En lugar de limitarse a cifrar los sistemas del MSP, los atacantes utilizan las credenciales comprometidas de los empleados para piratear las herramientas de software del MSP y utilizarlas para desplegar ransomware a todos los clientes del MSP a la vez.<\/p>\n
A partir de 2019, los atacantes comenzaron a acceder y abusar de una gran cantidad de software popular centrado en MSP, incluidos Kaseya VSA, Webroot, Connectwise ScreenConnect<\/a> y Continuum<\/a>. Ese a\u00f1o, los atacantes tambi\u00e9n obtuvieron acceso a un peque\u00f1o n\u00famero de clientes MSP de NinjaOne<\/a> a trav\u00e9s de m\u00e9todos que nada ten\u00edan que ver con NinjaOne. En ninguno de los dos casos vimos indicios de fallo de seguridad por parte de NinjaOne. En su lugar, las pruebas sugieren que los MSP se vieron comprometidos a trav\u00e9s de otros canales, y los atacantes utilizaron despu\u00e9s las credenciales de los MSP para llevar a cabo acciones no autorizadas con sus herramientas.<\/p>\n Para satisfacci\u00f3n de la comunidad de MSP, estos incidentes impulsaron al sector en su conjunto a adoptar protocolos de seguridad m\u00e1s estrictos. En concreto, la adopci\u00f3n de la autenticaci\u00f3n de dos factores<\/a>\u00a0tuvo un impacto dr\u00e1stico en la reducci\u00f3n de los ataques exitosos (durante el MSP Security Summit de 2020<\/a>, el CEO de Coveware, Bill Siegel, afirm\u00f3 que su empresa no hab\u00eda tenido que responder a ning\u00fan incidente en el que se hubiera activado la autenticaci\u00f3n de dos factores).<\/p>\n Pero aunque se han hecho progresos, la sensaci\u00f3n de urgencia sigue siendo muy real. El \u00e9xito inicial del pirateo de cuentas de MSP ha animado a los atacantes a seguir centr\u00e1ndose en comprometer estas redes en particular. Si eres un MSP, por desgracia debes asumir que es solo cuesti\u00f3n de tiempo que seas el objetivo de intentos de ataque similares. En ese sentido, es esencial es adquieras un conocimiento pr\u00e1ctico de las ciberamenazas<\/a> y de las buenas pr\u00e1cticas de ciberseguridad que encontrar\u00e1s enumeradas a continuaci\u00f3n.<\/p>\n Es vital que los MSP activen la autenticaci\u00f3n en dos fases (2FA)<\/strong> cuanto antes en todos los software que utilicen, as\u00ed como en el correo electr\u00f3nico. Pero eso no es todo, ni mucho menos. Hemos creado la siguiente checklist para proporcionar a los MSP una lista de cosas espec\u00edficas que pueden hacer para reducir su superficie de ataque y mejorar su capacidad para prevenir, detectar y responder a los ataques<\/a>.<\/p>\n No se trata de aplicar todas estas recomendaciones a la vez, eso es imposible. Simplemente queremos ofrecerte una lista que puedas consultar y ampliar progresivamente, en funci\u00f3n de tus prioridades y del tiempo de que dispongas. Al fin y al cabo, mejorar la seguridad no es una actividad puntual, sino un proceso continuo. Recuerda que cualquier mejora que puedas hacer ahora te costar\u00e1 menos tiempo y dinero que enfrentarte a un ataque activo m\u00e1s adelante, as\u00ed que \u00a1no lo pospongas!<\/p>\n \u00bfQuieres una copia en PDF de la checklist para consultarla m\u00e1s tarde? Desc\u00e1rgala aqu\u00ed<\/a>.<\/strong><\/p>\n <\/p>\n Nota:<\/strong> Obviamente, estas recomendaciones no son exhaustivas. Dependiendo de tus caracter\u00edsticas espec\u00edficas (tama\u00f1o, infraestructura, etc.), algunas pueden no ser apropiadas para tu empresa. La seguridad no es un concepto \u00fanico, y lo que para unos es fundamental, puede ser exagerado para otros. S\u00e9 pragm\u00e1tico, adopta un enfoque por capas y recuerda que, al implementar nuevos controles, siempre es buena idea probarlos primero para evitar interrupciones imprevistas.<\/p>\n <\/p>\n \u00abLa Tierra no es plana y tu red tampoco deber\u00eda serlo\u00bb.<\/p>\n – Catherine Pitt, Vicepresidenta de seguridad de la informaci\u00f3n de Pearson<\/p>\n<\/blockquote>\n <\/p>\n Muchos de los ataques actuales, como los APT<\/a>, est\u00e1n dise\u00f1ados para instalarse y expandirse por las redes de las v\u00edctimas. Para evitarlo, hay que establecer barreras entre los usuarios y los activos.<\/p>\n No solo las capacidades de acceso remoto son cr\u00edticas para tu negocio, sino que hay pocas cosas en el mundo que a un atacante le gustar\u00eda m\u00e1s hackear.<\/p>\n \u00bfBuscas una forma de mantener la seguridad de tus servidores y endpoints distribuidos?<\/p>\n \ud83d\udd12 Descubre c\u00f3mo NinjaOne RMM\u00ae Endpoint Security<\/a> se integra con los entornos de TI modernos.<\/span><\/p>\n<\/div>\n Asegurar el RDP puede ser un principio b\u00e1sico de seguridad, pero sigue siendo descuidado y contin\u00faa siendo una de las principales causas de compromiso.\u00a0Un r\u00e1pido an\u00e1lisis de Shodan<\/a> muestra que millones de sistemas est\u00e1n exponiendo ahora mismo su RDP. Sin duda son objeto de ataques de fuerza bruta<\/a>. Una vez pirateado, el acceso a las cuentas comprometidas se puede adquirir por unos pocos euros<\/a> en los mercados de la dark web.<\/span><\/p>\n El compromiso de RDP ha sido el vector de ataque preferido de muchas variantes de ransomware, como CrySiS\/Dharma, Shade y SamSam<\/a>, el ransomware utilizado para infectar Allscripts, numerosos hospitales y la ciudad de Atlanta.<\/p>\n Recursos adicionales:<\/strong><\/p>\n <\/p>\n <\/p>\n \u00abMu\u00e9strame un correo malicioso y te dir\u00e9 qui\u00e9n har\u00e1 clic en el enlace que contiene\u00bb.<\/p>\n – Antiguo proverbio de seguridad de la informaci\u00f3n<\/p>\n<\/blockquote>\n <\/p>\n La gran mayor\u00eda de los ataques se dirigen a la parte m\u00e1s vulnerable de tu red: los usuarios. He aqu\u00ed las mejores pr\u00e1cticas para asegurar tus dispositivos y proteger a los usuarios de s\u00ed mismos.<\/span>\u00bfQu\u00e9 hacer ahora (si todav\u00eda no has tomado medidas)?<\/h2>\n
![\"msp](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2024\/10\/msp-cybersecurity-checklist-blog-banner.png\")
<\/a><\/p>\nQu\u00e9 incluye esta checklist:<\/h2>\n
\n
\n
\n
\n
Limita el acceso a tu red<\/h2>\n
\n
\n
\n<\/strong> Aqu\u00ed tienes un tutorial (en ingl\u00e9s)<\/a>\u00a0para empezar.<\/li>\n
\n<\/b>Tienen que tener may\u00fasculas y min\u00fasculas y estar formadas por letras, n\u00fameros y s\u00edmbolos. No deben compartirse ni reutilizarse. Desde un punto de vista pr\u00e1ctico, eso significa quecontar con la herramienta de gesti\u00f3n de contrase\u00f1as adecuada es imprescindible (y no, una hoja de c\u00e1lculo no cuenta). Hay muchas opciones que permiten almacenar contrase\u00f1as de forma segura, gestionar permisos, auditar el uso y supervisar las sesiones. Tambi\u00e9n resuelven el problema de qu\u00e9 hacer cuando un t\u00e9cnico tiene que ser despedido o abandona repentinamente la empresa.\u00a0<\/span><\/li>\n
\n<\/b>La Soluci\u00f3n de contrase\u00f1as de administrador local (LAPS) de Microsoft<\/a> puede ayudar a que esto sea manejable.<\/li>\n
\n<\/strong> Es extremadamente com\u00fan que los atacantes\/malware rastreen las cach\u00e9s de los navegadores.<\/li>\n
\nEsto es especialmente importante para evitar la oleada actual de ataques de ransomware que piratean las herramientas de software de los MSP.<\/strong> Existe una gran variedad de herramientas 2FA\/MFA a tener en cuenta.<\/li>\n
\n<\/b> Nada de \u00abadmin\u00bb, \u00abadministrador\u00bb, \u00abpredeterminado\u00bb, \u00abroot\u00bb, \u00abusuario\u00bb, etc.<\/li>\n
\nAdopta <\/span>el principio del m\u00ednimo privilegio<\/span><\/a>. Por ejemplo: Los t\u00e9cnicos deben utilizar una cuenta est\u00e1ndar, de no administrador por defecto, y una cuenta de administrador separada solo si es necesario, idealmente desde una <\/span>estaci\u00f3n de trabajo con acceso privilegiado<\/span><\/a>.<\/span><\/li>\n
\n<\/b> Microsoft aconseja adoptar un modelo en capas<\/a> compuesto por tres niveles de cuentas de administrador que controlen cada uno una categor\u00eda diferente de activos (dominios, servidores y estaciones de trabajo).<\/li>\n
\nLa creaci\u00f3n de cuentas de servicio para aplicaciones espec\u00edficas puede ayudarte a aislar los da\u00f1os en caso de que una sola cuenta se vea comprometida, pero siempre y cuando <\/span>evites errores comunes<\/span><\/a>. Desactiva los servicios que no necesites y considera la posibilidad de<\/span>usar cuentas de servicios gestionados en grupo (gMSA)<\/span>para que la gesti\u00f3n de las cuentas de servicio sea m\u00e1s f\u00e1cil y segura.<\/span><\/li>\n
\n<\/span>Otro de los controles de seguridad m\u00e1s b\u00e1sicos que, en la vida real, se pasa por alto o no se cumple. He aqu\u00ed un sencillo tutorial sobre<\/span>c\u00f3mo eliminar administradores locales mediante un GPO<\/span>, as\u00ed como algunos consejos para abordar cualquier idea err\u00f3nea o rechazo que puedas encontrar por parte de ejecutivos y otras personas.<\/span><\/span><\/li>\n
\n<\/b>Se calcula que <\/span>un tercio de las cuentas de usuario est\u00e1n inactivas pero siguen habilitadas<\/span><\/a>. Todos esos puntos de acceso desatendidos representan un gran riesgo para la seguridad. Realiza auditor\u00edas peri\u00f3dicas y establece una pol\u00edtica clara para desactivar y eliminar cuentas cuando los usuarios dejen la empresa.<\/span><\/span><\/li>\n
\n<\/b><\/span> Hoy, un n\u00famero creciente de ataques no se limitan a estaciones de trabajo aisladas, sino que est\u00e1n dise\u00f1ados para alojarse en alg\u00fan lugar y propagarse desde ese punto. Con Active Directory, las directivas de grupo<\/a> y el firewall de Windows, puedes evitar la comunicaci\u00f3n entre estaciones de trabajo<\/a> y, al mismo tiempo, permitir el acceso desde su estaci\u00f3n de trabajo privilegiada.<\/li>\n<\/ul>\n
\nBloquea tus herramientas de gesti\u00f3n remota<\/strong><\/h3>\n\n
\n<\/b>Limita su disponibilidad estrictamente a las personas que no pueden hacer su trabajo sin ellas.<\/span><\/span><\/li>\n
\n<\/b>Piensa siempre en t\u00e9rminos de <\/span>m\u00ednimo privilegio<\/span><\/a>, sobre todo cuando trabajes con clientes de sectores verticales regulados o que manejan informaci\u00f3n confidencial u otro tipo de informaci\u00f3n sensible. Es posible que tengas que demostrar que tus t\u00e9cnicos nunca tuvieron acceso a esa informaci\u00f3n.<\/span><\/li>\n
\n<\/b>Al hacerlo, existe la posibilidad de que los hackers <\/span>consigan las credenciales de administrador <\/span><\/a>si la estaci\u00f3n de trabajo utilizada se ve comprometida. Las cuentas de administrador de dominio deben ser pocas y utilizarse exclusivamente para contectarse a los controladores de dominio (y no a las estaciones de trabajo).\u00a0<\/span><\/li>\n
\n<\/b>Aplica actualizaciones con regularidad y estate especialmente atento a cualquier parche que aborde vulnerabilidades que podr\u00edan proporcionar a los atacantes la ejecuci\u00f3n remota de c\u00f3digo o el acceso no autorizado.<\/span><\/li>\n
\n<\/b>Capturar informaci\u00f3n sobre sesiones y actividades de acceso remoto te permitir\u00e1 realizar auditor\u00edas, detectar anomal\u00edas e investigar y responder a cualquier actividad sospechosa.<\/span><\/li>\n<\/ul>\n
\nEscritorio remoto seguro (RDP)<\/strong><\/h3>\n\n
\n<\/b>Incluso entonces, preg\u00fantate si hay una forma mejor de hacer lo que necesitas.<\/span><\/li>\n
\n<\/b>Utiliza herramientas de an\u00e1lisis como <\/span>Nmap<\/span><\/a>,<\/span>masscan<\/span><\/a> o <\/span>Shodan<\/span><\/a>. Los malos ya lo est\u00e1n haciendo, as\u00ed que t\u00f3mate unos minutos para ver tu red a trav\u00e9s de sus ojos. Otra herramienta que te gu\u00eda a trav\u00e9s del an\u00e1lisis b\u00e1sico de puertos es <\/span>ShieldsUP<\/span><\/a>.<\/span><\/li>\n
\n<\/b>Una de las formas m\u00e1s comunes de crear un backdoor es <\/span>hacer un uso abusivo de la funci\u00f3n de sticky keys de Windows<\/span><\/a>. Dos herramientas de an\u00e1lisis diferentes para identificar servidores RDP pirateados est\u00e1n disponibles <\/span>aqu\u00ed <\/span><\/a>y <\/span>aqu\u00ed<\/span><\/a>.<\/span><\/li>\n
\n<\/b>Esto reduce el riesgo de que los atacantes aprovechen una m\u00e1quina comprometida para acceder a otras de la red.<\/span><\/li>\n
\n<\/b>Por defecto, todos los administradores pueden conectarse al escritorio remoto.<\/span><\/li>\n
\n<\/b>El MFA es una buena idea, pero si no tienes otra soluci\u00f3n que tener un RDP expuesto, se convierte en una necesidad.<\/span><\/li>\n
\n<\/b>El n\u00famero de intentos fallidos necesarios para activar un bloqueo depende de ti, pero por lo general, <\/span>Microsoft recomienda <\/span><\/a>un bloqueo de 15 minutos tras 10 intentos fallidos.<\/span><\/li>\n
\n<\/b>Puede no ser la soluci\u00f3n que m\u00e1s guste, pero es una medida de mitigaci\u00f3n importante para <\/span>evitar el pirateo de sesiones<\/span><\/a>.<\/span><\/li>\n
\n<\/b>Utilizando un firewall puedes<\/span> restringir el acceso al RDP a las direcciones IP de la lista blanca<\/span><\/a>. Las pasarelas RD son m\u00e1s completas. Permiten restringir no solo qui\u00e9n tiene acceso, sino a qu\u00e9 tiene acceso, sin necesidad de configurar conexiones VPN. <\/span>M\u00e1s informaci\u00f3n sobre las pasarelas RD aqu\u00ed.<\/span><\/a><\/li>\n
\n<\/b>El NLA proporciona una capa adicional de autenticaci\u00f3n antes de establecer una conexi\u00f3n remota. M\u00e1s informaci\u00f3n sobre <\/span>c\u00f3mo comprobar la configuraci\u00f3n de la directiva de grupo para confirmar que el NLA est\u00e1 activado aqu\u00ed<\/span><\/a>.<\/span><\/li>\n
\n<\/b>Esto no ocultar\u00e1 el RDP de los atacantes decididos, pero elevar\u00e1 el list\u00f3n y te ayudar\u00e1 a protegerte de los ataques automatizados y los ataques perezosos. <\/span>Microsoft explica c\u00f3mo realizar el cambio aqu\u00ed.<\/span><\/a>\u00a0<\/span><\/li>\n<\/ul>\n\n
Protege a tus usuarios y tus endpoints<\/h2>\n
\n
\n<\/span><\/p>\n