Las claves SSH están por todas partes. Sin embargo, a pesar de su uso generalizado y su acceso de alto privilegio, a menudo son ignoradas por los equipos de TI y seguridad. Mientras tanto, los actores maliciosos buscan explotar claves no gestionadas y desprotegidas para realizar ataques SSH y propagarse por las redes sin ser detectados.
En este blog, analizaremos el problema subyacente de la proliferación de claves SSH y cómo prevenir los ataques SSH emergentes, como FritzFrog y Lemon_Duck, mediante la implementación de prácticas adecuadas de gestión y seguridad de claves.
La importancia de las claves SSH
El protocolo SSH se implementa en millones de servidores Linux y Unix en casi todas las redes empresariales. Las claves SSH se utilizan ampliamente en estos entornos (en lugar de contraseñas) para asegurar el acceso remoto y los procesos automatizados entre sistemas y máquinas.
En resumen, las claves SSH desempeñan un papel fundamental en la seguridad empresarial, al permitir conexiones cifradas y de confianza a otros sistemas, ya sean locales o en la nube.
Las claves SSH gestionadas correctamente ofrecen comodidad y una seguridad mejorada, protegiendo a la empresa de escuchas y de la interceptación de tráfico, mientras que impiden que los adversarios obtengan acceso no autorizado y descifren los datos transmitidos.
A diferencia de la autenticación por contraseña, las claves protegidas y gestionadas eficazmente son resistentes a los ataques de fuerza bruta SSH y protegen contra vectores de ataque utilizados para obtener acceso a sistemas remotos. El nivel de ciberresiliencia que ofrecen las claves SSH es crucial, especialmente si consideramos la dependencia de las empresas de tecnologías como el IoT y las plataformas multinube, y tendencias como el trabajo remoto, que aprovechan la identidad como perímetro corporativo.
Debido a la importancia de las claves SSH, las organizaciones que emplean el protocolo SSH deben proteger sus claves para salvaguardar la confianza de sus sistemas.
¿Qué es la proliferación de claves SSH?
La proliferación de la computación de borde (edge-computing), los entornos multinube, las prácticas DevOps y el IoT ha provocado una explosión de claves en los entornos corporativos. De hecho, grandes empresas, agencias gubernamentales, bancos y proveedores de tecnología a menudo tienen cientos de miles o incluso millones de identidades SSH automatizadas, basadas en scripts o de otro tipo no interactivas.
Sin embargo, el número exacto de claves SSH a menudo es desconocido y no se rastrea. Existen muchas razones que contribuyen a una situación bastante caótica.
En primer lugar, es demasiado fácil para los administradores de sistemas generar claves SSH utilizando la línea de Command sin ningún tipo de aprobación o la necesidad de adherirse a la política de gestión de acceso corporativa. Esto conduce a una proliferación de claves SSH no gestionadas utilizadas para casos de uso y procesos específicos.
Además, sin procesos establecidos para eliminar claves cuando los empleados cambian de rol o abandonan la organización, sus claves correspondientes a menudo permanecen inactivas y olvidadas en los sistemas host. La falta de visibilidad de todas las claves SSH y las relaciones de confianza dificulta mucho la rotación y eliminación de claves, hasta el punto de que los equipos de seguridad simplemente evitan el proceso por temor a interrumpir las operaciones.
El resultado final es que los procesos y prácticas deficientes de gestión de claves SSH crean una situación en la que se generan cada vez más claves, y muchas quedan huérfanas y perdidas en la inmensidad de las redes empresariales. Sin embargo, la parte más aterradora de la historia es que estas claves “olvidadas” siguen siendo válidas, proporcionando acceso privilegiado o incluso de root a sistemas y datos críticos.
Las claves SSH desconocidas, no rastreadas y mal gestionadas presentan un problema de gestión de riesgos tan grave (pero evitado) que a menudo se le denomina “el elefante en la habitación”.
Riesgos de la proliferación de claves SSH
Considerando el nivel de acceso privilegiado que permiten las claves SSH, no es de extrañar que las claves mal gestionadas expongan a las organizaciones a una considerable superficie de ataque SSH. A pesar de ello, la seguridad de estas claves ha sido en gran medida ignorada.
Las cuentas asociadas con las claves SSH a menudo no respetan los principios de mínimo privilegio y otorgan más acceso del necesario, como permitir la ejecución de cualquier Command (root). Además, las claves SSH para el acceso automatizado en activos y sistemas corporativos suelen proporcionar muchos más puntos de entrada a los servidores que las cuentas de usuario interactivas. Un porcentaje considerable de estas claves concede acceso a cuentas administrativas o sensibles, como las que almacenan archivos de bases de datos o Software crítico.
Las claves SSH también se utilizan para establecer relaciones de confianza al comunicarse con otras organizaciones, sistemas externos o usuarios independientes. Las claves SSH no gestionadas pueden convertir estas relaciones de confianza en violaciones de políticas, como pasar de sistemas de desarrollo y prueba a sistemas de producción o cruzar de un sistema de bajo impacto a uno de alto impacto, sin requerir autenticación adicional.
Lo que es más importante, las relaciones de confianza rotas basadas en claves SSH pueden permitir que un atacante que compromete un sistema pivote rápidamente de un sistema a otro y se propague por una organización; las relaciones de confianza individuales a menudo forman colectivamente redes de confianza a través de los sistemas de una organización.
Las Claves SSH Son un Problema Crítico de Gestión
La verdad es que las claves SSH presentan un problema de gestión real con un perfil de alto riesgo.
Las claves SSH son objetivos atractivos para actores maliciosos, ya que se utilizan ampliamente para asegurar el acceso a sistemas de misión crítica, incluyendo servidores, routers, firewalls, appliances de seguridad y otros dispositivos a través de cuentas con privilegios elevados.
Estos privilegios elevados pueden obtenerse a través de una única clave SSH, que puede haber sido generada fuera del proceso de gestión de claves, para permitir a un actor malicioso acceder a un servidor.
A partir de ahí, los privilegios elevados pueden utilizarse para encontrar o crear una nueva clave que permita el acceso a otro servidor, permitiendo a los criminales moverse lateralmente, realizar vigilancia y escapar con datos valiosos.
La gestión de claves SSH es evidentemente vital para garantizar la confianza en los procesos de acceso interactivos y automatizados en todas las organizaciones. Sin embargo, la gestión de claves SSH es una tarea difícil.
Aunque las claves SSH son un componente clave de una sólida Gestión de Identidad y Acceso (IAM), en muchos casos estas claves han sido completamente pasadas por alto. La causa raíz de este problema crítico es el uso de métodos y procesos manuales para gestionar el número cada vez mayor de claves SSH.
Esto resulta en una falta de visibilidad de las claves que posee una empresa. No tener visibilidad de las claves que poseen dificulta el mapeo de esas claves a todos los dispositivos y usuarios asociados. La proliferación de dispositivos IoT y entidades y servicios no-usuario solo empeora las cosas.
Además, la falta de visibilidad conduce a implementaciones SSH vulnerables, ya que las empresas no pueden implementar procesos sólidos para la rotación y eliminación de claves, ya sea en respuesta a incidentes de seguridad o con fines administrativos (rotación de personal).
Comience con Visibilidad y Control
Una IAM eficaz y eficiente comienza con tener visibilidad y control sobre sus identidades. Las identidades son la credencial más importante en los entornos empresariales modernos. Simplemente no puede permitirse identidades sin control, sin seguimiento y mal gestionadas.
Las claves SSH son una parte importante y crucial de sus procesos de IAM organizacionales y deben ser protegidas contra el compromiso. La mejor manera de hacerlo es recuperando el control de quién las posee, dónde se encuentran, cuál es su propósito y cuándo se requiere su rotación.
Sin mecanismos de gestión de control, no podrá salvaguardar la confidencialidad e integridad de sus activos.
La gestión de identidad y acceso es la base de cualquier negocio moderno, ya que aborda la necesidad organizacional básica de poder identificar de forma fiable a usuarios y máquinas, y de poder controlar qué entidades obtienen acceso a qué recursos.
Evalúe los riesgos de las claves SSH mal gestionadas en su organización y aprenda cómo lograr prácticas de seguridad SSH en este whitepaper.
