Durante los últimos siete años he trabajado con cuestiones relacionadas con la ciberseguridad y ciberamenazas. He estado investigando conceptos y definiendo metodologías, controles de seguridad, vulnerabilidades, políticas y procesos. En los últimos años, he estado estudiando las amenazas comunes a la seguridad cibernética, los errores comunes y las preocupaciones comunes dentro de nuestro ecosistema, y he creído que sería bueno reunirlos en un solo artículo.

También te puede interesar ????: Axis Communications analiza los retos de videovigilancia en las ciudades inteligentes

Gestión de riesgos y evaluación de ciberamenazas

Cuando entré en la «madriguera del conejo» de la ciberseguridad empecé a mirar qué características de seguridad tenían nuestros productos. A partir de ahí empecé a construir la madurez. Para mí, la madurez cibernética significa que tienes una comprensión decente de las amenazas a las que te enfrentas, tienes algún conocimiento de los riesgos, y también entiendes cómo mitigar estos riesgos.  

La gestión de riesgos es un desafío, ya que existe una probabilidad y una estimación del posible impacto negativo. Es un juego de adivinanzas. Y esto sólo puede ser definido o estimado por la organización que opera un sistema.

Las ciberamenazas, por otro lado, serán las mismas independientemente. Las ciberamenazas están por todas partes. Una amenaza no significa que pasarán cosas malas.  Todos tenemos la amenaza de un meteoroide que cae del cielo y nos golpea en la cabeza. Ese impacto puede ser letal pero las probabilidades son escasas. Es de bajo riesgo.

Las ciberamenazas a los sistemas informáticos vienen de todas las formas. Las amenazas a la seguridad cibernética son mucho más vastas que las que comúnmente se leen en los medios: hackers, virus y malware. Las cosas clave que hay que proteger en un sistema informático se denominan comúnmente confidencialidad, integridad y disponibilidad. Cualquier cosa que impacte negativamente en cualquiera de estas áreas es un incidente de ciberseguridad. El fallo de hardware es una amenaza que afecta a la disponibilidad y, por lo tanto, también se clasifica como un incidente de ciberseguridad.

Uso indebido deliberado o accidental del sistema

Las personas que tienen acceso legítimo a un sistema son también la amenaza más común:

• Las personas pueden acceder a los servicios del sistema (por ejemplo, al vídeo) que no están autorizados

• Los individuos que descontentos pueden causar un daño deliberado al sistema

• Los individuos que pueden tratar de arreglar las cosas mientras el resultado es un rendimiento reducido del sistema

• Los individuos que cometen errores

• Los individuos que son susceptibles a la ingeniería social

• Los individuos que pueden perder o desplazar componentes críticos (tarjetas de acceso, teléfonos, ordenadores portátiles, documentación, etc.)

• Las ordenadores de los individuos pueden estar comprometidos e involuntariamente infectar un sistema con malware

Y algunas de las vulnerabilidades más comunes que dan la oportunidad de que las ciberamenazas impacten en el sistema son:

1. La falta de conciencia cibernética en las organizaciones

2. Falta de políticas y procesos a largo plazo para gestionar los riesgos

Esos factores suelen dar lugar a una mala gestión de las cuentas y a que demasiados usuarios tengan demasiados privilegios y acceso. Esto suele estar impulsado puramente por la conveniencia.

Un sistema de gestión de vídeo (VMS) tiene, potencialmente, numerosos usuarios que acceden a vídeo en directo y grabado desde el servidor de gestión de vídeo.  El software del VMS proporciona una gestión de la cuenta de usuario con diferentes niveles de privilegio para los usuarios.  Todo lo que el cliente necesita hacer es definir las políticas y poner en marcha procesos para mantener esas políticas a lo largo del tiempo.

Las cámaras en sí mismas no tienen realmente usuarios; tienen clientes.  No se pretende que John, Bob o Jane tengan cuentas en la cámara – nunca se debe permitir que los individuos accedan a las cámaras durante la operación diaria.

Un dispositivo debe tener una cuenta para la administración, una cuenta para los clientes de la operación diaria (el VMS) y utilizar una cuenta temporal para el mantenimiento y la solución de problemas. Uno de los errores más comunes cuando se despliega un sistema de vídeo es cuando los tres roles comparten la misma cuenta.  La contraseña de esa cuenta puede difundirse fácilmente dentro de la organización, lo que crea una oportunidad para el uso indebido deliberado o accidental. Es esencial seguir las recomendaciones y guías de endurecimiento del fabricante.

Manipulación física o sabotaje

La protección física de los sistemas informáticos es muy importante desde el punto de vista de la ciberseguridad:

• El equipo expuesto físicamente puede ser manipulado

• El equipo expuesto físicamente puede ser robado

• Los cables expuestos físicamente pueden ser desconectados, redirigidos o cortados

Las propias cámaras no sólo son susceptibles de ser manipuladas, sino que también pueden exponer los cables de la red. Esto puede dar la oportunidad de que se produzcan violaciones en la red.

La lista de vulnerabilidades comunes que pueden brindar una oportunidad para que una amenaza se explote son:

• Los equipos de red, como servidores y conmutadores, no situados en zonas cerradas

• Las cámaras que están montadas para que sean fácilmente accesibles

• Los cables que no están protegidos en las paredes o en los conductos

• Las cámaras que están montadas con una carcasa protectora insuficiente

Siga las directrices del proveedor.  El sentido común te lleva muy lejos.

Mitigar los riesgos y el impacto de una brecha

Una brecha es cuando alguien elude uno o más controles de seguridad para obtener acceso a un recurso del sistema. Hay muchos ejemplos de vectores de ataque para violar un sistema. La ingeniería social es uno de los más comunes y efectivos. Es básicamente un vector de ataque sin riesgo.

El grado de sofisticación que se requiere para violar un sistema depende de los controles de seguridad que se añaden como obstáculos. Cualquier sistema expuesto a Internet, lo que significa que se puede acceder a ese recurso desde el hogar, da a un atacante remoto la oportunidad de sondear y encontrar posibles vulnerabilidades para explotar.  Esto es lo que hacen los ciberdelincuentes y los «script-kiddies» durante todo el día.

La técnica común de mitigación para reducir los riesgos es reducir la exposición.  Los sistemas de vídeo no suelen estar expuestos a Internet y no se recomienda hacerlo. Esto reducirá automáticamente el riesgo de que los adversarios remotos exploten las posibles vulnerabilidades y abran una brecha en el sistema.

En el caso de los sistemas de vídeo, las vulnerabilidades comunes están relacionadas con la exposición física de los dispositivos. Sin ninguna protección, cualquiera que pueda llegar a una cámara puede ser capaz de piratear el cable de ethernet.  Hay una serie de controles de seguridad que pueden añadirse si esto ocurriera, incluyendo la adición de cortafuegos adicionales, la segmentación de la red y el control de acceso a la red. Es importante seguir las directrices recomendadas por el proveedor para reducir estos riesgos. Los productos y guías de endurecimiento proporcionados por los vendedores también incluirán recomendaciones y controles de seguridad que reduzcan los riesgos, incluso si un atacante malintencionado obtiene acceso a la red.

Preparándose para ciberataques más sofisticados

Si no es capaz de manejar las ciberamenazas más comunes, no hay necesidad de que un adversario utilice esfuerzos más sofisticados. La sofisticación requiere habilidades, tiempo, determinación y recursos.

La amenaza de ataques sofisticados a un sistema de video existe pero no es común. Las violaciones de los sistemas de video son difíciles de monetizar y por lo tanto reducirán el interés de los ciberdelincuentes.

Sin embargo, los sistemas de vídeo que protegen la infraestructura crítica tienen un riesgo mayor. Estas organizaciones luchan contra adversarios decididos y bien dotados de recursos, como los Estados nacionales y los ciberterroristas. Estas organizaciones ya han añadido controles de seguridad para las ciberamenazas comunes. El adversario necesita usar más sofisticación. Cómo puede Axis ayudar a reducir esos riesgos es un tema para un futuro artículo.

Fred Juhlin , Axis Communications.