Una guía para CIS Control 10: Defensas contra malware

El Control 10 de CIS Critical Security Controls versión 8 se centra en las defensas contra malware. Describe las medidas de protección para prevenir o controlar la instalación, propagación y ejecución de aplicaciones, código y scripts maliciosos en los activos empresariales. (En la versión 7 de CIS, este tema estaba cubierto por el Control 8.)

El malware, especialmente el ransomware, se ha convertido en un problema de seguridad urgente en los últimos años. El ransomware restringe a los usuarios el acceso a sus sistemas o información, amenazando típicamente con publicar o destruir los datos a menos que el propietario pague un rescate. Las predicciones de expertos indican que para 2031, habrá un nuevo asalto cada 2 segundos y los costos del ransomware alcanzarán los $265 mil millones por año.

El software malicioso está diseñado para ayudar a los atacantes a obtener acceso y control sobre sistemas y redes, generalmente con la intención de extraer datos sensibles. Además del ransomware, el malware puede presentarse en forma de un trojan horse que se disfraza como un programa regular; viruses and worms que alteran los sistemas afectados para servir a los propósitos del atacante; y más. El malware aumenta el riesgo empresarial al robar datos, capturar credenciales, cifrar o destruir datos e identificar otros objetivos en su red.

Los signos de una infección por malware pueden incluir:

• Spam y anuncios emergentes
• Un sistema lento o congelado
• Caídas frecuentes
• Procesos y servicios desconocidos que se están creando o iniciando
• Se están creando nuevos archivos o carpetas sin permiso
• Redirecciones desde sitios web conocidos hacia sitios desconocidos

Las amenazas de malware pueden evolucionar y adaptarse utilizando técnicas de aprendizaje automático, y pueden ingresar a los sistemas de su organización a través de múltiples vulnerabilidades mientras evitan, engañan y desactivan las defensas contra ellas.

Para proteger su organización de infecciones por malware y garantizar una respuesta rápida a incidentes, siga las salvaguardias detalladas a continuación en el CIS Control 10.

10.1. Implemente y mantenga software anti-malware en todos los activos empresariales

El software anti-malware identifica malware utilizando diferentes técnicas, incluyendo:

• Definiciones o firmas — Cada pieza de malware tiene una definición o firma que puede ser capturada y almacenada en una base de datos. Las soluciones anti-malware realizan escaneos continuos y comparan el código que entra o está presente en el sistema con las firmas en la base de datos para identificar y marcar el malware.
• Análisis heurístico — Dado que los cambios de código ocurren con frecuencia, las heurísticas se utilizan para identificar malware por su comportamiento y características en lugar de comparar el código con una firma. Pueden ayudar en la detección de malware previamente no descubierto.
• Sandboxing— Las soluciones anti-malware utilizan esta técnica de prueba para ejecutar un programa sospechoso en un espacio protegido y monitorean su comportamiento como si tuviera acceso completo al sistema. Si determina que el programa es malicioso, el anti-malware lo termina. De lo contrario, se le permite ejecutar fuera del sandbox.

Una vez que se identifica el malware, la mayoría del software anti-malware puede eliminarlo o ponerlo en cuarentena en un archivo protegido. El software anti-malware no es 100% efectivo, pero sigue siendo un elemento de seguridad esencial.

10.2. Configure actualizaciones automáticas de firmas de antimalware

Las firmas (definiciones) son algoritmos o hashes únicos para un tipo específico de malware. Las herramientas anti-malware comparan archivos en sus sistemas contra un conjunto de firmas para detectar malware.

Debido a que el malware cambia y se adapta todo el tiempo, el anti-malware debe adaptarse junto con él para seguir siendo efectivo. Las actualizaciones son el único método para asegurar que el anti-malware reconozca el código malicioso más reciente.

Las actualizaciones automáticas son más eficientes y fiables que pedir a los usuarios o a tu equipo de TI que instalen las actualizaciones. Las actualizaciones pueden lanzarse cada hora o cada día, y cualquier retraso en la instalación puede dejar tu sistema vulnerable a actores maliciosos.

10.3. Deshabilite la ejecución automática y la reproducción automática para medios extraíbles

Los medios extraíbles, como las unidades flash y los discos duros portátiles, son susceptibles al malware, al igual que cualquier otro sistema informático. Estos medios pueden configurarse para descargar, instalar, reproducir o ejecutar programas automáticamente en el momento en que los conectas a tu computadora. El malware puede infectar tu dispositivo antes de que puedas detenerlo.

Al deshabilitar la funcionalidad de auto-ejecución como parte de su gestión de configuración segura, puede prevenir malware infecciones que podrían causar violaciones de datos, tiempo de inactividad del sistema, daño a la reputación y pérdidas financieras.

10.4. Configurar el escaneo automático de malware en medios extraíbles

Algunos hackers dejan unidades thumb drive tiradas, esperando a que alguien las recoja y las conecte, aunque sea solo por curiosidad. Otras veces, los medios extraíbles que están fuera de tu control pueden tener malware instalado, o podrían usarse para transferir malware de un sistema a otro, inadvertida o intencionadamente.

Configurar su software antivirus para que escanee automáticamente los medios extraíbles inmediatamente después de conectarlos ayuda a detectar malware y ponerlo en cuarentena o terminarlo antes de que pueda infectar el sistema al que se ha conectado. Las mejores prácticas sugieren limitar el uso de medios extraíbles y practicar un control estricto sobre su paradero. La formación en grupo es útil para crear conciencia sobre los riesgos de los medios extraíbles.

10.5. Habilite las características antiexplotación

Este control sugiere habilitar características antiexplotación en activos empresariales y software donde sea posible. Ejemplos incluyen Microsoft Data Execution Prevention (DEP), Windows Defender Exploit Guard (WDEG) y Apple System Integrity Protection (SIP) y Gatekeeper.

Las características antiexplotación ofrecen protección genérica contra exploits en lugar de buscar malware conocido como antivirus o antimalware basado en firmas. La mayoría están integradas en los sistemas operativos actuales para prevenir la penetración de malware, pero las características están desactivadas por defecto, por lo que debes habilitarlas para aprovecharlas.

La seguridad antiexplotación es especialmente efectiva contra los exploits más comunes que causan infecciones masivas, como sitios de descargas drive-by, campañas de phishing y iframes maliciosos. Estas características también mitigan las vulnerabilidades de día cero, que son vulnerabilidades previamente desconocidas para las cuales aún no hay parches o soluciones disponibles. Las funciones también ayudan a detener desbordamientos de búfer y otros ataques de corrupción de memoria.

10.6. Gestione centralizadamente el software antimalware

Si tiene varias soluciones anti-malware que no se comunican entre sí, corre el riesgo de no poder detectar malware o tendencias en toda la empresa. Debe tratar cada silo por separado.

Cierre esta brecha de seguridad con la implementación de una única solución anti-malware gestionada de manera centralizada que escanea e informa sobre cada dispositivo en su organización. Hacerlo reduce la experiencia que necesita para cubrir diferentes soluciones y asegura que no se pierda nada porque se cayó entre las grietas de las soluciones. Y en caso de una violación de datos, solo necesita buscar en un lugar para obtener información.

10.7. Utilice software antivirus basado en el comportamiento

Las soluciones basadas en firmas solo identifican código que ya es conocido. El malware de hoy en día a menudo es lo suficientemente inteligente para evadir estas herramientas mediante ambigüedades incorporadas que resultan en ejecuciones de código variables.

Las soluciones basadas en comportamiento pueden identificar archivos maliciosos que las soluciones basadas en firmas no reconocerían porque pueden analizar cada línea de código y todas sus acciones potenciales. Por ejemplo, estas soluciones pueden analizar la ejecución de instrucciones a nivel del sistema operativo; código de rootkit de bajo nivel; y archivos, procesos y servicios internos críticos o irrelevantes.

Sin embargo, el software basado en comportamiento tiene algunas desventajas. Mientras que el anti-malware basado en firmas identifica el malware en tiempo real, el software anti-malware basado en comportamiento tiene cierta latencia incorporada debido a la necesidad de análisis dinámico en múltiples dimensiones. Además, es poco probable que las soluciones basadas en comportamiento detecten malware con capacidades anti-sandbox.

Por el lado positivo, el software antivirus basado en comportamiento ofrece flexibilidad para encontrar diferentes formas de malware desconocidas para el software basado en firmas. Mejora la detección de intrusiones, el análisis de amenazas y la analítica de usuarios, y permite crear o modificar políticas para permitir o prohibir requisitos específicos para su industria u organización. La mayoría del software basado en comportamiento sigue un mecanismo de control basado en políticas, por lo que la flexibilidad es importante para fines administrativos.

Más consejos para la prevención y mitigación de malware

• Usar secure authentication methods, incluyendo contraseñas seguras, autenticación multifactor (MFA) o herramientas biométricas
• Utilice cuentas de administrador solo cuando sea absolutamente necesario.
• Adhiérase al modelo de mínimo privilegio: Otorgue a los usuarios el acceso mínimo a las capacidades del sistema, servicios y datos que necesitan para completar su trabajo.
• Implemente soluciones de seguridad de correo electrónico y protección contra el spam.
• Fomente la conciencia sobre las tácticas comunes de malware y mantenga a los usuarios informados sobre las tendencias y mejores prácticas de ciberseguridad. En particular, aconséjeles que solo se unan a redes seguras utilizando VPNs cuando trabajen fuera de la oficina.
• Anime a los usuarios a informar sobre comportamientos inusuales del sistema.

Resumen

Seguir CIS critical security controls puede ayudar a una empresa a fortalecer la seguridad, lograr el cumplimiento normativo y mejorar la resiliencia empresarial, tanto en las instalaciones como en la nube.

El Control 10 recomienda utilizar tanto herramientas antimalware basadas en comportamiento como herramientas basadas en firmas con actualizaciones automáticas activadas, y gestionar el software de manera centralizada. También asegúrese de habilitar las funciones antiexplotación en sus sistemas operativos y controlar estrictamente el uso de medios extraíbles en sus dispositivos, si es que permite su uso. Siguiendo estas mejores prácticas, puede reducir su riesgo de una infección devastadora por malware.