Desde el phishing hasta la arquitectura de confianza cero, estas son las ideas principales que ayudan a cualquiera a proteger sus datos, reconocer amenazas y tomar decisiones más inteligentes en línea.
Credit: Clint Patterson / Unsplash
Internet no fue diseñado con la seguridad en mente. Los protocolos que transportan correo electrónico, tráfico web y dispositivos conectados fueron diseñados en una era cuando la red global era pequeña, académica y mayormente cooperativa. La seguridad vino después: se le añadió, se parcheó y se superpuso. Esa realidad arquitectónica es parte de por qué las brechas, estafas y compromisos del sistema siguen siendo tan comunes décadas después de la era digital.
Las consecuencias han crecido junto con la infraestructura. Las filtraciones de datos personales de sistemas de salud, instituciones financieras y plataformas sociales ahora afectan a cientos de millones de personas. Ataques de ransomware han cerrado hospitales y han interrumpido oleoductos. Los gobiernos realizan operaciones cibernéticas ofensivas contra la infraestructura crítica de otros estados. Mientras tanto, la persona promedio navega por este entorno con herramientas que no siempre fueron diseñadas para hacer visible o intuitiva la seguridad.
La ciberseguridad a menudo se enmarca como el dominio de especialistas: ingenieros de redes, evaluadores de penetración, respondedores de incidentes. Ese encuadre desvirtúa el conocimiento práctico que cualquiera con un teléfono inteligente, una cuenta bancaria o una computadora portátil de trabajo realmente necesita. No necesitas escribir código o entender redes a nivel de paquetes para tomar decisiones significativamente mejores sobre tu vida digital. Lo que necesitas es un entendimiento operativo de los conceptos que gobiernan cómo ocurren los ataques, cómo funcionan las defensas y cuáles son los compromisos.
Los 20 conceptos en esta lista no son un currículo técnico. Son las ideas fundamentales que desbloquean todo lo demás. Entender el phishing te hace menos propenso a ser engañado por él. Entender la encriptación te ayuda a evaluar productos que dicen proteger tus datos. Entender cómo se almacenan las contraseñas explica por qué reutilizar la misma en varios sitios web es realmente peligroso, no solo inconveniente de evitar. Cada concepto se conecta con decisiones que las personas toman todos los días: sobre las apps que usan, los enlaces que hacen clic, las redes a las que se conectan y las cuentas que aseguran.
La alfabetización en ciberseguridad no se trata de volverse paranoico. Se trata de tener un modelo mental preciso de cómo funcionan los sistemas digitales y dónde pueden fallar. Las amenazas son reales, están bien documentadas y la mayoría no son tan exóticamente técnicas como a veces implica la cobertura popular. Los fundamentos no han cambiado tanto como sugieren los titulares. Estos 20 conceptos son un mapa.
Credit: RDNE Stock project / Pexels
El phishing es la práctica de engañar a las personas para que revelen información sensible —contraseñas, números de tarjetas de crédito, credenciales de cuentas— o para que realicen una acción que de otro modo no harían, como transferir dinero o instalar malware. La palabra es un error deliberado de "fishing" (pescar), reflejando la idea de que los atacantes lanzan redes amplias esperando que algunas víctimas caigan en el anzuelo.
La técnica básica ha existido desde mediados de la década de 1990, cuando los atacantes comenzaron a hacerse pasar por representantes de servicio al cliente de America Online en aplicaciones de chat temprano para robar contraseñas de cuentas. Los mecanismos básicos no han cambiado mucho: crear una identidad falsa convincente, generar una razón plausible para la urgencia y pedir al objetivo que haga algo.
Lo que ha cambiado es la sofisticación y la escala. Los primeros correos electrónicos de phishing solían ser fáciles de detectar: gramáticamente pobres, visualmente burdos, genéricos en su objetivo. Los mensajes de phishing modernos pueden ser casi indistinguibles de las comunicaciones legítimas. Copian el diseño visual de instituciones reales, falsifican direcciones de correo electrónico que parecen auténticas a simple vista y llegan con mecanismos de seguimiento para confirmar cuándo se ha abierto un mensaje.
El spear phishing se refiere a ataques dirigidos a individuos específicos en lugar de a destinatarios masivos. Un atacante que realice spear phishing a un ejecutivo de una empresa investigará el rol de esa persona, sus colegas y comunicaciones recientes antes de elaborar un mensaje. Este tipo de ataque es mucho más efectivo que el phishing masivo genérico porque explota el contexto que el objetivo reconoce.
El phishing de voz, llamado vishing, involucra llamadas telefónicas. El smishing utiliza mensajes de texto SMS. Ambos se han vuelto más comunes a medida que los filtros de correo electrónico han mejorado para detectar intentos tradicionales de phishing.
La defensa más confiable contra el phishing es la verificación a través de un canal separado. Si un correo electrónico de tu banco te pide que hagas clic en un enlace e introduzcas tus credenciales, no uses ese enlace: abre una nueva ventana del navegador, navega directamente al sitio web del banco y revisa tu cuenta desde allí. Si un colega envía una solicitud inesperada para transferir fondos o compartir datos de inicio de sesión, llámalo a un número de teléfono conocido para confirmar. Ninguna institución legítima se opondrá a este tipo de verificación fuera de banda.
Los atacantes dependen de la urgencia y el miedo. Los mensajes que afirman que tu cuenta será suspendida, que un paquete no pudo ser entregado o que se detectó actividad inusual están diseñados para hacerte actuar rápidamente y saltar la revisión. Reducir la velocidad es una de las contramedidas más efectivas disponibles para cualquier objetivo.
Los controles técnicos ayudan pero no eliminan el riesgo. Los protocolos de autenticación de correo electrónico pueden reducir la suplantación de nombres de dominio exactos, pero no pueden evitar que los atacantes registren dominios de apariencia similar. Los filtros de spam atrapan muchos mensajes de phishing pero no otros. La capa humana sigue siendo crítica.
Credit: Jake Walker / Pexels
Malware es una contracción de "software malicioso": cualquier programa diseñado para dañar, interrumpir o acceder de manera no autorizada a un sistema sin el conocimiento o consentimiento de la persona que lo utiliza. La categoría es lo suficientemente amplia como para incluir desde virus que se propagan entre archivos hasta herramientas de espionaje sofisticadas utilizadas por estados nacionales.
Los virus son una de las formas más antiguas de malware. Se adhieren a archivos legítimos y se ejecutan cuando esos archivos se abren, luego intentan replicarse más en el sistema o en otros sistemas. El término se usa a menudo para referirse a cualquier tipo de malware, aunque técnicamente se refiere solo a programas con comportamiento de autorreplicación.
Los gusanos se propagan sin requerir acción del usuario al explotar vulnerabilidades en sistemas en red. El gusano Slammer de 2003 infectó cientos de miles de servidores en aproximadamente 10 minutos al explotar una vulnerabilidad conocida en Microsoft $MSFT SQL Server. La velocidad fue posible porque el gusano no requería interacción humana: simplemente sondeaba direcciones IP y se propagaba automáticamente.
Los troyanos se presentan como software legítimo o útil mientras ocultan una carga maliciosa. Un usuario descarga lo que parece ser un juego gratuito o una herramienta de utilidad; el software se instala, realiza su función aparente y, al mismo tiempo, instala una puerta trasera o recopila pulsaciones de teclas.
El spyware recopila información sobre un usuario: hábitos de navegación, pulsaciones de teclas, credenciales, contenido de pantalla, y lo transmite a una parte externa. El stalkerware es una forma de spyware que a menudo instalan parejas abusivas en dispositivos móviles para monitorear la ubicación y las comunicaciones.
El ransomware cifra los archivos de una víctima y exige un pago, típicamente en criptomonedas, a cambio de la clave de descifrado. Ha sido una de las categorías de malware más perjudiciales económicamente en los últimos años, apuntando a hospitales, gobiernos locales, escuelas y grandes corporaciones por igual.
Los mecanismos de entrega varían. El malware llega a través de archivos adjuntos de correo electrónico maliciosos, enlaces de descarga infectados, sitios web comprometidos que explotan vulnerabilidades del navegador y medios físicos. Las descargas invisibles pueden instalar malware simplemente visitando una página en un navegador sin parchear. Las unidades USB encontradas en estacionamientos, una técnica documentada de ingeniería social, se han utilizado para infectar sistemas cuando los empleados las conectan a computadoras de trabajo.
Las capas de defensa típicamente incluyen software antivirus, herramientas de detección y respuesta de punto final, mantener los sistemas operativos y aplicaciones actualizados, y limitar los permisos de usuario para que el malware que se ejecute bajo una cuenta estándar no pueda instalar software o modificar archivos del sistema.
Credit: Markus Spiske / Pexels
El cifrado convierte la información legible —llamada texto plano— en una forma codificada ilegible llamada texto cifrado, utilizando un algoritmo matemático y una clave. Solo alguien con la clave correcta puede revertir el proceso y recuperar los datos originales. Sin ella, la comunicación y el almacenamiento digital serían fundamentalmente inseguros.
El concepto antecede a las computadoras por milenios. Julio César utilizó un cifrado de sustitución simple en el que cada letra del alfabeto se desplazaba un número fijo de posiciones. El cifrado moderno utiliza operaciones matemáticas de un orden de complejidad diferente —no desplazamientos de 13 posiciones, sino algoritmos que requerirían más pasos de computación para romperse por fuerza bruta que átomos hay en el universo observable.
El cifrado simétrico utiliza la misma clave para cifrar y descifrar datos. Es rápido y eficiente, lo que lo hace práctico para cifrar grandes volúmenes de datos. El problema es la distribución de claves: si dos partes quieren comunicarse de manera segura utilizando cifrado simétrico, necesitan una manera de compartir la clave sin que sea interceptada, lo cual es un verdadero desafío cuando nunca se han encontrado en persona.
El cifrado asimétrico, también llamado criptografía de clave pública, resuelve este problema. Cada parte genera un par de claves matemáticamente vinculadas: una clave pública, que se puede compartir abiertamente, y una clave privada, que se mantiene en secreto. Los datos cifrados con una clave del par solo pueden descifrarse con la otra. Esto permite a cualquiera enviar un mensaje cifrado a un destinatario usando solo la clave pública del destinatario, sabiendo que solo la clave privada del destinatario puede descifrarlo.
HTTPS —el candado que ves en la barra de direcciones de un navegador— se basa en el cifrado asimétrico para establecer un canal seguro, luego cambia al cifrado simétrico para la mayor parte de la transferencia de datos porque es más rápido.
El cifrado de extremo a extremo significa que los mensajes se cifran en el dispositivo del remitente y solo pueden descifrarse en el dispositivo del destinatario. El proveedor de servicios en el medio —la plataforma de mensajería, el servicio de correo electrónico— no puede leer el contenido aunque quisiera o se viera obligado a hacerlo por un proceso legal.
El cifrado protege los datos en tránsito, que viajan a través de redes, y los datos en reposo, almacenados en dispositivos o servidores. Ambos son importantes. Un sistema que cifra el tráfico de la red pero almacena los datos en texto plano en el disco sigue siendo vulnerable para cualquiera que obtenga acceso a ese almacenamiento.
Credit: Zulfugar Karimov / Unsplash
Una contraseña es la forma más común de autenticación, el proceso por el cual un sistema verifica que eres quien dices ser. A pesar de ser ubicuas, las contraseñas son uno de los eslabones más débiles en la seguridad digital, en gran parte debido a cómo las personas las eligen y administran.
El problema principal es la memoria humana. Las personas tienden a crear contraseñas que son cortas, fáciles de recordar y reutilizadas en varias cuentas. Las contraseñas cortas son vulnerables a ataques de fuerza bruta, en los que herramientas automatizadas prueban combinaciones sistemáticamente hasta encontrar una coincidencia. Las contraseñas reutilizadas significan que una violación en un servicio —un sitio web de venta al por menor, un foro, una antigua suscripción— da a los atacantes credenciales que funcionan en objetivos más valiosos como cuentas de correo electrónico o bancarias.
El relleno de credenciales es la técnica automatizada que explota la reutilización a gran escala. Los atacantes obtienen listas de combinaciones de nombre de usuario y contraseña filtradas de violaciones anteriores y las prueban automáticamente contra otros servicios. Debido a que muchas personas usan la misma combinación de dirección de correo electrónico y contraseña en todas partes, la tasa de éxito es significativa.
Un gestor de contraseñas resuelve el problema de la reutilización generando contraseñas largas, aleatorias y únicas para cada cuenta y almacenándolas cifradas en un almacén protegido por una única contraseña maestra. El usuario solo necesita recordar esa contraseña. Las contraseñas que genera el gestor —típicamente de 16 o más caracteres aleatorios— no son palabras significativas y no se reutilizan, haciendo que el relleno de credenciales sea inútil contra cuentas protegidas de esta manera.
La fortaleza de una contraseña se entiende mejor como longitud y aleatoriedad que como complejidad. Una cadena aleatoria de 16 caracteres de letras y números es más segura que una contraseña más corta que contenga un carácter especial.
La autenticación multifactor (MFA) añade una segunda capa de verificación más allá de la contraseña, un código de un solo uso enviado por SMS, generado por una aplicación de autenticación o producido por una llave de hardware. Incluso si un atacante obtiene una contraseña correcta a través de phishing, violación de datos o adivinanza, no pueden iniciar sesión sin el segundo factor. Las aplicaciones de autenticación y las llaves de hardware son más seguras que los códigos SMS, que pueden ser interceptados mediante ataques de intercambio de SIM.
Credit: RDNE Stock project / Pexels
Una filtración de datos es un incidente en el que partes no autorizadas obtienen acceso a datos que no están destinados para ellas. Las filtraciones afectan a individuos, corporaciones, gobiernos y proveedores de salud. Varían en escala desde miles de registros hasta miles de millones, y en sensibilidad desde direcciones de correo electrónico hasta números de Seguridad Social, historiales médicos y detalles de cuentas financieras.
Las violaciones de seguridad ocurren a través de una variedad de mecanismos. Los atacantes pueden explotar vulnerabilidades de software para acceder a una base de datos. Pueden engañar a un empleado con credenciales administrativas. Un interno, un empleado actual o anterior, puede extraer datos deliberadamente por razones financieras o ideológicas. Un almacenamiento en la nube mal configurado puede dejar los datos accesibles públicamente sin ninguna intrusión activa.
La violación de Adobe $ADBE en 2013 afectó aproximadamente a 153 millones de registros, incluidas contraseñas que se habían cifrado con un método desactualizado e inadecuado, lo que las hacía relativamente fáciles de descifrar. La violación de Equifax en 2017 expuso la información personal y financiera de aproximadamente 147 millones de estadounidenses, casi la mitad de la población adulta de los EE. UU., incluidos números de Seguro Social, fechas de nacimiento, direcciones y, en algunos casos, números de licencia de conducir y datos de tarjetas de crédito.
Lo que hace que las violaciones sean persistentemente dañinas es que los datos expuestos no caducan. Un número de Seguro Social filtrado en 2017 es tan útil para un ladrón de identidad en 2024 como el día que fue robado. Las credenciales violadas circulan en mercados de la dark web y se utilizan en ataques de relleno de credenciales durante años después del incidente original.
Have I Been Pwned, un sitio web operado por el investigador de seguridad Troy Hunt, permite a las personas verificar si su dirección de correo electrónico aparece en conjuntos de datos de violaciones conocidas. Indexa miles de millones de registros de violaciones públicas documentadas y es un primer paso práctico para cualquiera que quiera entender su exposición.
Las consecuencias de una violación dependen en gran medida de qué datos se expusieron y cómo se almacenaron. Las contraseñas almacenadas como valores hash adecuados, utilizando algoritmos fuertes como bcrypt o Argon2, son mucho más difíciles de descifrar que aquellas almacenadas en texto claro o usando algoritmos más débiles. Esta es una razón por la que la forma en que un servicio almacena tus datos es tan importante como si se ve comprometido.
Credit: Zulfugar Karimov / Unsplash
Un firewall es un control de seguridad que monitorea y filtra el tráfico que entra o sale de una red basado en un conjunto de reglas definidas. El término proviene del cortafuegos físico, la barrera construida en un edificio o vehículo para evitar la propagación del fuego. En redes, un cortafuegos crea un límite controlado entre una red interna de confianza y redes externas que son menos confiables.
Los cortafuegos tradicionales operan en la capa de red, examinando paquetes, las pequeñas unidades en las que se divide la información para su transmisión, y permitiendo o bloqueándolos según las direcciones IP de origen y destino y los puertos. Una regla podría permitir el tráfico web de cualquier origen para llegar a un servidor web en el puerto 443 mientras bloquea todo el resto del tráfico hacia ese servidor. Este tipo de filtrado es rápido y efectivo para patrones conocidos de tráfico legítimo y malicioso.
Los firewalls con estado rastrean el estado de las conexiones activas, lo que les permite comprender el contexto. Un paquete que llega afirmando ser parte de una conexión establecida puede ser verificado contra la tabla de estado del firewall. Si no existe tal conexión, el paquete puede ser rechazado. Esto cierra ciertos tipos de ataques de suplantación y inundación que firewalls de filtrado de paquetes más simples pasarían.
Los firewalls de próxima generación examinan el tráfico a un nivel más profundo, incluyendo la inspección de la capa de aplicación. Pueden identificar el tráfico por la aplicación que lo genera, no solo por el número de puerto, y aplicar reglas en consecuencia. También integran feeds de inteligencia contra amenazas, sistemas de detección y prevención de intrusiones, e inspección SSL para examinar el tráfico cifrado.
Los firewalls personales operan en dispositivos individuales en lugar de perímetros de red. Los sistemas operativos, incluidos Windows y macOS, vienen con firewalls personales integrados que bloquean las conexiones entrantes a aplicaciones que no han sido explícitamente autorizadas para acceder.
Un firewall no es una defensa completa. No puede detener malware entregado a través de tráfico permitido, por ejemplo, un archivo adjunto malicioso que pasa por un servidor de correo en un puerto permitido. No aborda vulnerabilidades en las aplicaciones que está protegiendo. Es una capa en una estrategia de defensa más amplia, efectiva cuando se configura adecuadamente y se combina con otros controles.
Credit: Stefan Coders / Pexels
Una VPN, o red privada virtual, crea un túnel cifrado entre un dispositivo y un servidor remoto operado por el proveedor de la VPN. El tráfico del dispositivo pasa a través de este túnel, luego sale a internet desde la dirección IP del servidor VPN en lugar de la del usuario. Desde la perspectiva de los observadores externos — sitios web, anunciantes, un proveedor de servicios de internet — el tráfico parece originarse desde la ubicación del servidor VPN.
Las VPNs se desarrollaron originalmente para permitir a los empleados conectarse de manera segura a redes corporativas desde ubicaciones remotas, extendiendo el perímetro de la red confiable sobre una conexión no confiable. Cuando un miembro del equipo de ventas se conecta a la sede a través de una VPN mientras viaja, su computadora portátil se comporta como si estuviera en la red de la oficina, con acceso a recursos internos que de otro modo estarían inaccesibles a través de internet.
Las VPNs para consumidores se comercializan principalmente por motivos de privacidad. El argumento es que al enrutar el tráfico a través de los servidores del proveedor de VPN, el usuario evita que su proveedor de servicios de internet vea qué sitios visita. En una red Wi-Fi pública no cifrada, en una cafetería o hotel, una VPN evita que otros usuarios en la misma red intercepten el tráfico.
La limitación es que la confianza se desplaza en lugar de desaparecer. Al usar un VPN, el proveedor de servicios de internet ya no puede ver el tráfico, pero el proveedor de VPN sí puede. La política de privacidad y las prácticas de registro de un proveedor de VPN son muy importantes, y esas prácticas son difíciles de verificar de manera independiente. Algunos proveedores han sido sorprendidos registrando la actividad del usuario a pesar de afirmar que no lo hacen.
Los VPN no hacen anónimo a un usuario. Ocultan una dirección IP de servicios externos, pero no evitan el rastreo a través de cookies, huellas digitales del navegador o inicios de sesión de cuentas. Alguien que usa un VPN y luego inicia sesión en una cuenta personal se ha identificado a ese servicio de todos modos.
Para eludir restricciones geográficas de contenido y agregar una capa de protección en redes públicas realmente no confiables, los VPN cumplen un propósito real. La protección de privacidad que ofrecen contra adversarios determinados con recursos es más limitada de lo que sugiere algunas campañas de marketing.
Credit: Canva Images
La autenticación de dos factores, a menudo abreviada como 2FA o utilizada indistintamente con el término más amplio autenticación multifactor (MFA), es un proceso de inicio de sesión que requiere que un usuario proporcione dos formas distintas de evidencia antes de obtener acceso a una cuenta. Los dos factores generalmente provienen de diferentes categorías: algo que sabes (una contraseña), algo que tienes (un dispositivo o token) o algo que eres (un biométrico como una huella digital o escaneo facial).
La razón subyacente es que robar o adivinar una sola credencial es más difícil que robar dos independientes. Una brecha de base de datos puede exponer contraseñas, pero no da a los atacantes acceso al dispositivo físico en el bolsillo de un objetivo. Un teléfono robado no ayuda si el atacante no conoce la contraseña de la cuenta.
El 2FA basado en SMS envía un código de un solo uso mediante mensaje de texto. Es mejor que no tener un segundo factor, pero tiene una debilidad documentada: el intercambio de SIM. En este ataque, un adversario convence a una operadora móvil, generalmente a través de ingeniería social o suplantación, para transferir el número de teléfono de la víctima a una tarjeta SIM que controla el atacante. Todas las llamadas y mensajes de texto, incluidos los códigos 2FA, van al atacante. Objetivos de alto perfil con activos significativos en criptomonedas o cuentas de redes sociales han sido atacados de esta manera.
Las aplicaciones de autenticación como Google $GOOGL Authenticator, Authy y Microsoft $MSFT Authenticator generan contraseñas de un solo uso basadas en tiempo (TOTP) que cambian cada 30 segundos. Dado que estos códigos se generan localmente en el dispositivo en lugar de ser transmitidos por SMS, no son vulnerables al intercambio de SIM. Tampoco dependen de la disponibilidad de la red celular.
Las llaves de seguridad de hardware, como las que siguen el estándar FIDO2/WebAuthn, brindan la protección más fuerte. Estos dispositivos físicos se conectan a un puerto USB o a través de NFC y realizan un desafío-respuesta criptográfico al autenticar. Son resistentes al phishing porque la autenticación está vinculada al dominio específico del sitio web: un sitio falso no puede activar una respuesta válida de la llave.
Activar 2FA en las cuentas de correo electrónico es un paso de alta prioridad porque las cuentas de correo electrónico suelen ser el mecanismo de recuperación para todas las demás cuentas. Un atacante que accede a una bandeja de entrada de correo electrónico puede restablecer contraseñas en prácticamente todos los servicios vinculados.
Credit: cottonbro studio / Pexels
La ingeniería social se refiere al uso de la manipulación psicológica para engañar a las personas para que divulguen información confidencial o tomen acciones que comprometan la seguridad. Donde los ataques técnicos explotan vulnerabilidades de software, la ingeniería social explota las humanas: confianza, autoridad, miedo, curiosidad, ayuda y el deseo de resolver problemas rápidamente.
El término abarca una amplia gama de tácticas. El phishing es ingeniería social realizada digitalmente. El vishing lo hace por teléfono. El pretexto implica construir un escenario falso, una historia fabricada para que una solicitud parezca legítima. Un atacante podría llamar al servicio de asistencia técnica de una empresa afirmando ser un empleado remoto bloqueado de su cuenta, utilizando detalles recopilados de LinkedIn y sitios web de la empresa para parecer creíble.
El cebo explota la curiosidad o la codicia. Un atacante deja unidades USB en un estacionamiento o en el vestíbulo de una organización objetivo. Algunos empleados, al encontrar las unidades, las conectan a computadoras de trabajo por curiosidad o con la esperanza de devolverlas a un propietario. Las unidades están cargadas con malware.
La autoridad es una de las palancas psicológicas más confiablemente explotadas. Las personas están condicionadas a cumplir con las solicitudes de quienes están en posiciones de autoridad sin cuestionarlas completamente. Una llamada de alguien que dice ser del IRS, o un correo electrónico que parece provenir de un CEO, genera cumplimiento a tasas más altas que una solicitud de un compañero. Los ataques de compromiso de correo electrónico empresarial típicamente suplantan a ejecutivos para instruir a los empleados de finanzas a realizar transferencias bancarias no autorizadas.
La urgencia es otra palanca. Las solicitudes que exigen acción inmediata: "su cuenta se suspenderá en 24 horas", "debe responder ahora o enfrentará acciones legales", eluden la deliberación y fomentan el cumplimiento. Las instituciones legítimas no suelen operar de esta manera, y la urgencia genuina rara vez es tan absoluta como implica un atacante.
La defensa más efectiva es una cultura en la que se normalice cuestionar solicitudes inesperadas y existan procedimientos para la verificación fuera de banda. Ningún empleado debe sentirse avergonzado de devolver la llamada a un solicitante a un número conocido antes de cumplir con una instrucción inusual, independientemente de la aparente autoridad de la solicitud original.
Credit: Canva Images
El ransomware es una categoría de malware que cifra los archivos de una víctima y exige un pago —típicamente en criptomoneda— a cambio de la clave de descifrado necesaria para restaurar el acceso. Se ha convertido en una de las formas más económicamente destructivas del cibercrimen, afectando a organizaciones en salud, gobierno, educación, finanzas e infraestructura crítica.
El mecanismo de cifrado en sí es sólido. El ransomware moderno utiliza algoritmos criptográficos legítimos y fuertes. Sin la clave de descifrado en posesión del atacante, los archivos cifrados por ransomware son, a efectos prácticos, irrecuperables. Esto es lo que hace que el ransomware sea particularmente efectivo como herramienta de extorsión: el daño es real y técnico, no solo una amenaza.
El primer ransomware ampliamente reconocido, llamado SIDA Trojan o PC Cyborg, apareció en 1989 y se distribuyó en disquetes. Su cifrado era débil y simétrico, lo que hacía posible revertirlo sin pagar. El ransomware moderno utiliza cifrado asimétrico que hace que este enfoque sea inviable.
El modelo de ransomware como servicio ha reducido la barrera de entrada para los atacantes. Las bandas de ransomware desarrollan y mantienen el malware y la infraestructura, y luego lo alquilan a afiliados que llevan a cabo los ataques reales. El afiliado recibe una parte de cada pago de rescate; el desarrollador se lleva el resto. Este modelo de negocio ha permitido una rápida proliferación.
La doble extorsión se ha convertido en una práctica estándar. Los atacantes no solo cifran archivos, sino que los exfiltran primero. Si la víctima se niega a pagar el rescate, los atacantes amenazan con publicar los datos robados públicamente. Algunas víctimas que se niegan a pagar el rescate para restaurar archivos aún pagan una demanda separada para evitar la publicación de registros sensibles.
Las copias de seguridad son la defensa técnica más confiable, pero solo si se mantienen correctamente. Una copia de seguridad conectada a la red durante un ataque puede ser cifrada. Las copias de seguridad fuera de línea —almacenadas en medios que están físicamente desconectados cuando no se usan— o las copias de seguridad en la nube inmutables que no pueden ser alteradas o eliminadas después de su creación son mucho más resistentes. Las organizaciones que mantienen buenas copias de seguridad fuera de línea a menudo pueden restaurar operaciones sin pagar el rescate.
Credit: panumas nikhomkhai / Pexels
La seguridad de red se refiere a las prácticas, tecnologías y políticas utilizadas para proteger la integridad, confidencialidad y disponibilidad de las redes informáticas y los datos que pasan a través de ellas. Es un campo amplio que incluye controles de hardware, configuraciones de software, prácticas de monitoreo y gestión de acceso.
Cada dispositivo conectado tiene una dirección IP, un identificador numérico utilizado para enrutar tráfico a través de redes. Los dispositivos se comunican enviando paquetes, cada uno de los cuales contiene una dirección de origen y destino, los datos que se están transmitiendo e información de protocolo que describe cómo debe manejarse el paquete. Controlar qué paquetes pueden fluir a dónde y monitorear anomalías en ese flujo es una tarea central de la seguridad de red.
La segmentación de red divide una red más grande en zonas más pequeñas con acceso controlado entre ellas. Un hospital podría segmentar su red administrativa de sus sistemas clínicos, que a su vez están separados de los dispositivos médicos. Si un atacante obtiene acceso a un segmento —comprometiendo una estación de trabajo administrativa, por ejemplo— la segmentación limita hasta dónde puede propagarse la intrusión. El movimiento lateral, el proceso por el cual los atacantes se mueven desde un punto de acceso inicial a otros sistemas en una red, es significativamente más difícil en un entorno adecuadamente segmentado.
Los sistemas de detección de intrusiones (IDS) monitorean el tráfico de red y la actividad del sistema en busca de patrones que coincidan con firmas de ataques conocidos o anomalías estadísticas. Un IDS que detecta lo que parece ser un escaneo de puertos —una técnica utilizada para mapear qué servicios están en ejecución en una red— puede alertar al personal de seguridad. Los sistemas de prevención de intrusiones (IPS) llevan esto un paso más allá, bloqueando automáticamente el tráfico sospechoso en lugar de solo alertar.
Los registros de monitoreo de red son invaluables después de un incidente. Comprender la línea de tiempo y el alcance de una violación —qué sistemas fueron accedidos, en qué secuencia y qué datos fueron exfiltrados— típicamente depende de tener datos de registros detallados y preservados. Muchas violaciones se descubren semanas o meses después de la intrusión inicial, y los registros son lo que permite a los investigadores reconstruir lo sucedido.
Las redes inalámbricas introducen consideraciones adicionales. El protocolo de cifrado utilizado en una red Wi-Fi importa significativamente. WEP, un protocolo más antiguo, tiene debilidades conocidas que lo hacen fácil de comprometer. WPA2 y WPA3 son los estándares actuales, siendo WPA3 el que proporciona una protección más fuerte contra ataques de diccionario en la contraseña.
Credit: Canva Images
La confianza cero es un modelo de seguridad basado en el principio de no otorgar confianza automática a ningún usuario, dispositivo o sistema, independientemente de si están dentro o fuera del perímetro de red tradicional. La frase "nunca confíes, siempre verifica" es el resumen más común de la filosofía.
La seguridad de la red tradicional se basaba en la idea de un perímetro: una red interna protegida rodeada de defensas. Los dispositivos y usuarios dentro del perímetro generalmente eran confiables; los de fuera no lo eran. Esto tenía sentido cuando la mayoría de los empleados trabajaban en una oficina, conectándose a los sistemas internos a través de una red corporativa. Tenía mucho menos sentido una vez que las organizaciones comenzaron a usar servicios en la nube, apoyar el trabajo remoto y lidiar con la realidad de que los atacantes que comprometen un solo dispositivo dentro del perímetro podrían moverse libremente una vez dentro.
La confianza cero desafía el concepto de confianza en el perímetro al tratar cada solicitud de acceso como si se originara desde una red no confiable, incluso si la solicitud proviene de dentro de la red corporativa. Un usuario que inicia sesión desde una estación de trabajo en la oficina está sujeto a los mismos requisitos de verificación que uno que inicia sesión desde casa o desde una ubicación desconocida. Un dispositivo que pasó una verificación de seguridad la semana pasada necesita pasar una hoy.
La verificación bajo confianza cero normalmente incluye confirmar la identidad del usuario mediante una autenticación fuerte, verificar si el dispositivo cumple con los estándares de seguridad definidos —parches actuales, configuración correcta, sin compromiso detectado— y limitar el acceso solo a los recursos específicos que el usuario necesita para su tarea actual. Este principio de privilegio mínimo asegura que una cuenta o dispositivo comprometido no pueda acceder a todo, solo a la porción estrecha de recursos para la que tenía permiso.
La microsegmentación es una técnica de implementación de confianza cero que divide las aplicaciones y servicios en pequeños segmentos aislados con caminos de acceso estrictamente controlados. Incluso dentro de una zona de red, las cargas de trabajo individuales solo se comunican con las otras cargas de trabajo específicas a las que están autorizadas a llegar.
La confianza cero no es un producto o tecnología única. Es una arquitectura y una filosofía que requiere una aplicación consistente en la gestión de identidades, gestión de dispositivos, controles de red y políticas de acceso a datos. La implementación es compleja e incremental; la mayoría de las organizaciones que afirman estar adoptando la confianza cero están en medio de un proceso de varios años para cambiar cómo se gestiona el acceso a través de sus sistemas.
Credit: Canva Images
La infraestructura de clave pública (PKI) es el sistema de tecnologías, políticas y procesos que respalda el uso de la criptografía de clave pública a escala. Permite la distribución y verificación de claves públicas de una manera que permite a dos partes que nunca se han comunicado antes establecer confianza e intercambiar datos cifrados de forma segura.
El problema central que resuelve PKI es la autenticación de claves públicas. La encriptación asimétrica requiere tener la clave pública correcta para la persona o sistema con el que desea comunicarse. Pero, ¿cómo saber que la clave pública que recibió está realmente asociada con quien dice ser? Sin un mecanismo para verificar esto, un atacante podría interceptar su solicitud de la clave pública de alguien y sustituirla por la suya — luego leer y re-cifrar sus mensajes sin que ninguna de las partes lo sepa. Esto se llama un ataque de intermediario.
PKI resuelve esto a través de certificados digitales. Un certificado digital es un archivo que vincula una clave pública a una identidad — una persona, organización o nombre de dominio — y está firmado digitalmente por un tercero de confianza llamado autoridad certificadora (CA). Cuando su navegador se conecta a un sitio web a través de HTTPS, recibe el certificado del sitio, verifica que está firmado por una CA en la que confía el navegador y comprueba que el nombre de dominio en el certificado coincide con el que está en la barra de direcciones.
Las autoridades certificadoras son una jerarquía escalonada. Las CA raíz — cuyos certificados están integrados en sistemas operativos y navegadores durante la instalación — firman CA intermedias, que a su vez firman certificados de entidades finales para sitios web, servidores de correo y otros servicios. Una cadena de confianza conecta cada certificado de vuelta a una raíz de confianza.
El sistema depende de que las CA en ese almacén de confianza sean confiables. Cuando una CA es comprometida o se comporta mal, las consecuencias pueden ser amplias. En 2011, la CA holandesa DigiNotar fue comprometida y se emitieron certificados fraudulentos para dominios, incluido google.com, que se utilizaron en ataques contra usuarios de Internet iraníes. Después de que se descubrió el compromiso, los navegadores revocaron los certificados de DigiNotar, lo que efectivamente hizo que la empresa no pudiera operar.
Los registros de transparencia de certificados, introducidos como respuesta a incidentes como DigiNotar, crean registros públicos, de solo anexión, de cada certificado emitido. Esto permite a los propietarios de dominios e investigadores de seguridad monitorear la emisión no autorizada de certificados para sus dominios.
Credit: Zulfugar Karimov / Unsplash
Una vulnerabilidad es una debilidad en el software, hardware o una configuración que podría ser explotada por un atacante para obtener acceso no autorizado, escalar privilegios o causar interrupciones. Las vulnerabilidades son un producto inevitable de la complejidad del software moderno — incluso el código bien escrito, operando en un entorno complejo con otros software, puede contener fallas que se vuelven aparentes solo después del despliegue.
El ciclo de descubrimiento a parche funciona aproximadamente de la siguiente manera: un investigador o atacante descubre una vulnerabilidad, ya sea analizando el código del software o mediante pruebas. Si el investigador sigue prácticas de divulgación responsable, informa la vulnerabilidad al proveedor antes de hacerla pública, dando tiempo al proveedor para desarrollar y lanzar un parche. Después de que se lanza el parche, o a veces antes, los detalles sobre la vulnerabilidad se hacen conocidos, momento en el cual los sistemas no parcheados se convierten en objetivos.
La gestión de parches, la práctica de aplicar sistemáticamente actualizaciones de seguridad al software y sistemas, es una de las cosas más efectivas que una organización puede hacer para reducir la superficie de ataque. El ataque de ransomware WannaCry de 2017, que afectó a cientos de miles de sistemas en 150 países, explotó una vulnerabilidad en sistemas Windows para la cual Microsoft $MSFT había lanzado un parche dos meses antes. Las organizaciones que no habían aplicado el parche permanecieron vulnerables.
Las vulnerabilidades de día cero son aquellas que son desconocidas para el proveedor y para las cuales aún no existe un parche. El nombre se refiere al hecho de que el proveedor ha tenido cero días para abordar el problema. Las vulnerabilidades de día cero son mercancías valiosas en ciertos mercados, utilizadas por gobiernos para operaciones de inteligencia y vendidas a corredores por sumas sustanciales, porque los defensores no pueden parchear algo que no conocen.
El sistema de Vulnerabilidades y Exposiciones Comunes (CVE) asigna identificadores estandarizados a vulnerabilidades públicamente conocidas, lo que facilita el seguimiento y la comunicación sobre problemas específicos a través de herramientas y bases de datos. Cada entrada CVE incluye una descripción de la vulnerabilidad, las versiones de software afectadas y una puntuación de gravedad.
La gestión de parches parece simple pero implica una complejidad operativa real en grandes entornos. Las actualizaciones deben probarse antes de su implementación general para asegurarse de que no rompan aplicaciones críticas. Algunos sistemas heredados ejecutan software que ya no recibe soporte ni parches, lo que presenta un desafío persistente para las organizaciones que no pueden reemplazarlos fácilmente.
Credit: Zulfugar Karimov / Unsplash
La gestión de identidades y accesos (IAM) es la disciplina de asegurar que las personas adecuadas, y solo las personas adecuadas, tengan acceso a los recursos correctos, en los momentos adecuados, por las razones correctas. Cubre los sistemas y procesos utilizados para crear, mantener y eliminar cuentas de usuario, asignar permisos y monitorear cómo se ejerce el acceso.
La autenticación es la verificación de que un usuario es quien dice ser. La autorización es la determinación de lo que ese usuario tiene permitido hacer una vez que se establece su identidad. Los dos son procesos distintos, aunque están estrechamente relacionados. Un usuario puede autenticarse exitosamente, probar su identidad, pero aún así estar restringido de acceder a ciertos datos o realizar ciertas acciones porque su rol no concede ese permiso.
El principio del menor privilegio sostiene que cualquier usuario, cuenta o proceso debe tener solo los permisos mínimos necesarios para realizar su función legítima. En la práctica, esto significa que un analista de marketing no necesita acceso a la base de datos de nómina, un agente de servicio al cliente no necesita modificar configuraciones del sistema, y un proceso que lee datos de una base de datos no debería tener permisos de escritura. Los permisos amplios aumentan el potencial de daño de cualquier compromiso.
El control de acceso basado en roles (RBAC) asigna permisos a roles en lugar de a usuarios individuales. Un usuario hereda permisos al ser asignado a un rol. Cuando un empleado cambia de función laboral, se elimina su antiguo rol y se asigna uno nuevo, en lugar de ajustar manualmente los permisos individuales en docenas de sistemas.
La gestión de acceso privilegiado (PAM) se enfoca específicamente en cuentas con permisos elevados: administradores del sistema, administradores de bases de datos y otros que pueden realizar cambios significativos en la infraestructura. Estas cuentas son objetivos valiosos para los atacantes y suelen gestionarse con controles adicionales: credenciales separadas en bóvedas, requisitos adicionales de autenticación y grabación de sesiones que captura todo lo realizado durante una sesión privilegiada.
Las revisiones de acceso son procesos periódicos en los que una organización audita quién tiene acceso a qué, confirma que el acceso sigue siendo apropiado y revoca permisos que ya no son necesarios. Las cuentas pertenecientes a exempleados que no se desprovisionaron adecuadamente se han utilizado como puntos de entrada para ataques mucho después de que la persona dejó la organización.
Credit: FlyD / Unsplash
HTTPS es la versión segura de HTTP, el protocolo a través del cual los navegadores web solicitan y reciben contenido de los servidores web. La "S" significa seguro, y la seguridad la proporciona TLS — Transport Layer Security — un protocolo criptográfico que cifra los datos en tránsito entre el navegador y el servidor.
Cuando un navegador se conecta a un sitio web a través de HTTPS, la conexión comienza con un apretón de manos TLS: una breve negociación en la que el navegador y el servidor acuerdan qué versión de TLS y qué algoritmos criptográficos usar, el servidor presenta su certificado para probar su identidad, y las dos partes intercambian información para derivar una clave de cifrado compartida para la sesión. Una vez que se completa el apretón de manos, todos los datos fluyen a través del túnel cifrado.
El icono de candado que aparece en la barra de direcciones de un navegador indica que la conexión está cifrada y que el certificado del servidor fue validado por una CA de confianza. No garantiza que el sitio web en sí sea legítimo o que los operadores sean quienes dicen ser. Un sitio de phishing puede obtener un certificado TLS válido — y muchos lo hacen — porque las autoridades certificadoras emiten certificados a cualquiera que demuestre control de un dominio, no solo a organizaciones que han sido verificadas como de confianza.
Este es un punto comúnmente malentendido. El candado significa que la conexión está cifrada, no que puedas confiar en el sitio web. Un sitio fraudulento en paypaI.com — con una I mayúscula en lugar de una L minúscula en "Pal" — puede tener un certificado TLS perfectamente válido para su dominio, porque la autoridad certificadora ha verificado que el propietario del sitio controla ese dominio, no que el sitio sea PayPal $PYPL.
El protocolo SSL más antiguo, que fue reemplazado por TLS, es el origen del término comúnmente utilizado "certificado SSL". Técnicamente, los certificados TLS actuales no son certificados SSL, ya que el protocolo SSL está obsoleto e inseguro, pero el término ha persistido como una abreviatura informal.
HTTP Strict Transport Security (HSTS) es un mecanismo que instruye a los navegadores a conectarse siempre a un dominio a través de HTTPS, incluso si un usuario escribe la dirección sin el esquema o sigue un enlace HTTP. Previene ciertos ataques de degradación que podrían eliminar la encriptación de una conexión.
Credit: Markus Winkler / Pexels
El Sistema de Nombres de Dominio (DNS) es la guía telefónica de internet. Cuando escribes una URL en un navegador, el DNS traduce el nombre de dominio legible por humanos —como quartz.com— en una dirección IP que los enrutadores pueden usar para dirigir el tráfico al servidor correcto. El DNS es una infraestructura fundamental para virtualmente toda la comunicación en internet, y su seguridad tiene amplias implicaciones.
Las consultas y respuestas DNS tradicionalmente se envían en texto plano. Un observador en la red —tu proveedor de servicios de internet, un operador de red o cualquier persona posicionada para interceptar tu tráfico— puede ver qué nombres de dominio estás resolviendo, lo que revela los sitios que estás visitando incluso si el contenido de tus conexiones está encriptado. DNS sobre HTTPS (DoH) y DNS sobre TLS (DoT) son protocolos más recientes que encriptan las consultas DNS, abordando esta visibilidad.
El envenenamiento de caché DNS, también llamado suplantación de DNS, es un ataque en el que se inyecta información falsa en la caché de un resolvedor DNS. Si tiene éxito, los usuarios cuyas consultas son atendidas por ese resolvedor pueden ser dirigidos a una dirección IP maliciosa al buscar un dominio legítimo, llegando a un sitio controlado por un atacante mientras la barra de direcciones muestra la URL esperada. DNSSEC, un conjunto de extensiones al protocolo DNS, utiliza firmas digitales para verificar la autenticidad de los registros DNS y prevenir este tipo de envenenamiento.
La seguridad del registro de dominios es una preocupación separada. El secuestro de dominios ocurre cuando un atacante toma control del registro de un dominio, a menudo comprometiendo la cuenta del registrador a través de phishing o relleno de credenciales. Una vez que controlan el registro del dominio, pueden redirigir el tráfico, obtener certificados TLS e interceptar correos electrónicos para ese dominio. Las cuentas de registradores deben protegerse con una autenticación fuerte, como debería hacerse con cualquier otra cuenta de alto valor.
La toma de control de subdominios es una clase de vulnerabilidad que surge cuando un registro DNS apunta a un servicio externo, como un bucket de almacenamiento en la nube o una plataforma de aplicaciones de terceros, que la organización original ya no usa. Si se elimina el recurso externo pero el registro DNS permanece, un atacante a menudo puede reclamar el recurso en la plataforma externa y tomar control del subdominio.
El secuestro de dominios y el typosquatting implican registrar dominios que se asemejan mucho a los legítimos, ya sea con errores comunes de ortografía, caracteres transpuestos o diferentes dominios de nivel superior, para capturar el tráfico de usuarios que cometen errores de entrada o hacen clic en enlaces imprecisos.
Credit: Compagnons / Unsplash
La respuesta a incidentes es el proceso organizado mediante el cual una organización detecta, contiene, investiga y se recupera de un incidente de ciberseguridad. Es tanto una actividad de planificación y gobernanza como una técnica: el trabajo realizado antes de un incidente determina cuán efectivamente responde la organización cuando ocurre uno.
El Instituto Nacional de Estándares y Tecnología (NIST) describe el ciclo de vida de la respuesta a incidentes en cuatro fases: preparación, detección y análisis, contención, erradicación y recuperación, y actividad posterior al incidente. Otros marcos utilizan estructuras ligeramente diferentes, pero la secuencia subyacente es consistente.
La preparación implica establecer un plan de respuesta a incidentes, definir roles y responsabilidades, crear canales de comunicación y asegurarse de que la supervisión y el registro estén implementados para que los incidentes puedan ser detectados e investigados. Una organización que no haya hecho este trabajo antes de un incidente pasará las primeras horas de una crisis tomando decisiones que deberían haberse tomado meses antes.
La detección es a menudo la fase más difícil. El tiempo promedio entre la intrusión inicial y la detección en un ataque sofisticado históricamente se ha medido en semanas o meses, aunque este intervalo se ha acortado a medida que las herramientas de detección han mejorado. Muchas brechas no son descubiertas por la supervisión interna sino por terceros: un banco que ve transacciones sospechosas, un investigador de seguridad que encuentra datos robados en línea o las fuerzas del orden que actúan sobre inteligencia.
La contención se centra en limitar el daño de un incidente activo sin destruir las pruebas necesarias para la investigación. La estrategia de contención adecuada depende de la naturaleza del incidente. Desconectar un sistema comprometido de la red detiene a un atacante de usarlo, pero también puede alertarlo sobre su descubrimiento, lo que podría hacer que aceleren o destruyan artefactos. La preservación forense de datos volátiles, como el contenido de la memoria o las conexiones de red activas, a menudo debe realizarse antes de tomar acciones de contención.
La revisión posterior al incidente, a veces llamada revisión posterior a la acción o proceso de lecciones aprendidas, es donde las organizaciones extraen mejoras duraderas de experiencias difíciles. Las preguntas centrales son qué funcionó en la respuesta, qué no, y qué cambios en controles, procesos o herramientas habrían prevenido o limitado el incidente. Las organizaciones que omiten este paso repiten los mismos incidentes.
Credit: Tima Miroshnichenko / Pexels
La web oscura se refiere a partes de internet que no están indexadas por motores de búsqueda estándar y son accesibles solo a través de software especializado, comúnmente el navegador Tor. El término se usa a menudo de manera imprecisa para abarcar tanto la web oscura propiamente dicha como la web profunda más amplia, que incluye cualquier contenido no accesible para los rastreadores web, como páginas protegidas por contraseña, bases de datos privadas, intranets corporativas internas.
Tor, originalmente desarrollado para la Marina de EE.UU., enruta el tráfico de internet a través de una serie de servidores operados por voluntarios, cifrando los datos en cada paso y ocultando el origen y destino de la comunicación. El diseño proporciona anonimato tanto para los usuarios como para los operadores de sitios (llamados servicios ocultos o servicios onion, nombrados por el dominio de nivel superior .onion utilizado para dirigirlos).
La web oscura alberga tanto contenido legítimo como dañino. Es utilizada por periodistas que se comunican con fuentes en entornos represivos, por disidentes políticos, por personas en países donde el acceso a internet está fuertemente censurado y por la policía en investigaciones. También es el hogar de mercados que comercian con credenciales robadas, datos de tarjetas de pago, documentos de identidad, malware y otros bienes ilícitos.
La inteligencia de amenazas es la práctica de recolectar, analizar y distribuir información sobre amenazas: quién está atacando, cómo operan, qué infraestructura usan y qué objetivos persiguen. Es distinta de las alertas de seguridad genéricas; es información procesable y contextualizada vinculada a adversarios y campañas específicas.
Los equipos de seguridad utilizan la inteligencia de amenazas para priorizar qué vulnerabilidades deben parchearse urgentemente, para configurar reglas de detección para herramientas y comportamientos de atacantes conocidos, y para entender si su organización está siendo activamente atacada por grupos específicos. Las fuentes de inteligencia de proveedores comerciales, agencias gubernamentales y grupos de intercambio de información de la industria contribuyen a esta imagen.
Los indicadores de compromiso (IoC) son artefactos específicos y observables —direcciones IP, nombres de dominio, hashes de archivos, asuntos de correos electrónicos, firmas de red— que indican que un sistema puede haber estado involucrado en una actividad maliciosa. Los IoC se comparten entre organizaciones para que la detección de un ataque contra una pueda ayudar a otras a identificar si enfrentan la misma amenaza.
Credit: AI25.Studio Studio / Pexels
Un punto final es cualquier dispositivo que se conecta a una red y sirve como punto de entrada o salida para datos: laptops, computadoras de escritorio, teléfonos inteligentes, tabletas y, cada vez más, dispositivos industriales, equipos médicos y hardware de hogares inteligentes clasificados bajo el Internet de las Cosas (IoT). La seguridad del punto final se refiere a los controles y prácticas utilizados para proteger estos dispositivos de comprometerse.
El software antivirus tradicional funciona comparando archivos y procesos con una base de datos de firmas de malware conocidas. Cuando un archivo coincide con una firma conocida, el software lo bloquea o lo pone en cuarentena. Este enfoque es efectivo contra amenazas conocidas pero limitado contra nuevas: una pieza de malware que nunca se ha visto antes no coincide con ninguna firma y no será detectada.
Las herramientas de detección y respuesta de puntos finales (EDR) representan un enfoque más sofisticado. En lugar de depender únicamente de firmas, el EDR monitorea continuamente la actividad del dispositivo: qué procesos se están ejecutando, qué archivos se están modificando, qué conexiones de red se están estableciendo, y utiliza el análisis de comportamiento para identificar patrones sospechosos. Si un proceso normalmente asociado con un editor de texto comienza a intentar conectarse a servidores externos o leer archivos de credenciales, el EDR puede marcar ese comportamiento incluso si el malware subyacente no tiene una firma conocida.
La encriptación de dispositivos protege los datos almacenados en un dispositivo si se pierde o es robado físicamente. La encriptación de disco completo significa que el contenido del disco de almacenamiento está encriptado; sin las credenciales correctas para desbloquear el dispositivo, los datos en bruto en el disco son ilegibles. Ambos sistemas operativos principales para consumidores, Windows y macOS, incluyen herramientas de encriptación de disco (BitLocker y FileVault, respectivamente) que se pueden habilitar en la configuración.
El software de gestión de dispositivos móviles (MDM) permite a las organizaciones gestionar y aplicar políticas de seguridad a los dispositivos de trabajo de los empleados, haciendo cumplir los requisitos de bloqueo de pantalla, exigiendo la encriptación de discos, borrando remotamente un dispositivo si se pierde y controlando qué aplicaciones se pueden instalar. Esto es particularmente relevante en entornos donde los empleados usan dispositivos personales para trabajar.
La seguridad IoT es un desafío significativo no resuelto. Muchos dispositivos IoT, como enrutadores domésticos, cámaras inteligentes, termostatos y sensores industriales, ejecutan software embebido que es difícil o imposible de actualizar, vienen con contraseñas predeterminadas que los usuarios nunca cambian y carecen de los recursos de hardware para ejecutar software de seguridad convencional. Representan una gran y a menudo desprotegida superficie de ataque.
