Predicciones de ciberseguridad para 2024
Cada año, me reúno con un grupo de mis talentosos colegas aquí en Quest para intercambiar ideas sobre las tendencias clave para el próximo año. No es sorprendente que varias de nuestras predicciones se centren en la inteligencia artificial (IA) y el aprendizaje automático (ML); Revelaré lo que nuestros expertos creen que es exageración versus realidad en esta área de rápida evolución y de importancia crítica.
Pero la IA no es el único tema que impulsa importantes tendencias de TI. De hecho, estamos viendo un aumento más amplio en la complejidad de gestionar y proteger los ecosistemas de TI híbridos actuales, lo que se vuelve más difícil debido a los desafíos económicos globales y la escasez de talento en TI. Estas fuerzas se combinan para impulsar a las organizaciones hacia soluciones efectivas e integradas que puedan mejorar la resiliencia cibernética, de manera eficiente y rentable. Como lo expresa Gartner, “la creciente complejidad en la seguridad está desafiando a los profesionales de la seguridad a decidir dónde centrar sus esfuerzos. El volumen de amenazas y las interrupciones que causan impulsarán el interés hacia soluciones de seguridad que ayuden a identificar y priorizar los riesgos y exposiciones más críticos. " (Gartner, "Tecnología emergente: seguridad: el futuro de la gestión de la superficie de ataque apoya la gestión de la exposición"; Ruggero Contu, Elizabeth Kim y Jonathan Nunez; 19 de abril de 2023; ID G00775089)
Profundicemos en las tendencias específicas que nuestro equipo predice que se desarrollarán en 2024.
1. Los adversarios tomarán la iniciativa en la batalla de la IA, pero la realidad no es tan mala como afirman los titulares.
Estamos viendo que la automatización en general (y la IA y el aprendizaje automático en particular) reclaman un papel más importante en la ciberseguridad, tanto en ataque como en defensa. Comencemos con cómo los atacantes están explotando la IA y lo que significa para el panorama de amenazas en 2024.
Como señala mi colega Matthew Vinton, consultor de sistemas estratégicos de Quest, ya estamos viendo que los avances en IA y ML están haciendo que los ataques sofisticados y poderosos sean mucho más accesibles para las masas. En particular, el panorama de amenazas cambió drásticamente en noviembre de 2022, cuando OpenAI lanzó una versión gratuita de ChatGPT, un chatbot basado en tecnología de modelo de lenguaje grande (LLM). En cinco días, más de un millón de personas se habían registrado como usuarios. Ahora parece que cada semana aparece un nuevo LLM, desde Google Bard hasta el WormGPT de código abierto (que ZDNet denominó "el primo malicioso de ChatGPT") y el próximo Grok de xAI (que, según Elon Musk, tendrá una "racha rebelde"). Quizás la forma más obvia en que estas herramientas están empoderando a los ciberdelincuentes es permitiéndoles recopilar información y generar texto rápidamente. De hecho, las investigaciones muestran que los LLM han reducido el tiempo necesario para elaborar correos electrónicos de phishing "altamente convincentes" de días a apenas minutos.
Sin embargo, desafortunadamente, lanzar una avalancha de correos electrónicos de phishing convincentes es solo una de las muchas formas en que los adversarios abusan de la IA. Por ejemplo, los LLM ahora cuentan con capacidades que van mucho más allá de simplemente devolver texto: ahora pueden realizar solicitudes de API, ejecutar búsquedas, ejecutar código generado y más. De hecho, el Open Worldwide Application Security Project (OWASP), una fundación sin fines de lucro que trabaja para mejorar la seguridad del software, realizó una lluvia de ideas sobre 43 amenazas distintas para los modelos de lenguajes grandes (LLM). Su lista reducida de las diez principales vulnerabilidades para los LLM incluye inyección rápida, fuga de datos, envenenamiento de datos de entrenamiento, sandboxing inadecuado y ejecución de código no autorizado. Al explotar estas vulnerabilidades, los adversarios pueden lograr una amplia gama de objetivos, como la filtración de datos, la ejecución remota de código, la escalada de privilegios y la interrupción del servicio.
Por lo tanto, está claro que las tecnologías de inteligencia artificial serán un arma cada vez más poderosa para una amplia gama de actores maliciosos. Pero antes de desesperarse, considere esta perspectiva de Mike Wilson, distinguido ingeniero y evangelista de seguridad de IA en Quest. Reconoce que en 2024 y en los próximos años, los atacantes probablemente tomarán ventaja en el uso de la IA. Por ejemplo, las grandes tiendas de ransomware explotarán agresivamente la tecnología para lanzar ataques de mayor perfil con una mayor tasa de éxito.
Sin embargo, explica, eso está muy lejos de la exageración que sugiere que la IA empoderará a cada persona con impulsos maliciosos para convertirse en un ciberdelincuente de alto poder. La verdad es que utilizar la IA de forma eficaz requiere algunas habilidades técnicas importantes. Por ejemplo, supongamos que alguien logra engañar a Chat GPT para que escriba un programa C# para enviar un correo electrónico en el que se puede hacer clic y diseñado para instalar malware en el dispositivo de la víctima. Las defensas de la empresa objetivo deberían detectar y bloquear fácilmente este ataque. Para crear algo que realmente supere las defensas modernas, un adversario necesita tener una comprensión mucho más profunda de la ingeniería de software, las aplicaciones comerciales y sus vulnerabilidades, y las herramientas y técnicas de ciberseguridad. Por lo tanto, al menos hasta 2024, la falta de experiencia técnica seguirá siendo una enorme barrera para los aspirantes a piratas informáticos.
2. La adopción de la IA para la defensa progresará, pero a un ritmo más lento.
Ahora pasemos a cómo los defensores utilizarán la IA para mejorar la ciberseguridad en 2024. Está claro que la IA estará en el radar de los líderes corporativos: en una encuesta entre las partes interesadas en la ciberseguridad, un 98% de los encuestados dijeron que estaban al menos algo preocupados. sobre los riesgos de ciberseguridad que plantean las tecnologías de IA. Pero, ¿cómo adaptarán y mejorarán las organizaciones sus defensas?
Bryan Patton, CISSP y consultor principal de soluciones de Quest, explica que las organizaciones deben centrarse tanto en la mitigación proactiva de riesgos como en la detección y respuesta a amenazas en tiempo real. Con la actual escasez de talento en ciberseguridad (¡más sobre eso en un momento!), las organizaciones buscarán botones fáciles proverbiales que agilicen y automaticen estas tareas críticas, incluidas las siguientes:
- Herramientas que pueden identificar e incluso ayudar a corregir errores de configuración de sistemas y aplicaciones que están listos para ser explotados por actores maliciosos.
- Una solución que traza rutas de ataque en Active Directory (AD): cadenas de privilegios y acciones de los que se puede abusar que podrían permitir que un adversario que se haya apoderado de una cuenta de usuario común tome el control de todo el entorno de TI en solo unos pocos pasos, y la puntos de estrangulamiento que necesitan mitigar para cerrar esas rutas de ataque
- Herramientas que aceleran la detección y respuesta a incidentes mediante el análisis de registros, la identificación de amenazas verdaderas y la reducción de alertas falsas.
Las organizaciones también buscarán fortalecer su enfoque de autenticación y autorización en respuesta al mayor uso de la IA generativa y la tecnología deepfake. Por ejemplo, un adversario utilizó con éxito la IA para falsificar la voz de un miembro del equipo de TI y obtener un código de autenticación multifactor (MFA) necesario para promover su ciberataque a la empresa de software Retool. Para bloquear tales ataques, las organizaciones deben redoblar su apuesta por un modelo de seguridad Zero Trust. Necesitan obtener una comprensión profunda de sus activos críticos, o Nivel Cero, desafiar cada autenticación, acceso y cambio en torno a esos activos.
3. La IA no será una panacea para la escasez de talento en TI.
Como recordarán, superar la escasez de talento en TI fue el tema central de las predicciones de Quest para 2022. En aquel entonces, describimos tres factores clave que exacerban la brecha de habilidades: la escasez de talento en TI, la Gran Renuncia y la Gran Resistencia.
Predijimos que estas realidades llevarían a las organizaciones a la nube y a soluciones automatizadas de terceros, y esas estrategias de hecho han ayudado a aliviar la carga de la gestión de TI. Sin embargo, como señala Brian Hymer, arquitecto de soluciones de Quest, la escasez de talento en TI está demostrando ser un desafío difícil y de largo plazo que puede tener ramificaciones costosas. Por ejemplo, la falta de experiencia en ciberseguridad puede provocar configuraciones erróneas de aplicaciones y componentes de infraestructura críticos. Una sola configuración mal configurada puede abrir la puerta a una infracción grave y todas las costosas consecuencias: tiempo de inactividad prolongado y pérdida de ingresos, costosos esfuerzos forenses y de reparación, fuertes sanciones por cumplimiento, daños duraderos a la marca y más.
Como hemos visto, contar con la IA para potenciar las herramientas de seguridad en el corto plazo es una quimera. Algunas organizaciones están haciendo DYI, utilizando IA para ayudar a producir scripts de PowerShell y consultas KQL para administrar y proteger su entorno de manera más efectiva. Pero esta estrategia tiene un valor limitado por la misma razón por la que la IA no está convirtiendo a cada aspirante a hacker en una fuerza a tener en cuenta: el uso eficaz de la IA requiere experiencia subyacente. No resulta útil producir scripts de PowerShell si sus administradores de TI no tienen la experiencia para comprenderlos y solucionar problemas; de hecho, es tan probable que introduzca una vulnerabilidad en su entorno como que fortalezca la ciberseguridad.
En pocas palabras, no hay nada mejor que contar con profesionales de TI con un conocimiento básico de las tecnologías que se utilizan en su entorno de TI. En consecuencia, las organizaciones deben seguir buscando nuevos talentos en ciberseguridad donde puedan, al mismo tiempo que brindan una buena capacitación a sus equipos actuales e incentivarlos a quedarse. Curiosamente, la automatización de tareas rutinarias no sólo es valiosa para liberar a los profesionales de TI para que puedan trabajar en tareas más estratégicas; también contribuye a su satisfacción laboral.
4. Los presupuestos de ensueño para la ciberseguridad se enfrentarán a algunas duras realidades.
Por supuesto, ningún debate sobre ciberseguridad puede evitar el tema del presupuesto (¡por mucho que todos deseemos lo contrario!). John Hernandez, presidente y gerente general de Quest, ofrece un proverbial chorro de agua fría en esta área. La constante amenaza de cierres del gobierno estadounidense y rebajas de calificación crediticia por parte de Moody's, un número creciente de huelgas de trabajadores y otros obstáculos macroeconómicos están haciendo que las juntas directivas vuelvan a centrarse en el ahorro de costos. Esto significa que los presupuestos de ciberseguridad no están creciendo al ritmo que lo hicieron durante la pandemia. Como resultado, los CISO y CIO deberán priorizar sus gastos presupuestarios en 2024.
¿Cuáles son las cifras reales? Una encuesta reciente de Osterman Research a directores ejecutivos y CISO informa que los presupuestos de ciberseguridad aumentaron en promedio un 11% entre 2022 y 2023. Sin embargo, casi todos (94%) de los encuestados dijeron que el presupuesto de sus sueños sería mayor. En promedio, dicen que podrían destinar el doble de su presupuesto a un uso productivo y eficaz, y algunos desean entre tres y cinco veces más.
Mientras tanto, un informe de CSO Online encuentra que los aumentos del gasto en ciberseguridad están comenzando a disminuir en respuesta a factores como la inestabilidad global y las presiones inflacionarias. Señala que muchos CISO incluso dijeron que sus presupuestos aprobados para 2023 se estaban recortando como parte del ajuste presupuestario general. Además, entre las organizaciones que aumentaron sus presupuestos de ciberseguridad, el 80% indicó que el aumento del presupuesto se debió a un incidente de seguridad, una interrupción importante de la industria u otras circunstancias extremas.
En consecuencia, esperamos que la tendencia para 2024 sea un cambio hacia un enfoque reaccionario para financiar proyectos de ciberseguridad. Si bien los eventos desencadenantes más comunes probablemente sean infracciones u otros incidentes que provoquen tiempo de inactividad y otros costos, existen otros. Por ejemplo, a las organizaciones que buscan adquirir un seguro cibernético se les exige cada vez más que completen evaluaciones de riesgos y mitiguen las brechas de seguridad que se descubren. Otro factor común serán los hallazgos de auditoría o los requisitos regulatorios emergentes, como las nuevas reglas de la SEC sobre riesgo de ciberseguridad, gobernanza y divulgación de incidentes. ¡Incluso hemos visto a un ciberatacante presentar una queja ante la SEC contra su propia víctima por no revelar la infracción a la SEC!
5. Las organizaciones no podrán retirar los servidores antiguos de Active Directory, por lo que deberán protegerlos.
Mi conversación con mis colegas de Quest también profundizó en algunas áreas más técnicas. Dado que Quest es el proveedor de referencia para casi todo lo relacionado con Active Directory y Entra ID (anteriormente Azure AD), naturalmente exploramos las tendencias en ese campo.
En primer lugar, Richard Dean, gerente senior de gestión técnica de productos de Quest, reflexionó sobre cómo la incertidumbre en torno a la economía que acabamos de analizar afectaría los entornos de Active Directory. Señala que muchas organizaciones todavía dependen de aplicaciones heredadas que requieren un servidor Active Directory más antiguo, y describe estas aplicaciones personalizadas y de terceros como el pegamento que mantiene las instancias más antiguas de Active Directory presentes en el ecosistema de TI.
Estas aplicaciones heredadas a menudo aparecen en la lista de "cosas que realmente necesitamos abordar RSN (muy pronto)", pero el ajuste de los presupuestos de TI que acabamos de discutir reducirá la probabilidad de que las organizaciones finalmente las reescriban o las reemplacen. bonita figura redonda de cero.
Sin embargo, no se puede escapar de la realidad de que los servidores AD más antiguos de los que dependen esas aplicaciones a menudo están desactualizados, sin parches e incluso olvidados, lo que los convierte en un grave riesgo de seguridad. De hecho, son blancos fáciles para los ciberdelincuentes, quienes a menudo conocen las vulnerabilidades de AD mejor que los equipos de TI y atacan sin descanso.
Dado que los presupuestos de 2024 no permitirán una modernización completa de AD, las organizaciones deberán tomar medidas para mitigar su riesgo. Buscarán implementar controles y procesos que les permitan bloquear esas instancias más antiguas de AD para proteger su entorno de TI de los ataques.
6. Las organizaciones darán prioridad no sólo a IAM sino también a la seguridad de Active Directory.
Alejándose un poco, Daniel Gauntner, director de marketing de productos de Quest, ofreció algunas ideas sobre cómo las organizaciones abordarán Active Directory en el contexto de su estrategia de gestión de identidades y accesos (IAM). Señala que IAM es de hecho una capa crítica en seguridad, pero depende en gran medida de la integridad de los sistemas subyacentes. Para la mayoría de las organizaciones actuales, la columna vertebral de la autenticación y autorización de usuarios es Active Directory.
En consecuencia, centrarse en IAM y descuidar la seguridad de la infraestructura subyacente de Active Directory puede ser un descuido peligroso: es análogo a garantizar que los usuarios tengan acceso seguro a su automóvil con un llavero mientras se ignoran las vulnerabilidades en el motor y los sistemas de control del automóvil. Después de todo, un atacante que obtiene acceso a AD puede manipular las credenciales del usuario, comprometer datos confidenciales y potencialmente obtener control sobre todo el dominio o bosque.
En consecuencia, en 2024, las organizaciones buscarán priorizar tanto la seguridad de IAM como la de Active Directory, ya que una sin la otra deja a una organización vulnerable a costosas infracciones, tiempos de inactividad y sanciones de cumplimiento. Centrarse en ambos es vital para crear una defensa sólida contra las amenazas en evolución. Gauntner advierte que esta estrategia implica no sólo fortalecer los controles internos de ciberseguridad, sino también fortalecer la cadena de suministro eligiendo proveedores de software y servicios que se tomen en serio la seguridad.
7. Las organizaciones ampliarán su estrategia hacia la resiliencia cibernética, poniendo un énfasis renovado en la recuperación de Active Directory.
Alejándose aún más, Jason Morano, consultor senior de soluciones de Quest, predice que en 2024, las organizaciones ampliarán cada vez más su atención de la ciberseguridad a la ciberresiliencia. Después de todo, el objetivo principal de las organizaciones es mantener el negocio en funcionamiento tanto como sea posible y restaurar las operaciones rápidamente cuando sea necesario, ya sea que el tiempo de inactividad del sistema se deba a un ataque cibernético o a alguna otra causa, como un paso en falso inadvertido por parte de un administrador, un falla de hardware o un desastre natural.
Un ingrediente vital en la resiliencia cibernética es garantizar que su estrategia de recuperación ante desastres de Active Directory esté a la altura. En pocas palabras, cada segundo que su Active Directory no funciona, su negocio se hunde y los costos se disparan rápidamente. Por ejemplo, el 66% de los encuestados de Sophos dijeron que su organización se vio afectada por ransomware en 2023, y un informe reciente de Forrester Total Economic Impact encontró que un incidente de ransomware cuesta en promedio $730,000 por cada hora que AD está fuera de línea. Un informe del ITIC fija los costos aún más altos y señala que el 40 % de las empresas dice que una sola hora de tiempo de inactividad cuesta entre 1 y 5 millones de dólares. En el peor de los casos, las pérdidas pueden alcanzar millones de dólares por minuto. (Para un pateador, esas cifras ni siquiera incluyen honorarios legales, multas o sanciones resultantes del incidente).
Las organizaciones que buscan reforzar la resiliencia de sus entornos de TI no tienen que empezar desde cero. Existen marcos de ciberresiliencia establecidos que proporcionan mejores prácticas estructuradas y controles de seguridad recomendados que pueden adoptar para mejorar su capacidad para bloquear, resistir y recuperarse de las amenazas de ciberseguridad. Estos marcos no enumeran reglas estrictas a seguir ni detallan un conjunto específico de tecnologías o productos a implementar, por lo que pueden adaptarse fácilmente para cumplir con los objetivos y requisitos únicos de una organización.
8. Más organizaciones se darán cuenta de que Entra ID puede verse comprometido.
Active Directory local ha sido durante mucho tiempo el principal almacén de identidades y proveedor de servicios de autenticación y autorización para la mayoría de las organizaciones, por lo que la estrategia de ciberseguridad se ha centrado durante mucho tiempo en él. Esto sigue siendo cierto incluso cuando las organizaciones han adoptado la nube, ya que la mayoría de ellas han establecido un entorno híbrido en el que los datos de identidad se sincronizan desde Active Directory con Entra ID.
Pero mi colega Bryan Patton está viendo un cambio notable en cómo se percibe la seguridad de Entra ID. Señala que al principio de la adopción de las tecnologías de la nube, había dos puntos de vista contrastantes: algunas personas creían que los servicios de la nube eran extremadamente inseguros y otros sostenían que eran excesivamente seguros. Ahora hay una tendencia hacia un punto de vista más equilibrado y preciso: los servicios en la nube como Entra ID ofrecen controles de ciberseguridad sólidos, pero no son a prueba de balas. En otras palabras, existe un reconocimiento cada vez mayor de que Entra ID no puede descuidarse en la planificación de ciberseguridad y ciberresiliencia de una organización.
Este cambio se basa, al menos en parte, en experiencias de la vida real y en cifras frías y concretas. Los asistentes a la Conferencia de Expertos (TEC) de 2022 y 2023, por ejemplo, vieron lo fácil que es para los adversarios robar una ficha y eludir la MFA. Y Microsoft acaba de informar en su Informe de Defensa Digital 2023 que durante el último año, los ataques basados en contraseñas se han multiplicado por diez y los ataques de repetición de tokens se han duplicado.
El hecho es que las configuraciones y atributos de Entra ID son como un plato de espaguetis en un entorno de un solo inquilino, y mucho menos cuando tienes varios inquilinos. Como resultado, los administradores y otros profesionales de TI que juegan a la defensiva tienen dificultades para detectar configuraciones incorrectas, cambios sospechosos y otras amenazas. Esta falta de visibilidad dará lugar a más infracciones, lo que a su vez impulsará a las organizaciones a buscar soluciones para encontrar y remediar tanto las vulnerabilidades como las amenazas en curso.
9. Las organizaciones multiinquilino de Microsoft verán una rápida adopción, pero debe entenderse que se trata de una curita temporal.
En agosto de 2023, Microsoft lanzó una nueva solución Entra ID llamada Organización multiinquilino (MTO). Según Microsoft, un MTO es un conjunto de hasta cinco inquilinos de Entra ID conectados entre sí mediante políticas de acceso entre inquilinos para facilitar a los usuarios compartir información.
Mi colega Becky Cross, gerente técnica de productos de Quest, espera ver una rápida adopción de esta característica por parte de las organizaciones que desean lograr una colaboración rápida entre inquilinos y obtener un respiro para planificar y ejecutar su consolidación de inquilinos real. De hecho, informa que Quest ya está viendo clientes migratorios que han comenzado a utilizar MTO.
Sin embargo, Cross advierte que si bien esta característica ofrece muchos beneficios a los usuarios empresariales y acelera la primera fase de un proyecto de integración de TI de fusiones y adquisiciones, genera más dolores de cabeza de gestión para los administradores. Es decir, una organización puede lograr que los empleados de todas las entidades de un acuerdo de fusiones y adquisiciones trabajen juntos rápidamente, pero mantener inquilinos separados a largo plazo aumenta las preocupaciones de seguridad, la complejidad y los costos, ya que MTO no consolida las tareas administrativas en la parte posterior.
En resumen, la capacidad de organización multiinquilino brinda a las organizaciones una curita rápida y les permite realizar el esfuerzo de consolidación más costoso en el futuro. Pero no está pensado para una estrategia de interoperabilidad a largo plazo; en algún momento, la curita desaparecerá debido a preocupaciones de seguridad y la carga sobre los recursos administrativos.
10. En lo que respecta a fusiones y adquisiciones, las consignas para 2024 serán “búsqueda de gangas” y “antimonopolio”. "
Por último, pero no menos importante, Richard Dean, director sénior de gestión técnica de productos de Quest, centró nuestra atención en la actividad de fusiones y adquisiciones (M&A). Señala que la economía ha dado lugar a una mezcla de empresas en dificultades y ricas en efectivo, y el informe de mitad de año de 2023 de PwC sobre las tendencias globales de fusiones y adquisiciones pronostica que las transacciones del mercado medio dominarán el mercado.
Específicamente, las empresas en dificultades con ingresos estancados buscarán deshacerse de áreas no esenciales de su negocio para mejorar la apariencia de sus balances; Estas exclusiones crean oportunidades para proyectos quirúrgicos de migración de inquilino a inquilino. Mientras tanto, los sectores ricos en efectivo y de alto crecimiento seguirán atrayendo algunas fusiones y adquisiciones, lo que creará oportunidades de migración de varios años. En general, las empresas están pateando los neumáticos y buscando buenas ofertas.
Mientras tanto, en julio de 2023, la Comisión Federal de Comercio (FTC) y la División Antimonopolio del Departamento de Justicia emitieron un conjunto de directrices de fusión propuestas para comentario público. Según un comunicado, las directrices de fusión propuestas se guían por tres objetivos clave:
- Reflejar la realidad de cómo las organizaciones hacen negocios en la economía moderna.
- Reflejar el alcance total de las leyes antimonopolio de EE. UU. y el precedente legal vigente.
- Proporcionar un marco claro y administrable que puedan aplicar tanto los tribunales como los participantes del mercado.
Las organizaciones interesadas en actividades de fusiones y adquisiciones en 2024 deberán mantenerse al tanto del estado de estas pautas de fusión propuestas para garantizar que sus acuerdos cumplan con los nuevos estándares aprobados.
Conclusión
¡Eso es todo en cuanto a las predicciones de Quest para 2024! Como siempre, esperamos que los encuentre útiles para mejorar la seguridad, la productividad y la ciberresiliencia de su organización durante el próximo año.