Superficie de ataque y shadow IT: guía práctica

No se puede proteger lo que no se conoce. Esa frase, repetida hasta la saciedad en ciberseguridad, es el motivo por el que casi todos los programas serios empiezan por un inventario. La superficie de ataque es el conjunto de puntos por los que alguien podría intentar entrar en tu empresa. Cuanto más grande y menos conocida, más probable es que algo se quede sin vigilar.

Qué incluye la superficie de ataque externa

• Dominios y subdominios: la web principal, pero también la tienda de hace tres años, el entorno de pruebas o la página de una campaña.
• Servidores y servicios expuestos: accesos remotos, paneles de administración, bases de datos mal protegidas.
• Aplicaciones y APIs accesibles desde Internet.
• Servicios en la nube: almacenamiento, máquinas virtuales, cuentas de proveedores.
• Correo y DNS: la configuración que decide quién puede suplantar tu dominio (ver SPF, DKIM y DMARC).
• Credenciales y datos filtrados que circulan fuera de tu control.
• Terceros: proveedores con acceso a tus sistemas o a tus datos.

Shadow IT: la tecnología que nadie te ha dicho que usa

El shadow IT es cualquier sistema, aplicación o servicio que se usa en la empresa sin que el departamento responsable lo conozca ni lo haya aprobado. No suele haber mala intención: alguien necesita compartir ficheros y abre una cuenta gratuita, un equipo comercial monta una web de captación con una herramienta externa, un proveedor despliega algo "temporal" que nunca se retira.

El problema es que esos activos no tienen parches, ni copias, ni doble factor, ni nadie que mire sus registros. Y si guardan datos de clientes, hay un problema de cumplimiento añadido (ver RGPD y seguridad).

Cómo descubrir lo que tienes

1. Revisa tus dominios y el DNS: lista todos los dominios y registros que apuntan a algún sitio. Los subdominios olvidados son un clásico.
2. Mira desde fuera: haz un escaneo externo de lo que ve Internet. Es la vista del atacante.
3. Consulta los certificados emitidos para tus dominios: los registros públicos de transparencia de certificados revelan nombres que quizá habías olvidado.
4. Pregunta a las personas: qué herramientas usan de verdad para trabajar. Es más eficaz que prohibir sin escuchar.
5. Cruza con facturación y proveedores: los pagos con tarjeta y las suscripciones suelen delatar servicios que no figuran en ningún inventario.
6. Revisa los inicios de sesión de tu proveedor de identidad o correo para ver a qué aplicaciones se han conectado tus empleados.

Cómo reducirla

• Elimina lo que no se usa: cada servicio expuesto que no cumple una función es riesgo sin beneficio.
• Cierra lo que no tiene que estar abierto: accesos de administración solo desde redes de confianza o a través de VPN con doble factor.
• Centraliza las cuentas con un único acceso (SSO) para poder dar de baja a alguien de un solo gesto.
• Establece un camino fácil para pedir herramientas nuevas. Si aprobar una aplicación es lento y costoso, la gente la usará sin permiso.
• Mantén al día lo que queda: parches, copias y monitorización (ver cómo priorizar vulnerabilidades).

No es una foto, es un proceso

La superficie de ataque cambia cada semana: se crean subdominios, se contratan servicios, se despliegan aplicaciones. Un inventario hecho una vez queda obsoleto enseguida, así que lo útil es repetir el descubrimiento de forma periódica y automatizada, y tratar cada novedad como una pregunta: ¿esto lo conocíamos?, ¿quién es su responsable?, ¿debería estar expuesto?

Cómo lo abordamos en Zyro

La plataforma ofensiva de ZyroShield, SPYDER, incluye herramientas de reconocimiento para enumerar subdominios, servicios y puertos expuestos, que es justo lo que ve alguien desde fuera. Lo resumimos en nuestra página de ciberseguridad. Si quieres saber qué estás exponiendo sin darte cuenta, escríbenos.