¿Qué ocurre cuando su enfoque de la seguridad se convierte en una vulnerabilidad? Ese es el verdadero reto al que se enfrentan muchas organizaciones.
A pesar de la importancia de la infraestructura de clave pública (PKI), las claves y los certificados digitales para proteger a las organizaciones, el elevado volumen de identidades que necesitan protección está creando graves problemas, ya que las organizaciones luchan por gestionarlas a escala.
El segundo informe anual State of Machine Identity Management analiza este reto en su estudio sobre el papel de la PKI y las identidades de máquina en la seguridad de las empresas modernas. El informe se basa en las respuestas a una encuesta realizada a más de 1.200 líderes mundiales de TI y seguridad.
Profundicemos en la situación según estos dirigentes.
El 66% está desplegando más claves y certificados en sus entornos
Aunque dos tercios de los encuestados afirmaron que sus organizaciones están desplegando más claves criptográficas y certificados en sus entornos que nunca, es posible que esta cifra no refleje toda la realidad.
En realidad, es probable que el 100% de las organizaciones se encuentren en esta situación. Los encuestados restantes pueden haber subestimado el volumen de claves y certificados que se crean debido a la falta de visibilidad de su entorno de identidad de máquina. Esto no es sorprendente, dado que el 55% de los encuestados admite que su organización no sabe exactamente cuántas claves y certificados tiene en realidad.
Como mencionamos en nuestro blog anterior, esta situación se está volviendo cada vez más común a medida que el volumen de identidades de máquinas continúa expandiéndose rápidamente debido a tendencias como la implementación de estrategias de seguridad de confianza cero, los servicios basados en la nube y el cambio al trabajo remoto.
Por desgracia, la mayoría de las organizaciones no disponen de las herramientas o procesos adecuados para gestionar este crecimiento. A su vez, la falta de control sobre el panorama completo puede dar lugar a identidades de máquina no gestionadas o mal protegidas, lo que también se conoce como proliferación de ID de máquina. Y cuando esto ocurre, es muy fácil que esas identidades se vean comprometidas.
El 61% afirma que el robo o uso indebido de llaves y certificados es una preocupación grave o muy grave
No sólo el 61% de los encuestados considera que el posible robo o uso indebido de claves y certificados en su entorno es una preocupación grave o muy grave, sino que esa cifra representa un aumento significativo con respecto al estudio de 2021, cuando sólo el 34% de los encuestados opinaba así.
Y esto no es sólo palabrería: El 50% de los encuestados afirman que es probable o muy probable que sus organizaciones sufran robos o usos indebidos de identidades de máquinas en los próximos dos años.
Dada la variedad de ataques dirigidos contra claves y certificados digitales, existen numerosas situaciones contra las que las organizaciones deben protegerse. Estos ataques pueden ir desde perturbaciones empresariales a pequeña escala hasta ataques a gran escala muy sofisticados.
Considere los siguientes ejemplos:
- Comprometer las claves de TLS para ejecutar un ataque man-in-the-middle que puede permitir a los hackers alterar o robar información.
- Robo de claves de firma de código para firmar código malicioso que parece legítimo y puede afectar negativamente a los usuarios finales de software y hardware
- Acceso a claves SSH desprotegidas en servidores para obtener acceso privilegiado a sistemas de información y desplazarse lateralmente por la organización.
Por supuesto, estos son sólo algunos de los muchos ejemplos que ilustran cómo las claves y certificados no gestionados pueden acabar haciendo más mal que bien.
El 59% utiliza una autenticación débil basada en contraseñas para SSH, y el 50% afirma no tener controles de acceso formales para las claves de firma de código.
Para evitar estos riesgos, las organizaciones deben obtener un control firme y visibilidad de los certificados de TLS , implantar un almacenamiento seguro y controles de acceso para las claves de firma de código, e introducir una gestión centralizada para las identidades SSH.
Sin embargo, aún queda mucho por hacer en estos frentes. Para empezar, el 59% de los encuestados utiliza una autenticación débil basada en contraseñas para SSH y el 59% también afirma no tener una gestión centralizada de las identidades SSH.
Al mismo tiempo, el 50% de los encuestados no dispone de controles de acceso formales para las claves de firma de código. El 37% afirma que sus claves de firma de código se almacenan en servidores de compilación y otro 17% en estaciones de trabajo de desarrolladores. Ambas ubicaciones suelen ser muy vulnerables a los ataques, lo que puede agravar situaciones como el reciente ataque del ransomware LAPSUS$ a Nvidia.
En marzo de 2022, Nvidia reveló que dos de sus claves de firma de código fueron robadas en el ataque del ransomware LAPSUS$ y utilizadas para firmar al menos dos binarios que en realidad no habían sido desarrollados por Nvidia. Estas situaciones permiten a los atacantes liberar software malicioso bajo la apariencia de una empresa de confianza.
La historia de Nvidia es sólo una de las muchas en las que se roban o utilizan indebidamente las identidades de las máquinas, y todos estos ejemplos de la vida real subrayan la necesidad de que las organizaciones den prioridad al control centralizado y a la visibilidad de las identidades de las máquinas en toda la empresa.
¿Cuáles son los mayores riesgos actuales para la identidad de las máquinas?
El informe 2022 State of Machine Identity Management (Estado de la gestión de identidades de equipos en 2022) describe un panorama desolador de los riesgos en las empresas actuales que se derivan de un número creciente de identidades de equipos desprotegidas o no gestionadas. Las organizaciones deben responder creando una PKI moderna y un programa de gestión de identidades de máquinas.
¿Listo para profundizar? Para profundizar en estas y otras tendencias que están configurando el papel de las identidades automáticas en las organizaciones actuales, haga clic aquí para consultar el informe completo.
