Las claves SSH están en todas partes. Sin embargo, a pesar de su uso generalizado y su acceso con privilegios elevados, los equipos de TI y de seguridad suelen pasarlas por alto. Mientras tanto, los actores maliciosos tratan de explotar las claves no gestionadas y desprotegidas para realizar ataques SSH y propagarse por las redes sin ser detectados.
En este blog, analizaremos el problema subyacente de la proliferación de claves SSH y cómo prevenir los ataques SSH emergentes, como FritzFrog y Lemon_Duck, mediante la implementación de prácticas de seguridad y gestión de claves adecuadas.
La importancia de las claves SSH
El protocolo SSH está implantado en millones de servidores Linux y Unix de casi todas las redes empresariales. En estos entornos se utilizan mucho las claves SSH (en lugar de contraseñas) para proteger el acceso remoto y los procesos automatizados entre sistemas y máquinas.
En resumen, las claves SSH desempeñan un papel fundamental en la seguridad de las empresas, ya que permiten conexiones cifradas y de confianza a otros sistemas, que pueden estar en las instalaciones o en la nube.
Las claves SSH correctamente gestionadas ofrecen comodidad y mayor seguridad, protegiendo a la empresa de escuchas e interceptación del tráfico, al tiempo que impiden a los adversarios obtener acceso no autorizado y descifrar los datos transmitidos.
A diferencia de la autenticación por contraseña, las claves protegidas y gestionadas eficazmente son resistentes a los ataques de fuerza bruta SSH y protegen contra los vectores de ataque utilizados para acceder a sistemas remotos. El nivel de ciberresiliencia que ofrecen las claves SSH es crucial, sobre todo si tenemos en cuenta la dependencia de las empresas de tecnologías como IoT y las plataformas multinube, y tendencias como el trabajo remoto, que aprovechan la identidad como perímetro corporativo.
Debido a la importancia de las claves SSH, las organizaciones que emplean el protocolo SSH deben proteger sus claves para salvaguardar la confianza de sus sistemas.
¿Qué es la proliferación de claves SSH?
La proliferación del edge-computing, los entornos multicloud, las prácticas DevOps y IoT han provocado una explosión de claves en los entornos corporativos. De hecho, las grandes empresas, las agencias gubernamentales, los bancos y los proveedores de tecnología suelen tener cientos de miles o incluso millones de identidades SSH automatizadas, con guiones o no interactivas de otro tipo.
Sin embargo, el gran número de claves SSH es a menudo desconocido y sin seguimiento. Hay muchas razones que contribuyen a una situación bastante caótica.
En primer lugar, es demasiado fácil para los administradores de sistemas generar claves SSH utilizando la línea command sin ningún tipo de aprobación o la necesidad de adherirse a la política corporativa de gestión de acceso. Esto conduce a una proliferación de claves SSH no gestionadas utilizadas para casos de uso y procesos particulares.
Además, sin procesos establecidos para eliminar claves cuando los empleados cambian de función o abandonan la organización, sus claves correspondientes a menudo permanecen inactivas y olvidadas en los sistemas host. La falta de visibilidad de todas las claves SSH y las relaciones de confianza hace que la rotación y eliminación de claves sea mucho más difícil, hasta el punto de que los equipos de seguridad simplemente evitan el proceso por miedo a interrumpir las operaciones.
El resultado final es que los procesos y prácticas deficientes de gestión de claves SSH crean una situación en la que se generan cada vez más claves, y muchas quedan huérfanas y perdidas en el desierto de las vastas redes empresariales. Sin embargo, la parte más aterradora de la historia es que estas claves "olvidadas" siguen siendo válidas, proporcionando acceso privilegiado o incluso de root a sistemas y datos críticos.
Las claves SSH desconocidas, no rastreadas y mal gestionadas presentan un problema de gestión de riesgos tan grave (pero evitado) que a menudo se denomina "el elefante en la habitación".
Riesgos de la proliferación de claves SSH
Teniendo en cuenta el nivel de acceso privilegiado que permiten las claves SSH, no es de extrañar que unas claves mal gestionadas expongan a las organizaciones a una considerable exposición a ataques SSH. A pesar de ello, la seguridad de estas claves se ha ignorado en gran medida.
Las cuentas asociadas a claves SSH a menudo no respetan los principios de mínimo privilegio y conceden más acceso del necesario, como permitir la ejecución de cualquier command (root). Además, las claves SSH para el acceso automatizado a activos y sistemas corporativos suelen proporcionar muchos más puntos de entrada a los servidores que las cuentas de usuario interactivas. Un porcentaje considerable de estas claves conceden acceso a cuentas administrativas o sensibles, como las que almacenan archivos de bases de datos o críticos software.
Las claves SSH también se utilizan para establecer relaciones de confianza al comunicarse con otras organizaciones, sistemas externos o usuarios independientes. Las claves SSH no gestionadas pueden convertir estas relaciones de confianza en violaciones de las políticas, como pasar de sistemas de desarrollo y prueba a sistemas de producción o cruzar de un sistema de bajo impacto a uno de alto impacto, sin requerir ninguna autenticación adicional.
Y lo que es más importante, la ruptura de las relaciones de confianza basadas en claves SSH puede permitir a un atacante que compromete un sistema pasar rápidamente de un sistema a otro y propagarse por una organización: las relaciones de confianza individuales a menudo forman colectivamente redes de confianza a través de los sistemas de una organización.
Las claves SSH son un problema crítico de gestión
Lo cierto es que las claves SSH presentan un verdadero problema de gestión con un perfil de alto riesgo.
Las claves SSH son objetivos atractivos para los actores maliciosos, ya que se utilizan ampliamente para asegurar el acceso a sistemas de misión crítica, incluyendo servidores, routers, cortafuegos, dispositivos de seguridad y otros dispositivos a través de cuentas con privilegios elevados.
Estos privilegios elevados pueden alcanzarse a través de una única clave SSH, que puede haber sido generada fuera del proceso de gestión de claves, para permitir a un actor malicioso el acceso a un servidor.
A partir de ahí, los privilegios elevados pueden utilizarse para encontrar o crear una nueva clave que permita el acceso a otro servidor, permitiendo a los delincuentes moverse lateralmente, realizar vigilancias y escapar con datos valiosos.
La gestión de claves SSH es evidentemente vital para garantizar la confianza en los procesos de acceso interactivos y automatizados en todas las organizaciones. Sin embargo, la gestión de claves SSH es una tarea difícil.
Aunque las claves SSH son un componente clave de una sólida Gestión de Identidades y Accesos (IAM), en muchos casos estas claves se han pasado completamente por alto. La raíz de este grave problema es el uso de métodos y procesos manuales para gestionar el creciente número de claves SSH.
El resultado es una falta de visibilidad de las claves que posee una empresa. La falta de visibilidad de las claves que poseen dificulta la asignación de esas claves a todos los dispositivos y usuarios asociados. La proliferación de dispositivos IoT y de entidades y servicios no relacionados con los usuarios no hace sino empeorar las cosas.
Además, la falta de visibilidad conduce a implementaciones de SSH vulnerables, ya que las empresas no pueden implementar procesos sólidos para la rotación y eliminación de claves, ya sea en respuesta a incidentes de seguridad o con fines administrativos (rotación de personal).
Empiece por la visibilidad y el control
Una IAM eficaz y eficiente empieza por tener visibilidad y control sobre sus identidades. Las identidades son las credenciales más importantes en los entornos empresariales modernos. No puede permitirse identidades sin control, sin seguimiento y mal gestionadas.
Las claves SSH son una parte importante y crucial de los procesos IAM de su organización y deben ser protegidas contra el compromiso. La mejor manera de hacerlo es recuperando el control de quién las posee, dónde están ubicadas, cuál es su propósito y cuándo se requiere su rotación.
Sin ningún mecanismo de gestión del control, no podrá salvaguardar la confidencialidad e integridad de sus activos.
La gestión de identidades y accesos es la base de cualquier empresa moderna, ya que responde a la necesidad organizativa básica de poder identificar de forma fiable a usuarios y máquinas, y de poder controlar qué entidades obtienen acceso a qué recursos.
Evalúe los riesgos de una mala gestión de las claves SSH en su organización y aprenda a aplicar prácticas de seguridad SSH en este artículo técnico.
