular, CVE-2024-21626, una vulnerabilidad grave de escape de contenedores que podría provocar riesgo en el host de servidor, permaneció sin corregir en más del 80% de las cargas de trabajo, incluso 40 días después de su publicación.
• El 74% de las organizaciones tienen almacenamiento expuesto públicamente: 74% de las organizaciones tienen activos de almacenamiento expuestos públicamente, incluidos aquellos en los que residen datos confidenciales. Esta exposición, frecuentemente debida a permisos innecesarios o excesivos, se ha relacionado con un aumento en los ataques de ransomware.

“La nube ofrece muchos beneficios a los usuarios: permite hacer despliegues rápidos, ofrece escalabilidad para hacer frente a altos picos de demanda, entre otros. Sin embargo, muchos usuarios creen que la seguridad en estos ambientes es responsabilidad del proveedor de nube y la verdad es que no. La seguridad del entorno es responsabilidad del propio usuario, no importa si hablamos de los grandes nombres de esta industria nube como es Microsoft Azure, AWS o Google Cloud. No estar conscientes de este tema es lo que hace que la nube se convierta en riesgos y posibles brechas de seguridad”, agregó Javier Salazar.

• El 78 % de las organizaciones tienen servidores API de Kubernetes de acceso público: de ellas, 41% también permite el acceso a Internet entrante. Además, 58% de las organizaciones tienen vinculaciones de roles de administrador de clústeres, lo que implica que determinados usuarios tienen un control sin restricciones sobre todos los entornos de Kubernetes.

Equipo de Tenable: Arturo Barquin, Director Senior para América Latina; Javier Salazar, Gerente de Canales para México; y Robert Huber, CISO. Foto: Portal ERP México.

“Actualmente existen muy pocas capacidades para proteger la inteligencia artificial porque todos estamos empezando a usarlo, y está empezando a aparecer en muchos negocios, pero los negocios aún no tienen certeza de cómo protegerlo, y sus equipos tampoco están capacitados para hacerlo. Esto es un reto, y es una decisión de negocio que les pido a los líderes ejecutivos que tomen, al CFO, al CEO, o al director legal. Los CISO debemos analizar el riesgo para la empresa y decirles cuando es posible que no podamos proteger un ambiente por completo. Ellos deben decidir si quieren aceptar el riesgo; puede que esa nueva tecnología les ayude a generar millones de beneficios y pueden pensar que es un riesgo aceptable, pero el CISO no puede tomar esa decisión”, finalizó el CISO de Tenable.