Tu organización acaba de sufrir un ataque de ransomware. Tus departamentos de ciberseguridad yTI se están apresurando para poner en marcha yhacer operativo tu plan de respuesta ante incidentes. De repente, todo el mundo se da cuenta de que no puede iniciar sesión en ningún sistema. ¡¿Directorio Activo debe de estar fuera de línea?! Las herramientas de autenticación yautorización de tu organización se han visto afectadas.
Tras horas de evaluación yanálisis de la magnitud del problema, su equipo de respuesta a incidentes cibernéticos informa de que restaurar los servicios básicos de AD, así como los de autenticación yautorización, llevará más de una semana, si todo va bien.
Pensaba que su plan de resiliencia, con copias de seguridad de AD yuna plataforma de identidad SaaS, era suficiente. Pero incluso con el SaaS en la ecuación, la recuperación es compleja ymanual, lo que retrasa el retorno a un nivel mínimo de operatividad cuando el tiempo es lo más importante.
La resiliencia significa que puedes restaurar la autenticación yla autorización de forma rápida, predecible yfiable, ya sea que la interrupción se deba a una actividad maliciosa, a una interrupción del servicio o a una configuración errónea accidental.
Comprender la amenaza
Los atacantes se centran en AD porque es el plano de control de identidades. Una vez que consiguen afianzarse, suelen establecer persistencia creando cuentas ocultas o de puerta trasera, para luego recopilar credenciales yescalar privilegios. Con acceso elevado, se desplazan lateralmente por los sistemas ylas aplicaciones, a veces permaneciendo inactivos el tiempo suficiente como para que la primera señal clara sea cuando la autenticación empieza a fallar.
Adquieren un amplio conocimiento de la red, el personal ylas aplicaciones de la organización. Y cuando están listos para maximizar el impacto, pueden cifrar o corromper el bosque de AD, lo que interrumpe los inicios de sesión ycomplica la Recoveryen todo el entorno.
¿Por qué la identidad (ypor qué AD en primer lugar)?
Es habitual que la pila de identidades de una organización, especialmente AD yEntra ID, se vuelva compleja con el tiempo. Los bosques se amplían, los permisos se multiplican, se acumulan políticas heredadas ylos procesos «suficientemente buenos» a menudo se convierten en una deriva de seguridad a largo plazo. Esa complejidad crea puntos ciegos, ylos defensores pierden una visibilidad clara de cómo evolucionan los roles, los privilegios ylas políticas.
Y nunca se trata «solo de AD». La identidad es un ecosistema: las soluciones de gobernanza de identidades yacceso (IGA), el acceso privilegiado, la identidad de los clientes, los proveedores de identidades, las bases de datos de autenticación yel inicio de sesión único (SSO) se remiten todos a la misma realidad. Por eso los incidentes de identidad (e incluso las configuraciones erróneas cotidianas) pueden causar una interrupción desproporcionada en comparación con muchos otros fallos de infraestructura.
El reto de la recuperación es donde la mayoría de los planes se ponen a prueba. Incluso con copias de seguridad, la recuperación del bosque es un proceso de varios pasos yde alto riesgo, en el que las instrucciones para la recuperación manual pueden implicar entre 50 y100 (o más) pasos individuales ypuede llevar de días a semanas, dependiendo de la complejidad del entorno ydel grado de preparación.
La verdadera pregunta no es «¿tenemos copias de seguridad?», sino «¿pueden los equipos aprovechar las copias de seguridad para actuar con eficacia bajo presión, yse han probado yverificado los manuales de procedimientos para que la recuperación no se convierta en una situación caótica ypropensa a errores en el peor momento posible?».
La solución
La necesidad de contar con un plan de Recoveryes enorme. Este debe someterse a pruebas yverificarse. Las organizaciones deben saber ycomprender que su plataforma de gestión de identidades es el objetivo número uno de los ciberdelincuentes ylos ciberataques. Por ello, debe protegerse como tal. Es necesario realizar copias de seguridad, probarla yverificar que se pueda recuperar. Esto incluye:
- Copias de seguridad de las plataformas de AD, Entra ID e IGA.
- Planes de recuperación probados yverificados.
- Entornos de recuperación aislados yCleanroom.
- Flujo de trabajo yautomatización de la Recoveryde AD.
Una sólida gobernanza ysupervisión de identidades siguen siendo fundamentales, pero solo son una parte de la ecuación. Lo que se busca es la capacidad de detectar a tiempo comportamientos sospechosos relacionados con las identidades, contenerlos rápidamente yrecuperarse con confianza cuando se produce un cambio que no debería ocurrir (ya sea una actividad maliciosa o una modificación accidental que impida la autenticación).
Esto también significa que debe integrar las cuentas de identidad yla actividad de los usuarios en SecOps yvigilar continuamente señales como la creación no autorizada de cuentas, los cambios en los privilegios ylos patrones de autenticación anómalos, además de contar con una ruta de Recoveryprobada, repetible ylimpia.
Commvault yDeloitte: una alianza para la resiliencia de la identidad
La resiliencia de la identidad es un reto empresarial que requiere una sólida gobernanza, procesos, controles ytecnología habilitadora. Por eso, Deloitte yCommvault se han asociado para ofrecer programas integrales de protección, Recoveryyresiliencia de la identidad en los que las organizaciones puedan confiar cuando más importa.
Deloitte aporta una amplia experiencia en riesgo cibernético, resiliencia empresarial ygestión de identidades yaccesos para ayudar a las organizaciones de la lista Fortune 100 a 1000 a diseñar, implementar yponer en marcha programas de resiliencia de identidades.
Estos programas ayudan a los clientes a evaluar su postura de seguridad, mejorar las capacidades de detección yrespuesta, ydefinir los requisitos mínimos viables de la empresa; a continuación, elaboran planes de Recoveryprobados yverificados con plazos claros yresponsabilidades bien definidas entre las partes interesadas del negocio yde TI. Deloitte convierte la resiliencia de la identidad en un programa ejecutable con manuales de procedimientos, pruebas yReadiness, para que los equipos sepan cómo se actúa cuando se está «preparado» bajo presión.
Commvault hace que los programas de resiliencia sean operativos gracias a la protección integrada ya los flujos de trabajo de Recoveryautomatizados en todos los sistemas de identidad, además de Commvault AirGapyCleanroom para garantizar una recuperación repetible, limpia yvalidada cuando más importa. Commvault proporciona la base tecnológica con capacidades de resiliencia de la identidad que incluyen:
- Protección de los sistemas de identidad críticos, incluidos AD yEntra ID, comparación de momentos concretos ysoporte para la reversión de cambios no deseados o accidentales.
- Auditoría ydetección para identificar tempranamente modificaciones sospechosas (quién cambió qué ycuándo), lo que ayuda a reducir el margen de tiempo del que disponen los atacantes para propagarse o persistir.
- Flujos de trabajo de recuperación automatizados, incluida la automatización de la recuperación a nivel de bosque, para ayudar a reducir la carga manual yel riesgo de errores durante la restauración de identidades.
- Commvault Cleanroom, para ayudar a validar la recuperación de identidades de forma aislada antes de restablecer la confianza en el entorno de producción.
- Commvault AirGap, que ayuda a mantener copias de seguridad inmutables yaisladas físicamente (air-gapped), creando una base protegida que permite una recuperación limpia ypruebas en entorno aislado cuando no se puede confiar en la identidad (o en el entorno que la rodea).
Pasa a la acción
Si desea poner a prueba su Readiness para la recuperación cibernética, comience con un taller de Active Directoryde Deloitte para identificar las dependencias yelaborar un plan claro yviable para recuperar AD ylas cargas de trabajo yvolver a la producción. A continuación, valídelo de la forma adecuada: utilice Commvault para ensayar la recuperación en un entorno aislado antes de que sea necesario en una situación real.
Para las organizaciones dispuestas a dar el siguiente paso, podemos ampliar esto a una prueba piloto de 30 días que ponga en marcha la Recoveryylas pruebas en un entorno aislado con elementos reales yresultados medibles. Ponte en contacto con tu representante de Deloitte en commvaultsalesteam@deloitte.como con tu representante de Commvault endeloittealliance@commvault.com para obtener más información.
Dave Nowak es director de Ciberdefensa yResiliencia en Deloitte, yMichael Fasulo es director sénior de Marketing de Cartera en Commvault.
