Protección y seguridad de los puntos finales
Los puntos finales —ordenadores portátiles, ordenadores de sobremesa, servidores y, cada vez más, teléfonos móviles— son el punto de partida de la mayoría de las brechas de seguridad. Basta con que alguien haga clic en un enlace de phishing, abra un archivo adjunto infectado o conecte un dispositivo personal no gestionado a los recursos de la empresa para que, a partir de ahí, un atacante consiga un punto de acceso. La protección de los puntos finales solía significar un antivirus y un programa de aplicación de parches. Ahora debe significar mucho más que eso: una detección que capte comportamientos que el antivirus pasa por alto y una capacidad de respuesta que pueda aislar un equipo comprometido antes de que se convierta en un incidente de mayor alcance.
La carencia que observo con mayor frecuencia no es la ausencia total de herramientas para puntos finales, sino la falta de coherencia. Los ordenadores portátiles de la empresa cuentan con una protección adecuada, pero el dispositivo personal de un colaborador externo que trabaja a distancia o un dispositivo móvil no gestionado que accede al correo electrónico carece por completo de ella. A los atacantes no les importa qué dispositivo esté oficialmente «dentro del ámbito de aplicación» de su política de seguridad, sino que van a por el que sea más vulnerable.
Mi enfoque al respecto
Empiezo por hacer un inventario de todo lo que realmente se conecta a sus sistemas, lo cual suele ser una lista más larga y desordenada de lo esperado. A partir de ahí, analizo las lagunas de cobertura y paso a la EDR (detección y respuesta en endpoints), en lugar de confiar únicamente en un antivirus basado en firmas, ya que la detección basada en el comportamiento detecta amenazas que una firma nunca detectaría. Se refuerza la gestión de parches para que las vulnerabilidades conocidas no permanezcan sin solucionar durante meses, y se aplica el cifrado de dispositivos de forma predeterminada, no como una opción opcional.
La respuesta es tan importante como la detección. Si se detecta que un terminal está comprometido, debe existir un proceso rápido y claro para aislarlo de la red, investigar el caso y subsanar el problema, y no un ticket que se quede en una cola mientras la infección tiene tiempo de propagarse. Desarrollo ese proceso junto con las herramientas, ya que las herramientas por sí solas no detienen nada.
¿A quién va dirigido?
Si su protección de terminales varía enormemente en función de a quién pertenezca el ordenador portátil, si nunca ha implementado una solución EDR y se basa únicamente en un antivirus, o si los dispositivos remotos y personales que acceden a los recursos de la empresa no están cubiertos por ninguna política coherente, conviene solucionar esta situación.
Contacte conmigo y analicemos juntos qué es lo que realmente protege los dispositivos que interactúan con sus sistemas.