Antes de que avances en este increíble campo, es necesario conocer los conceptos de ciberseguridad. Comienza con las amenazas más comunes a la información y los sistemas para ilustrar cómo se pueden abordar los asuntos de seguridad con métodos procedentes de la gestión de riesgos.
La ciberseguridad está sujeta a importantes irregularidades. Por un lado, los hackers pueden escoger entre una gran variedad de enfoques, mientras que los expertos en seguridad tienen que prestar atención a cada detalle. Además, deben estar preparados para cualquier cosa en cualquier momento.
Por lo tanto, los ataques exitosos no son necesariamente el resultado de la negligencia. A veces existen controles de seguridad, pero no se utilizan adecuadamente, por ejemplo. Esto se debe a que entran en conflicto con las necesidades de los usuarios. Dadas estas dificultades, hoy en día existe un gran interés por la seguridad reactiva. Este enfoque adopta la concepción universal de que no puedes evitar todos los ataques.
Conceptos de ciberseguridad: las amenazas
Antes de hablar de los ataques y las defensas en la web, debes tener claro qué es lo que está en juego. Por ello, tendrás a continuación los objetivos fundamentales de protección que te ayudan a tener una visión global de todos los conceptos de ciberseguridad.
En primer lugar, antes de que el término “ciberseguridad” estuviese de moda, los debates se centraban en la seguridad informática. La meta principal de la seguridad informática, es proteger todos activos presentes en cualquier empresa. Los cuales pueden ser hardware; computadoras y smartphones, software y datos. Estos activos están sujetos a amenazas que pueden provocar pérdidas o daños irreparables.
Por otro lado, la seguridad informática se compone de la seguridad de la información y de la seguridad de los sistemas. Es importante recordar los fundamentos de estos dos campos, que sentaron las bases de la ciberseguridad tal y como la conoces. La seguridad de la información está enfocada en la defensa de los datos; potencialmente procesados por los ordenadores y de cualquier información derivada de su interpretación.
En cuanto a la seguridad de los sistemas, se trata de garantizar que los sistemas informáticos funcionen tal y como han sido diseñados. En otras palabras, que los hackers no puedan alterarlos ni robar, borrar o modificar datos e información.
Seguridad de la información
Existen tres objetivos de protección en la seguridad de la información, los cuales son: confidencialidad, integridad y disponibilidad. Igualmente, dichas medidas de seguridad tienen el propósito de abordar uno o más de estos objetivos, los cuales son:
- Confidencialidad: impedir la obtención de información no autorizada.
- Integridad: impedir o detectar la modificación no autorizada de los datos.
- Disponibilidad: impedir la eliminación o la interrupción no autorizada de los datos.
Estos objetivos de protección se aplican tanto a los datos en reposo, es decir, almacenados en un ordenador o en papel. Como a los datos en tránsito, cuando se envían por una red. Las definiciones se refieren a actividades no autorizadas, lo que implica que existe un entendimiento sobre qué actores se supone que pueden interactuar con los datos.
En algunos ámbitos, solo hay un usuario autorizado. Por ejemplo, en el contexto del objetivo de protección de la confidencialidad es un dispositivo inteligente o una computadora con almacenamiento cifrado. En este caso, solo el propietario del dispositivo está autorizado. Un ejemplo para el objetivo de disponibilidad es hacer una copia de seguridad de los datos para que sigan siendo accesibles cuando falle un ordenador.
La mayoría de las veces, hay varios participantes autorizados; a menudo son dos. Por ejemplo, el objetivo de protección de la confidencialidad puede ser relevante cuando un remitente envía un correo electrónico a un destinatario concreto. La confidencialidad también es esencial durante las operaciones bancarias en línea.
Las medidas de seguridad ayudan a mantener la integridad de los datos
En este caso, se quiere también proteger la integridad de los mensajes intercambiados para evitar que se modifiquen las transacciones. Debido a esto, los tres objetivos de protección de confidencialidad, integridad y disponibilidad se refieren al contenido. Además del contenido, también te puede preocupar la identidad de otros actores. Por ejemplo, te gustaría saber cuándo se ha falsificado el remitente de un mensaje de correo electrónico.
Pues bien, el objetivo de protección de la autenticidad impide que los actores se hagan pasar por otra persona. Por norma general, hace esto otorgando a los demás un medio para verificar la identidad declarada.
Un objetivo de protección relacionada e incluso más fuerte es el llamado “no repudio”, el cual impide que los participantes nieguen haber realizado un acto concreto. Por ejemplo, el envío de un mensaje. La autenticidad y el no repudio son necesarios para responsabilizar a los participantes.
Conceptos de ciberseguridad: seguridad de los sistemas
¿Cómo debes diseñar los sistemas para que proporcionen seguridad a los datos almacenados en ellos? Esta pregunta trata uno de los conceptos de ciberseguridad claves en los sistemas. Por ello, la respuesta está en el centro de la seguridad de los sistemas en sí mismos. De igual forma, los objetivos de protección que se quieren lograr en la seguridad de los sistemas son los mismos que en la seguridad de la información.
A menudo existen múltiples formas de alcanzar el objetivo deseado. La confidencialidad puede lograrse encriptando los datos o mediante una combinación de autenticación. Un sencillo ejemplo de esto es la exigencia a los usuarios que introduzcan una contraseña. Además de un control de acceso, que son las normas que regulan qué usuario puede acceder a cuáles archivos en concretos. Diseñar sistemas que utilicen una combinación adecuada de medidas de seguridad no es una tarea sencilla.
No obstante, la seguridad de los sistemas no se limita a tener éxito en la seguridad de la información. Algunos sistemas no contienen datos de interés. Pero se confía en ellos y en su funcionalidad. Es decir, en el correcto flujo de un proceso.
Por ello, si un componente del sistema de autenticación de un sistema operativo viene con un error, los atacantes pueden ser capaces de desconectarlo. Bien pueden impedir que los usuarios autorizados controlen el servidor o de eludirlo; el cual permite que usuarios no autorizados controlen el servidor.
La protección de los sistemas viene dado por la integridad y la disponibilidad
La integridad y la disponibilidad son objetivos de protección acostumbrados en la seguridad de los sistemas. De allí que mantener la confidencialidad de un procedimiento específico puede ser un objetivo para asegurar la propiedad intelectual. No obstante, se considera una mala práctica ocultar el funcionamiento de un sistema por razones de seguridad.
Los llamados sistemas “ciberfísicos” que encuentras en la realidad, tales como: los semáforos, pilotos automáticos, robots industriales y los sistemas de control de los procesos químicos o de las centrales eléctricas. Son de un especial interés para la seguridad de los sistemas. Algunos de estos sistemas se consideran infraestructuras fundamentales. Lo que significa que sus fallos pueden tener un gran impacto en la sociedad.
A los responsables de la política les preocupa que las futuras guerras puedan librarse atacando infraestructuras vitales para provocar el caos. Todo ello sin tener que utilizar la fuerza militar. Entre los ataques conocidos a sistemas de este tipo, se encuentran el malware Stuxnet. El cual se utilizó para sabotear una central de enriquecimiento de uranio en el año 2010 en Irán. Así como también, un ataque a una central eléctrica ucraniana en el año 2015.
Seguridad frente a protección
La comunidad de la ciberseguridad distingue muy bien entre seguridad y protección. De esta manera, los daños pueden ser causados por humanos o por eventos no humanos. Ejemplos de eventos no humanos son las catástrofes naturales, tales como: terremotos, incendios, inundaciones, pérdida de energía eléctrica, fallos en discos duros, entre otros.
Por otro lado, las amenazas humanas son positivas o por el contrario, maliciosas. Las amenazas positivas son el resultado de accidentes y errores humanos involuntarios, tales como: teclear mal un comando. En este orden de ideas, los actos maliciosos son el resultado de malas intenciones que se traducen en acciones delictivas perpetradas por hackers.
Garantizar que un sistema siga funcionando durante las catástrofes naturales y ante los errores humanos o amenazas positivas, es un factor importante de ciberseguridad. Asimismo, la seguridad es crucial en los sistemas ciberfísicos, donde el fallo de uno, puede perjudicar a los seres humanos.
Es por esto que la ciberseguridad tiene una larga tradición en la ingeniería. Puedes encontrar ejemplos en los coches y aviones que contienen diversos sistemas vitales. Todos ellos diseñados para una ofrecer máxima fiabilidad.
Conceptos de ciberseguridad: ataques maliciosos
Por el contrario, los factores propios de ciberseguridad se centran en los actos maliciosos de los humanos, que se denominan ataques o ciberataques. Por un lado, existen ataques aleatorios y ataques dirigidos. En los ataques aleatorios, los hackers no se preocupan de la persona o sistema a quién atacan, mientras haya algo que ganar de la víctima. Un ejemplo del mundo real, serían los carteristas.
En el entorno digital y de la web, las estafas de tipo phishing son un ejemplo que te parecerá bastante conocido. Ahora bien, los ataques dirigidos van enfocados a una víctima específica. Los ataques dirigidos son más difíciles de defender que los ataques aleatorios, debido a que los hackers actúan estratégicamente. Lo que significa que pueden cambiar el curso de acción en respuesta a las medidas de seguridad que se implementan.
La seguridad como gestión de riesgos
El desarrollo y construcción de software y hardware es una tarea compleja y vulnerable a los errores. Por término medio, cada 1.000 líneas de código contienen de 3 a 20 errores, e incluso una revisión exhaustiva del código reduce este número solo en pocos números. Estos errores pueden afectar la seguridad de un sistema de múltiples formas.
Por ello, la llamada “Enumeración de Debilidades Comunes”, es una lista de debilidades creada por la comunidad. Generalmente, las debilidades son tipos genéricos de errores que se producen con frecuencia. La realización de una debilidad en un producto se denomina vulnerabilidad.
¿Qué es una vulnerabilidad?
Una vulnerabilidad puede entenderse como un defecto, debilidad en el diseño, la implementación, funcionamiento y la gestión de un sistema que podría ser explotado para violar la política de seguridad del mismo.
De esta manera, a las vulnerabilidades de los productos ampliamente desplegados se les asigna un identificador único y se archivan en el apartado de “Vulnerabilidades y exposiciones comunes”. El cual tiene más de 150 mil entradas.
Un ataque a un sistema es posible si está expuesto a un hacker y si tiene debilidades que pueden ser explotadas. Los sistemas inalcanzables no pueden ser atacados y la sola presencia de un desbordamiento de búfer en un programa, no significa necesariamente que sea explotable.
Además, el hecho de que un sistema exponga una vulnerabilidad explotable, no significa que un ataque sea inevitable. La noción de riesgo capta esta incertidumbre. De tal modo que la gravedad de un riesgo, es el producto del impacto de un ataque sobre un activo. Normalmente es relativo a la pérdida monetaria y la probabilidad de que el ataque se produzca.
La probabilidad de que se produzca un ataque depende de la exposición y la capacidad de explotación. También, del factor de que el ataque tiene el impacto deseado para alcanzar el objetivo de un adversario. En términos de ciberseguridad, es difícil predecir el impacto y la probabilidad con precisión.
Conceptos de ciberseguridad: gestión de los riesgos
En este sentido, existen varias maneras de operar los riesgos. En primer lugar, los riesgos pueden evitarse. Por ejemplo, absteniéndote de implementar una característica específica, en segundo lugar, los riesgos también pueden mitigarse. ¿Cómo se hace? Aplicando controles de seguridad, también llamados contramedidas, que disminuyan la probabilidad y el impacto de un riesgo.
En tercer lugar, los riesgos pueden transferirse, comprando un seguro que cubra las posibles pérdidas. Del mismo modo, los riesgos pueden aceptarse decidiendo cubrir los costes de un ataque. La aceptación puede tener sentido para los riesgos que son muy poco probables.
En la práctica, los diseñadores de sistemas suelen transferir los riesgos a los usuarios de un sistema, creando la llamada externalidad negativa. La transferencia de riesgos es factible debido a la relación asimétrica de poder entre los diseñadores del sistema y los usuarios. Esta situación es problemática debido a que los operadores pueden tener menos incentivos para tomarse en serio la seguridad. Cuando el impacto de los ataques no les afecta a ellos sino a otra persona.
Conceptos de ciberseguridad: enfoques de ataque y defensa
Para que un ataque tenga éxito, un hacker necesita un método para trabajar. También, necesita una oportunidad para atacar y un móvil. Por lo tanto, es importante que estudies diferentes tipos de atacantes y técnicas de ciberataque, como parte de los conceptos de ciberseguridad.
Los atacantes y sus motivos
¿Qué tipo de atacantes existen y cuáles son sus motivos? En la mayoría de los casos, los mismos que en el mundo real. Para ponerte un ejemplo, los espías corporativos realizan ciberataques a empresas para obtener secretos comerciales. También hay ciberdelincuentes, individuos o grupos que buscan un beneficio económico.
Por tal motivo, uno de sus métodos de actuación consiste en pedir un rescate a sus víctimas, ya sea instalando un ransomware en sus equipos, amenazando con la divulgación de información sensible o realizando un ataque de denegación de servicio.
En líneas generales, los atacantes más avanzados son los Estados – Nación que, por ejemplo, pretenden influir en la política de una contraparte o ampliar su poder. Los Estados – Nación pueden realizar ataques sofisticados que requieren de recursos económicos ingentes.
Diversos ataques de Estados – Nación alcanzan el nivel de una amenaza persistente avanzada. Es decir, un ataque que implica técnicas avanzadas que permiten a un atacante comprometer de forma encubierta e incluso controlar los sistemas de una víctima durante largos períodos de tiempo.
Conceptos de ciberseguridad: existen hackers profesionales y aficionados
Además de estos hackers “profesionales”, también existen los aficionados. El término “script kiddies” se refiere a los hackers no cualificados que son capaces de utilizar herramientas listas para ejecutar para sus ataques. Del mismo modo, existen hackivistas que realizan ataques para promover una causa y crear publicidad.
Un ejemplo de ello es la libertad de expresión y la lucha contra la vigilancia. Por último, hay hackers deshonestos que atacan los sistemas, sobre todo por curiosidad. También, existen hackers que atacan para obtener un beneficio personal. Se burlan de sus víctimas alterando sus sitios web, presumen de sus habilidades en su comunidad e incluso pueden vender datos sensibles en el mercado negro.
Muchos esfuerzos tienen como objetivo mantener a los hackers fuera de acción. Así que esta práctica deja de lado a los actores internos. Los cuales tienen más oportunidades de atacar que los externos. Además, los “insiders” pueden ser empleados desleales de una determinada empresa.
Una visión global de los insiders debería incluir a todos los empleados que trabajan en los mercados. Es decir, los proveedores que suministran las herramientas utilizadas dentro de una compañía. De esta forma, se conocen varios intentos de atacar objetivos de alto perfil, infectando a sus proveedores con malware. Este enfoque, que se denomina ataque a la cadena de suministro, es bastante potente y difícil de detectar. La protección de los sistemas es una piedra angular para el éxito de tu información. Así pues, con este Máster en Ciberseguridad, tendrás los conocimientos que se necesitan para robustecer la seguridad informática de tu empresa. Todo ello con un programa de estudios enfocado a la tecnología de punta, cuando se trata de sistemas de seguridad.
