A medida que el mundo se adapta para trabajar de forma remota, la seguridad se convierte en un tema crucial que plantea un gran desafío a las empresas. El panorama de amenazas evoluciona constantemente y las superficies de ataques son cada vez más amplias, algo que compromete a los departamentos de IT, que deben esforzarse en hacer frente a las amenazas con múltiples soluciones que a menudo no están bien integradas, ni conectadas entre sí y lo que es peor, no son lo suficientemente completas.

Para cubrir esta necesidad, Microsoft ofrece Microsoft Defender, un conjunto de soluciones de seguridad que previenen, detectan y responden a amenazas avanzadas brindando a las empresas visibilidad completa y defensa coordinada. Se divide en dos familias:

• Microsoft 365 Defender para entornos de usuario final, es un conjunto integrado de soluciones que previenen, detectan y responden a amenazas y ataques sofisticados en identidades, equipos, aplicaciones en la nube, correo electrónico y documentos.
• Azure Defender Es una evolución de Azure Security Center con capacidades de protección contra amenazas para proteger infraestructuras allí donde estén, incluyendo máquinas virtuales, bases de datos, contenedores, IoT y mucho más, tanto si se alojan en la nube híbrida (Azure y/o otras nubes) como si todavía residen en un datacenter clásico on-premise.

En el artículo anterior entramos en detalle en Microsoft 365 Defender y en este artículo vamos a explicar cómo ayuda Azure Defender.

La solución para proteger tus cargas de trabajo en la nube

Con Azure Defender, integrado con Azure Security Center, obtienes una capa adicional de seguridad con la que podrás proteger tus cargas de trabajo alojadas en cualquier nube y/o on-premise haciendo frente a las amenazas más avanzadas, como, por ejemplo, ataques de fuerza bruta del protocolo de escritorio remoto (RDP) o ataques de inyección de código SQL. Asimismo, con Azure Defender podrás optimizar tu seguridad con inteligencia artificial y automatización.

Consola de Azure Defender integrado en Azure Security Center

¿Qué tipos de recursos protege Azure Defender?

Azure Defender unifica la administración de seguridad de diferentes tipos de cargas de trabajo dentro de Azure Security Center brindando defensas integrales en los siguientes tipos de recursos:

• Azure Defender para servidores:  Detección de amenazas y protección avanzada para las máquinas con Windows y Linux que incluye tecnología de aprendizaje automático y análisis de la evaluación de vulnerabilidades en máquinas virtuales.
• Azure Defender para App Service: Identifica ataques dirigidos a aplicaciones web que se ejecutan mediante App Service, examinando constantemente las aplicaciones para detectar posibles vulnerabilidades.
• Azure Defender para almacenamiento: Es una capa de inteligencia de seguridad nativa de Azure que detecta intentos poco habituales y potencialmente peligrosos de acceder a las cuentas de almacenamiento o vulnerarlas. Utiliza las funcionalidades avanzadas de inteligencia artificial de seguridad y Microsoft Threat Intelligence para ofrecer recomendaciones y alertas de seguridad contextuales.
• Azure Defender para SQL: Amplía el paquete de seguridad de datos de Azure Security Center para proteger tus bases de datos y tus datos dondequiera que se encuentren, hospedados en máquinas virtuales de Azure, en el entorno local o en otras nubes.
• Azure Defender para Kubernetes: Azure Kubernetes Service (AKS) es un servicio que administra Microsoft y que permite desarrollar, implementar y administrar las aplicaciones en contenedores. Azure Defender brinda refuerzo del entorno, protección de la carga de trabajo y protección en tiempo de ejecución. 
• Azure Defender para registros de contenedores:  Análisis de imágenes de contenedor para detectar posibles vulnerabilidades y generación de recomendaciones de seguridad para evitar amenazas.
• Azure Defender para Key Vault: Azure Key Vault es un servicio en la nube que protege las claves de cifrado y los secretos, como certificados, cadenas de conexión y contraseñas. Azure Defender proporciona una capa adicional de inteligencia de seguridad para este servicio.
• Azure Defender para Resource Manager: Servicio de implementación y administración de Azure que permite la creación y actualización de todos los recursos de tu cuenta de Azure. Azure Defender supervisa automáticamente las operaciones de administración de recursos de cualquier organización, independientemente de que se realicen a través de Azure Portal, las API REST de Azure, la CLI de Azure u otros clientes de programación de Azure.
• Azure Defender para DNS: Proporciona una capa adicional de protección para los recursos en la nube al monitorear continuamente todas las consultas de DNS desde sus recursos de Azure y ejecuta análisis de seguridad avanzada para alertar cuando se detecta actividad sospechosa.
• Azure Defender para IoT: Detección y análisis de amenazas en entornos de IoT y la solución de Azure IoT, proporcionando un inventario de los recursos y funcionalidades para la administración de vulnerabilidades y la detección de amenazas en todos los dispositivos IoT.

Además de defender tu entorno de Azure, puedes agregar funcionalidades de Azure Defender para proteger cargas de trabajo de servidores que no son de Azure y máquinas virtuales de otras nubes (como AWS y GCP)

Alertas de seguridad integradas con Azure Sentinel

El conjunto de protección contra amenazas de Microsoft Defender, Microsoft 365 Defender y Azure Defender, están integrados con Azure sentinel, la herramienta de administración de eventos e información de seguridad, de Microsoft. Con Azure Sentinel puedes reunir todo el análisis de seguridad de Microsoft Defender en una sola vista unificada, lo que reduce la complejidad y aumenta la visibilidad para que el equipo de IT vea lo que importa, y cuando importa.

En el caso de Azure Defender, cuando detecta una amenaza en cualquiera de las áreas del entorno, genera una alerta de seguridad que contiene los detalles de los recursos afectados, los pasos de corrección sugeridos y, en algunos casos, una opción para desencadenar una aplicación lógica como respuesta.

Como conclusión, Azure Defender brinda seguridad unificada, inteligente y automatizada para permitir que las empresas obtengan visibilidad de amenazas, una capacidad de seguridad crítica que deben tener todas las organizaciones. Asimismo, la protección unificada de extremo a extremo de Microsoft Defender es clave para aumentar la resiliencia y prevenir los ataques.

Desde Softeng, estamos comprometidos para dar soluciones a nuestros clientes y ofrecerles nuestra experiencia en esta área, así que te animamos a que sigas nuestro blog en el que continuaremos informando sobre las herramientas y soluciones de seguridad que podemos ofrecerte.

¿Quieres saber más? Contacta con nosotros.

Este 2020 ha sido el año del apogeo de la ciberdelincuencia en el cual el COVID-19 ha tenido un efecto catalizador que ha dejado al descubierto las vulnerabilidades de la gran mayoría de las empresas que no estaban preparadas en términos de ciberseguridad para tener su fuerza laboral trabajando en remoto. En este escenario, la industria del cibercrimen ha visto una gran oportunidad y ha actuado muy duramente mediante ataques cada vez más sofisticados con el objetivo no solo de robar dinero a empresas o pedir un rescate por liberar sus recursos, sino para espiar, hacerse con propiedad intelectual o con objetivos gubernamentales.

Los datos de la ciberdelincuencia en el 2020

Los datos que acaba de reflejar el Centro Nacional de Inteligencia (CNI) en las XIV jornadas de ciberseguridad del Centro Criptológico Nacional (CCN) son abrumadores. Según la agencia, a raíz de la pandemia se ha detectado un claro aumento no solo en el número de ciberataques, sino en la gravedad de los mismos. En cifras, durante el 2019 el CNI detectó 3.172 ciberincidentes de peligrosidad muy alta, mientras que en el presente año 2020 se han duplicado hasta alcanzar los 6.690. Por su parte, el CCN ha detectado durante el 2020 un total de 73.184 ciber amenazas totales, un aumento del 70% respecto al año anterior.

Representantes de ambas agencias coincidían en que «estamos viviendo una situación excepcional que nos está poniendo a prueba a todos».

 Los casos más destacados

Son muchos los casos sonados de ciberataques que han trascendido a los medios a lo largo del año.

• Adeslas: Tuvo 6 semanas sus sistemas informáticos, como los que gestionan las autorizaciones de pruebas médicas y las pólizas de los usuarios, paralizados de un día para otro a causa de un ransomware.
• Mapfre: También a causa de un ransomware, tuvo que dejar al 90% de su plantilla sin poder trabajar durante varios días por una paralización de sus servidores.
• Zendal: La farmacéutica ubicada en Vigo, fue víctima de un ataque conocido como el Timo del CEO. Con este método un hacker, suplantando la identidad del director general, ordenó a un empleado del departamento financiero que realizara una transferencia bancaria por importe de 400.000 euros, dentro del marco de una operación confidencial para el desarrollo de una vacuna para el Covid-19 con un socio asiático. El departamento, confiando en que obedecía órdenes de dirección, repitió varias veces la operación. El resultado: una estafa de 9 millones de euros a la farmacéutica.
• Vueling: Junto con la empresa de envío de paquetería Nacex, sufrieron una vulnerabilidad informática que permitió a un grupo de ciberdelincuentes inyectar código malicioso en programas informáticos qué permitió modificar el comportamiento de determinados servicios para acceder a las bases de datos y robar información de miles de usuarios.
• Prosegur: Tuvo sus servidores inhabilitados debido a un ransomware. El incidente obligó a cerrar todas las cuentas y eliminar cualquier comunicación con sus clientes y provocó una grave crisis interna en la compañía, donde clientes como Inditex no se explicaban cómo la compañía que habían subcontratado para la ciberseguridad podía haber sido hackeada.
• Acciona, Adif, Decathlon o Endesa son otros ejemplos de grandes empresas que han sido atacadas en este fatídico 2020 en cuanto a ciberdelincuencia se refiere.
• Miles de Pymes. Aún así, los casos anteriores son solo la punta del iceberg. Según datos facilitados por Acierto.com, la gran mayoría de los ataques cibernéticos en España se realizan a Pymes, que son el objetivo del 70% de los ciberdelitos. Esta cifra, además, se halla por debajo de la realidad, porque no todas las empresas víctimas de ciberataques optan por denunciar por miedo a que la imagen de su empresa se vea deteriorada.

¿Qué sucede cuando eres atacado?

Las formas de obtener beneficios económicos de los hackers son cada vez más diversas y en función de los objetivos y el nivel de sofisticación, se emplean unas tácticas u otras.

Extorsión

Cuando un hacker consigue paralizar un servicio a través del bloqueo de los servidores, es posible que pidan un rescate para liberarlo de nuevo. Además, una vez llegado a este punto, los ciberdelincuentes ya tienen muchísima información acerca de la empresa, así que la cantidad exigida la miden en función de la facturación de su víctima.

Según datos de Incibe, el Instituto Nacional de Ciberseguridad, pagar un rescate no garantiza que los datos vayan a ser recuperados, y en muchos casos sirve a los ciberdelincuentes para pedir más de la cantidad originalmente exigida e incluso volver a atacar en el futuro, entendiendo que es una empresa que está dispuesta a pagar.

Venta de datos

Otra forma de monetizar su trabajo es a través de la venta de datos. Una vez adentrados en los servidores, los ciberdelincuentes tienen acceso a la información corporativa, que pueden vender a competidores, y a la información de sus clientes -datos personales como correo, teléfono o contraseñas- que suelen ser vendidos en la Deep Web a otros delincuentes que reutilizarán esas credenciales.

Habitualmente los datos son vendidos sin que la empresa tenga conocimiento de esta situación. Solo se entera cuando es un caso de extorsión.

Multa de incumplimiento

Además, al quedar comprometidos los datos sensibles de sus clientes, las empresas quedan expuestas a graves sanciones al no haber protegido lo suficiente estos datos y vulnerar así el reglamento europeo de protección de datos GDPR.

Despidos IT

Una posible consecuencia de que la empresa haya sido atacada es el despido de los responsables de la ciberseguridad. Es el caso de empresas como Prosegur, que despidió a su cúpula de ciberseguridad tras el hackeo de sus cuentas, o Innovatech, que despidió a más de 300 empleados debido a una infección masiva de ransomware.

La predicción para el 2021

Desde Softeng, coincidiendo con otros expertos en ciberseguridad, destacamos cómo los cambios producidos en teletrabajo continuarán planteando grandes desafíos, debido principalmente a las ineficiencias del acceso en remoto y a las vulnerabilidades de las VPNs.

Los dispositivos que se utilizan en los hogares estarán más expuestos y es posible que los ciberdelincuentes traten de acceder a los equipos corporativos a través de los dispositivos personales de los empleados.

Más ataques ransomware

Los ataques ransomware está siendo una de las herramientas más efectivas de los ciberdelincuentes, y lo que veremos es un aumento en el 2021. Veremos un aumento de ataques Ransomware as a Service de ‘doble chantaje’, en los que la amenaza es tanto el secuestro de los datos como la liberación pública de los mismos.

Nuevas formas de phishing

El correo electrónico seguirá siendo la puerta de entrada principal de los ciberdelincuentes, pero con señuelos cada vez más sofisticados. El aislamiento social anima a las personas a compartir más información personal en internet, que los hackers aprovechan para crear señuelos más convincentes que conduzcan al fraude y comprometan los correos electrónicos de las empresas.

¿Qué puedes comenzar a hacer para protegerte?

Afortunadamente las empresas han comenzado a tomárselo muy en serio y a adoptar medidas contundentes para proteger sus activos. Este año nuestros clientes han dado un salto importante en la protección de sus empresas: un 87% de ellos han incrementado su protección, de los cuales un 92% han reducido notablemente la cantidad de amenazas y brechas de seguridad.

Ya no basta con las medidas básicas

Según datos de Microsoft en su informe Microsoft – Digital Defense Report 2020, la gran mayoría de las empresas vulneradas no tenían ni siquiera protección básica, como el uso de doble autenticación para el acceso de los usuarios a los recursos corporativos o protección del correo electrónico y enlaces. En estas circunstancias, la vulnerabilidad es muy amplia y el esfuerzo de un hacker para acceder a los datos muy pequeño.

Adopta una estrategia Zero Trust

La confianza cero es el mejor enfoque defensivo que puede tomar tu organización. Las formas convencionales de asegurar el acceso a la red corporativa, a las aplicaciones y a los datos ya no son adecuadas en este nuevo contexto. Con una fuerza de trabajo cada vez más dispersa, ahora los datos críticos de la empresa se sitúan fuera del cortafuegos corporativo. Así que, en vez de asumir que tu organización está a salvo detrás de un firewall, debes asumir que habrá una brecha de seguridad ya sea con intenciones maliciosas o por descuido.

¿Quieres saber más? Contacta con nosotros.

El aumento de la conciencia de las empresas sobre la perspectiva actual de las ciberamenazas ha supuesto también el desarrollo de la creatividad de los atacantes y hasta el usuario más previsor y astuto puede ser víctima de ellos.

En antecedentes… ¿sabías qué?

• 286 días se tarda en detectar una intrusión.
• Más del 63% de las intrusiones de red se deben a credenciales comprometidas.
• 3,8M de dólares es el coste medio de una brecha en la seguridad de los datos para una compañía.

Aunque tengamos protegida la identidad de nuestros usuarios y datos alojados en la nube, las posibles vulnerabilidades en VPN’s e infraestrutura de servidores (especialmente los controladores de dominio – con su directorio activo local), junto a que los usuarios cometan errores (por ejemplo caer en un ataque de phishing o reutilizar contraseñas en sitios web inseguros), proporcionan vías alternativas para que los ciberdelincuentes puedan entrar hasta la «cocina».

Los atacantes, en esos casos, se mueven rápido.. y una vez obtienen las credenciales de cualquier usuario, logran asignarse privilegios de administrador (con la ayuda de archivos de log, datos residentes en memoria, archivos no encriptados y otros mecanismos), y … ya los tenemos dentro, sin poder hacer nada (por un tiempo superior a 140 días de media hasta ser descubiertos). Es más, debido a que muchas empresas todavía tienen datos en su infraestructura local, desafortunadamente, cuando se trata de ataques on-premise, «la barrera de red» que habitualmente tienen las empresas para mantenerse teóricamente a salvo, evita en realidad que la inteligencia basa en la nube de otros productos Microsoft (como AAD Identity Protection, Acceso Condicional de Azure AD y Cloud App Security) puedan ayudarlas a mantener seguros los datos alojados físicamente en su organización.

La solución: Microsoft Defender for Identity

Microsoft Defender for Identity (anteriormente denominado Azure Advanced Threat Protection) está diseñado para ayudar a las empresas a detectar y analizar ataques avanzados en infraestructura local o híbrida.

Esta tecnología permite entender de forma rápida y sencilla qué ocurre en su red, identificando rápidamente actividades sospechosas y proporcionando información clara sobre las amenazas.

En líneas generales con Defender for Identity puedes:

• Detectar actividad sospechosa de usuarios y dispositivos a través de análisis basado ​​en el aprendizaje automático y la inteligencia de amenazas de Microsoft.
• Proteger tu Directorio Activo (y por tanto a tus usuarios), a través del análisis continuo de los protocolos de autenticación.
• Obtener información clara y en tiempo real de la escala de tiempo de los ataques para responder con rapidez.
• Monitorizar múltiples puntos de entrada a través de la integración con Microsoft Defender for Endpoint.

Defender for Identity actúa siguiendo 4 pasos:

1-Análisis

Analiza la información recogida de varios orígenes de datos, como registros, eventos de la red, protocolo de autenticación de Directorio Activo y tráfico de los controladores de dominio.

2-Aprendizaje

Una vez analizada la red, Defender for Identity comienza a aprender y generar perfiles de los comportamientos de usuarios, dispositivos y recursos utilizando la tecnología de autoaprendizaje (Machine learning) de Microsoft.

   Ficha de perfil de usuario generada

3-Detección

Gracias a la tecnología de autoaprendizaje y la inteligencia de amenazas de Microsoft Intelligent Security Graph (tecnología que analiza miles de millones de datos de centros globales de la compañía para acceder a información actualizada sobre tendencias de ataques) Defender for Identity es capaz de detectar 3 grupos de ataques o amenazas:

1- Ataques malintencionados

Detecta técnicas maliciosas conocidas como:

• Pass-the-Ticket
• Pass-the-Hash
• Overpass-the-Hash
• Y muchas más orientadas al robo de credenciales.

2- Comportamiento anormal

El aprendizaje automático revela actividades sospechosas y comportamientos irregulares como:

• Inicios de sesión anómalos
• Amenazas desconocidas
• Uso compartido de contraseña

3- Problemas y riesgos relacionados con la seguridad

Gracias a la inteligencia de amenazas integrada de Microsoft es capaz de identificar problemas de seguridad conocidos:

• Protocolos débiles
• Vulnerabilidades de protocolo conocidas
• Ruta de desplazamiento lateral a cuentas confidenciales (se produce cuando se compromete una cuenta de un usuario no confidencial para obtener acceso a cuentas con mayores privilegios, por ejemplo, la cuenta administrador)

Vista del portal de Microsoft Defender for Identity que muestra rutas de desplazamientos laterales

A través de esta vista, Microsoft Defender for Identity muestra las cuentas confidenciales de la red que son vulnerables debido a su conexión con cuentas no confidenciales o recursos.

4-Alerta

Después de la detección, alerta y presenta la información en el portal del área de trabajo de Defender for Identity, incluida una vista clara de quién, qué, cuándo y cómo, recomendando además acciones para la remediación.

A menudo las herramientas de seguridad de TI tradicionales no están preparadas para controlar cantidades de datos cada vez mayores y emiten alertas innecesarias que distraen de las amenazas reales. Con Defender for Identity, las alertas se producen una vez que la actividad sospechosa es contrastada con los perfiles de comportamiento en contexto, reduciendo de esta manera los falsos positivos.

En esta imagen se muestra la alerta que notifica la sospecha de que se intentó acceder desde un servidor no reconocido o admitido por la red de la empresa.

En esta imagen se muestra el panel de aviso de Microsoft Defender for Identity en el que se notifica la sospecha de que se intentó perpetrar un ataque denominado «Pass-the-ticket» (Robo de identidad) en los equipos cliente 1 y 2 de la red.

Integración con Microsoft Defender for Endpoint

Defender for Identity se integra con Microsoft Defender for Endpoint para obtener una solución contra amenazas mucho más completa. Mientras que Defender for Identity supervisa el tráfico en los controladores de dominio, Defender for Endpoint supervisa los puntos de conexión (los dispositivos reales que se utilizan) recopilando información sobre señales de comportamiento del sistema operativo.

Seguridad para ataques y amenazas avanzadas de Microsoft

Microsoft cuenta con una gran cantidad de servicios y productos que protegen a las empresas.  No obstante, en este caso queremos destacar dos de los productos que protegen a las organizaciones de las amenazas y ataques más avanzados y forman parte de la familia Defender:

• Microsoft Defender for Office 365: Funciona para proteger su correo electrónico, archivos y aplicaciones de Office 365 contra posibles ataques. Funciona asegurando tu bandeja de entrada contra amenazas avanzadas, protegiendo contra archivos adjuntos no seguros y protegiendo tu entorno cuando un usuario hace clic en un enlace malicioso.
• Microsoft Defender for Endpoint: Generalmente se combina con Microsoft Defender for Identity para detectar y prevenir toda actividad maliciosa. Sin embargo, su atención se centra en la detección y protección de los puntos finales: los dispositivos reales que se utilizan en las empresas.

Puedes adquirir Microsoft Defender for Identity dentro de la suite Enterprise Mobility + Security 5 (EMS E5), con Microsoft 365 E5 o como producto independiente.

¿Quieres saber más? Contacta con nosotros.

El correo electrónico y las aplicaciones de mensajería son unas de las vías preferidas de los ciberdelincuentes para introducir malware en los equipos a través de archivos adjuntos o enlaces a webs maliciosas. Estas amenazas van enmascaradas en correos de falsas ofertas de empleo, notificaciones de multas, alertas de pagos vencidos e incluso provienen de remitentes afectados que son de nuestra confianza. En resumen, caer en la trampa de estos ataques es muy sencillo.

Protección avanzada con Microsoft Defender for Office 365

Office 365 ya proporciona a las empresas medidas de seguridad básicas que protegen el correo electrónico frente a correo no deseado, malware y virus conocidos. No obstante, a medida que los hackers lanzan ataques cada vez más sofisticados y dañinos las empresas necesitan nuevas herramientas capaces de neutralizarlos. Para ello Microsoft nos ofrece Microsoft Defender for Office 365, anteriormente Office 365 ATP, una herramienta que enriquece la seguridad de la plataforma proporcionando protección contra las amenazas avanzadas.

¿Qué es Microsoft Defender for Office 365?

Defender for Office 365 es el servicio de Microsoft basado en la nube que protege ante ataques de phishing, suplantación de identidad y otros tipos de ataques sofisticados de malware a través de links maliciosos que se ofrecen a través del correo electrónico y herramientas de colaboración de Office 365, incluyendo SharePoint Online, OneDrive para la empresa y Microsoft Teams. Ofrece una protección integral ofreciendo vigilancia durante todo el ciclo de vida de un ataque:

• Prevención, filtrando ataques dirigidos contra el correo electrónico empresarial, la suplantación de identidad con credenciales, el ransomware y el malware avanzado.
• Detección de contenido malintencionado y sospechoso a través de inteligencia artificial, correlacionando los patrones del ataque para identificar el peligro.
• Análisis de las amenazas mediante un panel de control, para realizar un seguimiento de los ataques al entorno.
• Respuesta y corrección, permitiendo automatizar las respuestas a los incidentes que se produzcan.

En este artículo vamos a comentar cada una de las capacidades que incluye esta potente solución de seguridad de Office 365.

Protección contra los archivos adjuntos no seguros
Microsoft Defender for Office 365 incluye dos funcionalidades de protección, Safe Attachments y Dynamic Delivery. Con Safe Attachments, los archivos adjuntos se someten a un análisis de comportamiento de malware en tiempo real que usa técnicas de aprendizaje automático para evaluarlos en busca de actividad sospechosa. Si no se detecta actividad sospechosa, el archivo se libera para su entrega con un tiempo de retraso mínimo.

Dynamic Delivery, permite al usuario leer y responder al correo mientras su archivo adjunto está siendo escaneado, evitando de esta manera la penalización en la productividad del usuario. El servicio entrega el correo al destinatario con un mensaje que indica que se está escaneando el fichero adjunto y su progreso.

Además, Dynamic Delivery muestra una vista previa del archivo que está escaneando, minimizando aún más las interrupciones de trabajo para el usuario.

Protección contra los vínculos malintencionados

Las herramientas de seguridad de Office 365 exploran los mensajes en tránsito, bloqueando cualquier hipervínculo malicioso antes de que el usuario pueda hacer clic. No obstante, en los ataques más avanzados estas urls maliciosas están ocultas en enlaces aparentemente seguros que llegan al destinatario y en los que incluso el usuario más perspicaz puede ser víctima de ellos. 

Correo genérico que incluye varios enlaces maliciosos ocultos en enlaces aparentemente seguros.

Para hacer frente a estas técnicas maliciosas, Defender for Office 365 cuenta con dos funcionalidades, Safe Links y Url detonation, que actúan cuando el usuario hace clic en el enlace, realizando una comprobación de reputación y análisis del vínculo en tiempo real, bloqueando el link en caso de que sea malicioso.

Cuando el usuario hace clic en una URL malintencionada, automáticamente Microsoft Defender for Office 365 comienza la exploración, mostrando al usuario pantallas que informan de la situación. La protección de ese enlace permanece, bloqueándolo cada vez que el usuario haga clic.

Microsoft ha dado un gran paso en la cobertura de protección de Microsoft Defender for Office 365 añadiendo la funcionalidad Internal Safe Links. Esta capacidad protege a los usuarios de enlaces maliciosos enviados entre personas de una misma organización.

Internal Safe Link actúa igual que Safe Link; cuando un usuario hace click en un vínculo, la herramienta lo analiza en tiempo real y lo bloquea si es malicioso. Esta funcionalidad hace frente a los escenarios en los que alguien suplanta la identidad de una persona de nuestra organización, evitando además que los correos salgan de ésta.

​Protección contra la suplantación de identidad (Anti-Phishing)

Esta funcionalidad que nos protege de ataques de phishing que vienen de personas que a priori conocemos pero en realidad no son ellos quienes nos han enviado el correo (es lo que se denomina ataque basado en impersonación). Este tipo de ataques de phishing son extremadamente peligrosos pues el destinatario, al venir el correo “teóricamente” de quien parece un miembro de su organización,  suele confiar y caer fácilmente en el engaño. Si nuestros dominios están bien configurados, una suplantación usando exactamente nuestro dominio no debería ser posible, pero Microsoft Defender for Office 365 intercepta como intentos de suplantación también aquellos remitentes que no siendo correctos, confunden al ser muy similares (Por ejemplo, recibimos un email de un remitente «zperez@softegn.es», cuando en realidad, si existiera este usuario, sería «zperez@softeng.es».

Una vez activada esta nueva funcionalidad avanzada (la política no viene activada por defecto), de manera automática el sistema va aprendiendo paulatinamente cómo cada usuario se comunica con otros de dentro y fuera de la organización, aplicando inteligencia artificial predictiva y protegiendo finalmente a todos los usuarios con licencia Microsoft Defender for Office 365.

​

Protección contra correos falsificados de dominios externos (Anti-Spoofing)

Esta capacidad ayuda a detectar y bloquear correos electrónicos falsificados de dominios externos. El spoofing es una técnica malintencionada de suplantación de identidad que se produce cuando un mensaje de correo electrónico se origina por alguien que no es quien dice ser.

Para combatir este tipo de ataques, Defender for Office 365 incluye un sistema capaz de detectar los correos falsificados a través de:

• Detección de la configuración de seguridad del dominio origen:  Activando esta funcionalidad, Office 365 solo aceptará correos electrónicos que provengan de dominios que no sean vulnerables a ser suplantados. Concretamente, para cada nuevo correo que llega a nuestra empresa, comprueba que el dominio del remitente tenga la configuración de seguridad correcta*, garantizando que se ha enviado desde una cuenta que realmente pertenece a ese dominio. En caso contrario, si recibimos correos que provengan de dominios sin estos protocolos bien configurados, Microsoft Defender for Office 365 bloquea dichos correos impidiendo que lleguen a nuestros usuarios.*SPF, DMARC y DKIM son los protocolos estándar de autenticación de correo electrónico que ayudan a proteger del correo no deseado y la suplantación de identidad
• Filtros de reputación: Comprueba las listas de remitentes seguros y el historial de envíos anteriores desde ese dominio.
• Patrones de anomalías: Comprueba anomalías en los patrones comparando con envíos anteriores desde ese dominio.

​Obtén informes avanzados y realiza un seguimiento de los vínculos de los mensajes

Microsoft Defender for Office 365 ofrece amplias capacidades de información y seguimiento que proporcionan a los administradores una perspectiva sobre el tipo de ataques que están ocurriendo en la organización con información de quién es el objetivo en tu empresa, el malware y spam enviado o recibido en la compañía y la categoría de los ataques a los que te enfrentas.

Los informes avanzados te permiten investigar los mensajes que se bloquearon debido a un virus o malware desconocido:

La función de seguimiento de URL permite realizar un análisis de los enlaces en los que los usuarios han hecho clic, mostrando también los bloqueados:

Colabora de forma más segura

La capacidad de protección avanzada para los archivos que se comparten desde SharePoint Online, OneDrive para la empresa y Microsoft Teams ofrece a las compañías una manera más segura de colaborar, impidiendo que los usuarios puedan abrir o descargar archivos maliciosos.

¿Cómo adquirir Microsoft Defender for Office 365?

Defender for Office 365 nos ofrece dos planes:

Microsoft Defender for Office 365 Plan 1: Se incluye en la versión Office 365 Enterprise E5 y se puede agregar en los siguientes planes de Office 365 que tienen licencia de correo, concretamente:

• Exchange Online Plan 1 y plan 2
• Quiosco de Exchange Online
• Exchange Online Protection
• Microsoft 365 Empresa Básico
• Microsoft 365 Empresa Estándar
• Office 365 Enterprise F3
• Office 365 Enterprise E1 y E3

Microsoft Defender for Office 365 Plan 2:  Este plan combina todas las capacidades del plan 1 más la solución de inteligencia de amenazas Office 365 Threat Intelligence, viene incluido en Microsoft 365 Enterprise E5 y Office 365 Enterprise E5.

Desde Softeng te ofrecemos nuestra experiencia y nuestros servicios para ayudarte a trazar y consensuar la estrategia más adecuada para implementar las soluciones de seguridad en la nube que aseguran la continuidad de tu negocio.

¿Quieres saber más? Contacta con nosotros.

En los últimos meses, hemos visto en los medios de comunicación cómo importantes empresas e instituciones han sufrido ataques informáticos que han dejado al descubierto millones de datos sensibles y colapsado sus redes corporativas. Según datos del INCIBE (Instituto Nacional de Ciberseguridad), el pasado año se registraron más de 120.000 incidentes en España, siendo esta cifra un 40% mayor que el año anterior.

En efecto, la seguridad es uno de los grandes retos a los que se enfrentan las empresas. No obstante, la sofisticación de los ataques evoluciona a pasos agigantados alcanzando un nivel tan elevado que pueden pasar muchos meses hasta descubrir la intrusión en la red y por tanto provocando un gran impacto en la empresa.

Para hacer frente a este tipo de amenazas avanzadas, Microsoft nos ofrece Microsoft Defender for Endpoint (anteriormente llamado Microsoft Defender Advanced Threat Protection). Se trata de una poderosa solución que combina la tecnología de Windows 10 y el servicio en la nube inteligente de Azure para ofrecer a las empresas protección preventiva, detección posterior a la infracción, investigación automatizada y respuesta frente amenazas avanzadas en sus redes.

Mucho más que un antivirus
El antivirus de Microsoft es Windows Defender y está incluido en todos los sistemas operativos de Windows. En cambio, Microsoft Defender for Endpoint es un conjunto de soluciones de seguridad avanzadas en la nube que, entre otras fuentes, se nutre del antivirus (sea o no Windows Defender).

¿Cómo te ayuda exactamente a protegerte?

En líneas generales te ayuda a:

• Detectar ataques avanzados y de día-cero (Ataque que aprovecha una vulnerabilidad desconocida), a partir del análisis del entorno, el comportamiento y el uso del aprendizaje automático, mostrándote información detallada del alcance de la brecha de seguridad a través de la consola central y ofreciéndote soluciones para mitigarla.
• Obtener un a​nálisis en tiempo real de toda tu infraestructura de equipos a través de una consola central que muestra información del estado y la actividad de los equipos protegidos.
• Te ofrece acceso instantáneo al análisis de 6 meses de información referente al comportamiento de la empresa para llevar a cabo un análisis forense, ofreciéndote un inventario de archivos, direcciones URL y conexiones en toda la red.
• Ahorra tiempo a tu departamento IT gracias a la investigación automática de alertas.
• Ofrece un enfoque de plataforma única
• Protección contra ataques de nueva generación: Virus polimórficos o mutantes difíciles de detectar debido a que cambian su código malicioso constántemente.
• Reducción de las superficies de ataque, a través de diferentes funcionalidades como la protección web, el acceso contolado a carpetas o el control de aplicaciones, protege los equipos minimizando las superficies de ataque.

¿Cómo trabaja?

La herramienta monitoriza continuamente la red en busca de actividad maliciosa o comportamientos anómalos a través de:

• Sensores de conducta: Integrados en los equipos y dispositivos, recopilan y procesan señales de comportamiento del sistema operativo (por ejemplo, comunicaciones de red, modificaciones de ficheros y procesos). Seguidamente esta información se envía a la consola de Seguridad en la nube para analizarlos e intercambiar señales con Microsoft Intelligent Security Graph.
• Inteligencia de amenazas: Microsoft cuenta con un equipo de especialistas de seguridad a nivel mundial y una comunidad de cazadores («hunters»), que se dedican exclusivamente a buscar y encontrar nuevas técnicas maliciosas, entrenando continuamente a Microsoft Defender for Endpoint para ayudarlo a ser cada vez más efectivo.
• Análisis de seguridad en la nube: Gracias al BigData y al aprendizaje automático, analiza la información recibida de los sensores y la contrasta con información histórica y anónima de millones de dispositivos repartidos por todo el mundo así como por la Inteligencia Artificial de amenazas incluida en el propio Windows Defender for Endpoint, para detectar comportamientos anómalos, técnicas de los hackers y similitud con ataques conocidos.

Investigación y solución de amenazas automática

Gracias al poder de la nube, el aprendizaje automático y los análisis de comportamiento, Microsoft Defender for Endpoint proporciona una protección inteligente capaz de hacer frente a las amenazas más sofisticadas y avanzadas. En cifras, procesa 970 millones de eventos maliciosos al día a través del ecosistema empresarial y de consumo de Microsoft, lo que hace que su inteligencia sea más poderosa día a día. No obstante, detectar amenazas es sólo la mitad de la batalla, el 80% de las empresas reciben un gran volumen de alertas en sus sistemas, provocando que el departamento IT ocupe gran parte de sus recursos en tareas de investigación y remediación.

Para resolver este problema, Microsoft Defender for Endpoint incluye una característica que queremos destacar llamada “investigación automática”: Esta prestación investiga automáticamente alertas y aplica inteligencia artificial para determinar si se trata realmente de una amenaza con el objetivo de poder decidir qué acciones tomar, también, de manera automática. Esta funcionalidad ahorra tiempo y esfuerzo a los departamentos de IT, permitiéndoles focalizarse en tareas más estratégicas para la empresa.

Protección no solo para Windows

Una de las características más recientes que Microsoft ha añadido a Microsoft Defender for Endpoint es la capacidad de proteger no solo ordenadores con Windows, sino extenderlo también a dispositivos con otros sistemas operativos, tanto en ordenadores como móviles. Así, ahora Microsoft Defender for Endpoint es compatible con iOS, Android y MacOS, y es capaz de protegernos de ataques de phishing y links maliciosos en diferentes dispositivos. Hay que tener en cuenta que los dispositivos móviles representan una amenaza incremental en la vulnerabilidad ante ataques de phishing por dos principales motivos. Primero porque los links mailiciosos suelen venir no únicamente del correo electrónico, sino de aplicaciones de mensajería, SMS y otras aplicaciones. Y segundo, porque en estos dispositivos es más difícil de ver la URL que vas a clicar (por el simple hecho de tener menos pantalla) y por la facilidad de hacer click incluso por error.

Concretamente, Windows Defender for Endpoints protege contra enlaces maliciosos mediante estas tres técnicas:

• Anti-phishing. Los enlaces no seguros de las aplicaciones móviles son bloquedos al instante, para luego notificar a los equipos de seguridad mediante el portal Microsoft Defender Security Center.
• Bloqueo de conexiones inseguras. Bloquea determinadas conexiones no seguras que hacen las aplicaciones sin conocimiento del usuario. Posteriormente, notifica mediante el portal de seguridad.
• Indicadores personalizados. Permite a los equipos de seguridad crear accesos y bloqueos personalizados en función de sus necesidades.

Características del portal Microsoft Defender Security Center

Microsoft Defender for Endpoint ayuda al departamento de IT a administrar eficazmente la red de la empresa, ofreciéndole un portal de administración y gestión centralizado de todas las alertas y medidas de seguridad de los equipos, con funcionalidades que te permiten:

• Moverte por los diferentes paneles de navegación para tener acceso a: Operaciones de seguridad, Puntuación de seguridad o el Panel de análisis de amenazas.
• Gestionar las alertas de seguridad de toda la red.
• Controlar y gestionar las investigaciones automáticas que se han llevado a cabo.
• A través de una potente herramienta de búsqueda avanzada basada en consultas, podrás «cazar» e investigar proactivamente a través de los datos de tu empresa.
• En el apartado de lista de máquinas podrás controlar los equipos incorporados a Windows Defender ATP obteniendo información detallada de riesgos y alertas.
• Obtener una visión rápida del estado de servicio de la aplicación.
• Actualizar tus opciones de configuración, permitiéndote personalizar directivas de retención, habilitar características avanzadas y crear informes de Power BI que te permitirán analizar de forma interactiva máquinas, alertas y estado de la investigaciones.

Paneles de navegación

Panel de operaciones de seguridad

Este panel proporciona una instantánea de la red mostrando una vista detallada sobre las diversas alertas de seguridad en equipos y usuarios. A través de este panel puedes explorar, investigar y determinar rápidamente dónde y cuándo se han producido actividades sospechosas y poder comprender con facilidad el contexto en el que surgieron.

El panel tiene ventanas interactivas que proporcionan indicaciones sobre el estado de mantenimiento general de la organización, como alertas activas, máquinas y usuarios en riesgo, investigaciones automáticas activas y un panel de actividades sospechosas que muestra los eventos de auditoría en función de las detecciones de varios componentes de seguridad.

La herramienta ofrece también la posibilidad de simular ataques para que puedas comprobar su nivel de efectividad antes de seguir incorporando equipos.

Panel de análisis de amenazas

Las amenazas emergen cada vez con más frecuencia y a través de este panel, podrás evaluar rápidamente tu posición de seguridad, incluyendo el impacto y resistencia de tu empresa en el contexto de amenazas específicas. Asimismo, podrás evaluar y controlar la exposición de riesgo a Spectre y Meltdown continuamente, dos de las principales vulnerabilidades de los chips de los procesadores a través de las que los atacantes pueden acceder a tu equipo.

El panel ofrece un conjunto de informes interactivos publicados por el equipo de investigación de Microsoft Defender for Endpoint en el momento en el que una nueva amenaza y ataque se identifica. Desde la sección de recomendaciones de mitigación podrás ejecutar acciones específicas para mejorar la visibilidad de la amenaza y aumentar la resistencia de tu empresa.

Además de las funcionalidades que hemos comentado en el artículo, queremos destacar las siguientes:

Aislamiento

La velocidad de respuesta y el aislamiento son la clave para el éxito de prevención de ataques de seguridad. Por tanto, cuando la herramienta detecta que un equipo está comprometido, suspende automáticamente la cuenta del usuario y aísla el dispositivo infectado para impedir el acceso a la red, reduciendo drásticamente la superficie del ataque. Asimismo,aunque la máquina esté aislada, el departamento IT tiene control total sobre ese equipo en riesgo, para poder analizarlo y mitigar la brecha de seguridad.

Detonación

Puedes enviar archivos sospechosos para una inspección profunda y análisis completo en cuestión de minutos, en un entorno aislado de la red y bloquear los archivos en caso de ser maliciosos.

Acceso condicional basado en el riesgo del equipo

Microsoft Defender for Endpoint puede controlar el acceso a la información sensible basándose en el nivel de riesgo del propio equipo. De este modo, garantiza que solo los usuarios autenticados que utilicen un dispositivo registrado en la empresa podrán acceder a los datos de la compañía en Office 365 y además, que sólo se pueda acceder si el equipo está en buen estado (sin virus, troyanos, etc). Por tanto, si se detecta una amenaza en un dispositivo, la posibilidad de acceso a la información sensible por parte del dispositivo afectado se bloquea de manera instantanea mientras la amenaza siga activa.

Administración de amenazas y vulnerabilidades

Esta capacidad utiliza un enfoque basado en el riesgo para identificar, priorizar y reparar vulnerabilidades en lo equipos y configuraciones erróneas. Incluye:

• Descubrimiento en tiempo real a través de inventarios de dispositivos, que ofrecen información automática sobre datos de configuración de seguridad y vulnerabilidades de los equipos.
• Inventario del software de la empresa, así como los cambios relacionados con nuevas instalaciones, desinstalaciones y parches.
• Visibilidad constante de los patrones de uso de las aplicaciones para una mejor priorización y toma de decisiones ante comportamientos sospechosos.
• Control y visibilidad sobre las configuraciones de seguridad de la empresa, mostrando información y alertas en tiempo real sobre problemas emergentes como antivirus deshabilitado o configuraciones erróneas. Los problemas se informan en el panel con recomendaciones procesables.
• Inteligencia de amenazas que ayuda a priorizar y enfocarse en aquellas vulnerabilidades o amenazas que representan un riesgo más crítico para la empresa.
• Solicitudes de remediación con un solo clic, a través de la integración con Microsoft Intune. Asimismo, proporciona monitoreo en tiempo real del estado y progreso de las actividades de remediación en toda la empresa.
• Proporciona información sobre mitigaciones alternativas adicionales, como los cambios de configuración que pueden reducir el riesgo asociado con vulnerabilidades de software.

Integración con las herramientas de Microsoft 365

Puedes dotar a Microsoft Defender for Endpoint de más información y más inteligencia a la hora de evaluar el nivel de riesgo de cada máquina con la integración de:

• Microsoft Defender for Identity: Detecta si la máquina sufre comporatamientos anómalos (ataques laterales, por ejemplo) y, si es así sube el riesgo de la máquina para poder priorizar la revisión de la misma.
• Azure Information Protection (AIP): Comparando dos máquinas con las mismas vulnerabilidades, aquella que disponga de documentos etiquetados con AIP tendrá un nivel de riesgo superior (al contar con información sensible) y, por tanto, se priorizará.
• Microsoft Cloud App Security (MCAS): Permite que aquellas aplicaciones que MCAS ha marcado como no autorizadas, queden bloqueadas en el equipo sin poder utilizarse, independientemente de la red a la que esté conectado.

¿Licenciamiento de Microsoft Defender for Endpoint?

Existen diferentes modalidades de licenciamiento en función del tipo de endpoint que queramos proteger. Los usuarios con licencia pueden usar Microsoft Defender for Endpoint en un máximo de cinco dispositivos simultáneos.

• Microsoft Defender for Endpoint se puede adquirir de manera individual
• Se incluye en Windows 10 E5 (incluye todas las capacidades de seguridad de la versión E3 + Microsoft Defender for Endpoint)
• Se incluye en Microsoft 365 E5 (incluye Windows 10 Enterprise E5, Office 365 E5 y EMS E5)
• Se incluye en el Add-on de Seguridad de Microsoft 365 E5

Para servidores:

• Conectando los servidores a Security Center de Azure
• Licencia de Microsoft Defender for Endpoint para servidores

Como conclusión, podemos afirmar que Microsoft Defender for Endpoint cubre el ciclo de vida de las amenazas de principio a fin, desde la detección hasta la investigación y respuesta de manera automática, llevando a tu empresa a un nivel de protección máximo.

Desde Softeng, estamos comprometidos en dar soluciones a nuestros clientes y ofrecerles nuestra experiencia en esta área, así que te animamos a que sigas nuestro blog en el que continuaremos informando sobre las herramientas y soluciones de seguridad que podemos ofrecerte.

¿Quieres saber más? Contacta con nosotros.

Pasadas varias semanas de la celebración del evento organizado por IDG Research en el que Softeng participó y en el que se exploraron y analizaron las principales tendencias de ciberseguridad durante la crisis provocada por la COVID19, las implicaciones que conlleva el teletrabajo y la preparación para la nueva normalidad. La compañía ha elaborado un informe que recoge los temas principales que se hablaron tanto en las propuestas de los proveedores tecnológicos que participaron como en los casos prácticos de empresas que compartieron su experiencia y aprendizaje.

La estrategia gana prioridad sobre las operaciones

IDG señala que la crisis sanitaria ha tenido un impacto a corto plazo en las operaciones de los departamentos de seguridad, que han necesitado implantar con agilidad nuevas soluciones al mismo tiempo que atendían a las distintas incidencias. No obstante, una vez superada esta etapa, las empresas han comenzado a preguntarse cómo será la nueva normalidad y se plantean cómo redefinir su estrategia de seguridad.

En todos los casos, la vuelta a la normalidad ha generado cambios en el modelo organizativo, llegando incluso a transformar el modelo de negocio. Las organizaciones se han dado cuenta de que el cambio es irreversible: el entorno de trabajo va a ser un híbrido entre actividad presencial y remota. Por otro lado, los canales digitales se van a consolidar en todos los negocios. Todo esto cambia el mapa de riesgos de las organizaciones y con ello la estrategia de seguridad.

Durante el evento se hablaron sobre las áreas de mayor impacto centradas en tres puntos principales:

Protección del empleado

Los empleados son el punto de partida puesto que han estado accediendo en remoto a la empresa desde sus hogares. En este sentido las empresas se han enfrentado a varios retos:

• Empleado en un entorno distinto al habitual: En muchos casos los empleados han tenido que trabajar con dispositivos personales y en un entorno muy diferente al que tienen en la oficina conciliando al mismo tiempo la actividad laboral con la familiar. Todo esto ha provocado que bajen las prácticas de seguridad que seguían habitualmente haciéndolos vulnerables a errores humanos, ataques de phishing o de ingeniería social.
• Perfil de trabajo no definido: Muchas empresas no tenían definido el teletrabajo dentro de los perfiles de usuarios y aunque la movilidad estaba definida, ésta no estaba definida para tener acceso a la totalidad de aplicaciones que se usan en la empresa.
• Disrupción sobre el perímetro: Por norma el enfoque perimetral partía de que los empleados trabajaban dentro del entorno corporativo, salvo aquellos que trabajaban en movilidad como una excepción.
• Pérdida de control sobre el dato: Los riesgos del teletrabajo no solo afectan al dispositivo sino también a los datos que el usuario maneja, descarga y almacena.

Para superar estos retos, se hablaron de estas soluciones durante la jornada:

• Concienciación del empleado: A través de sesiones de formación y conocimiento de los protocolos y políticas de la empresa.
• Revisar accesos y privilegios: Para tener visibilidad en todo momento para detectar accesos inadecuados o sospechosos y mantener un control de sobre el cumplimiento.
• Revisar el concepto tradicional de perímetro: Para considerar alternativas que incorporen principios de Zero Trust.
• Proteger el dato: Añadiendo el cifrado y manteniendo un gobierno más robusto del dato.

Protección de los entornos híbridos

Durante la crisis muchas empresas han acelerado la adopción del Cloud teniendo que hacer frente a entornos híbridos de forma no planificada. Los retos a los que se han enfrentado las empresas en este sentido son:

• Gestionar accesos: En este punto el reto es doble, por un lado, se necesita proteger el acceso del usuario a múltiples servicios sin que impacte su experiencia. Por otro, si no existe una política robusta de privilegios, puede haber permisos inadecuadamente definidos (ej. problema en las configuraciones) y abrir brechas de seguridad. Esto se agrava en el caso de colaboradores externos.
• Controlar el Shadow IT: El trabajo remoto ha aumentado la propensión a utilizar recursos sin la supervisión del área de seguridad que escapan de las políticas de seguridad corporativas.
• Cambio en patrones de tráfico: Se ha producido un cambio de patrón en el tráfico de información entre el usuario y los distinto entornos a los que accede. En particular, se ha multiplicado el de subida, lo que genera vulnerabilidades.

Para superar estos retos la solución ofrecida durante la jornada fue:

• Reforzar accesos e identidades: A través de sistemas de doble autenticación o medidas biométricas.
• Integrar la gestión: Apoyarse en herramientas que permitan tener una perspectiva integrada de todos los entornos para llevar a cabo una gestión centralizada.
• Analizar el tráfico: Detectar comportamientos y conexiones anómalos y sutiles, que pasan inadvertidos a las herramientas estándar de seguridad, y que están relacionados con ataques complejos no catalogados (ej. nuevas tipologías de ataque).
• Control del cumplimiento: Implementar las herramientas de seguridad necesarias para asegurar el cumplimiento regulatorio.

Protección de los ingresos

Las empresas han tenido que migrar rápidamente a canales digitales para mantener su actividad. Esto ha provocado los siguientes retos:

• Urgencia en la implementación de herramientas digitales. Las empresas se han apresurado a realizar una búsqueda de soluciones en el mercado. Si no se cuenta con el área de seguridad se puede introducir un Shadow IT que abra múltiples vulnerabilidades.
• Tensionado de aplicaciones. El patrón de uso de las aplicaciones ha cambiado multiplicándose su uso en remoto y desde nuevos dispositivos. Sin embargo, muchas aplicaciones no estaban preparadas para estos nuevos patrones, impactando en su seguridad, el rendimiento o la experiencia de uso.
• Aumento del riesgo: Las empresas han asumido de manera inevitable un mayor riesgo para garantizar la continuidad de su actividad. Ahora bien, si no tienen visibilidad sobre este riesgo, no lo van a poder gestionar de forma adecuada.

Para superar estos retos las soluciones ofrecidas durante la jornada fueron:

• Probar y validar nuevas herramientas. Para dotar a los empleados de las herramientas necesarias para poder teletrabajar y evitar que los empleados busquen sus propias alternativas (Shadow IT)
• Robustecer las aplicaciones: Las aplicaciones que no han sido diseñadas para utilizarse a través de Internet o de forma masiva necesitan una revisión para que puedan acomodar los nuevos patrones de uso.
• Medir el riesgo y la posición de seguridad. A través de herramientas que permitan conocer la posición de seguridad.

La participación de Softeng en la jornada

Nuestro CEO, Carlos Colell, participó con una ponencia llamada «Cómo proteger a nuestras empresas en la nueva era del teletrabajo» en la que comenzó explicando el escenario actual en el que se encuentran las empresas y cómo la precipitación hacia el teletrabajo ha puesto de manifiesto que las empresas no estaban preparadas para adoptar las medidas de seguridad necesarias.

Seguidamente Carlos explicó sobre los errores más comunes de seguridad en las empresas, entre los que se encuentra el tener una estrategia de seguridad basada en contraseñas; recalcando que las empresas deben entender que las contraseñas de algún usuario quedarán expuestas seguro, tarde o temprano y por tanto deben tomarse nuevas medidas como, por ejemplo, el doble factor de autenticación. Asimismo, otro de los errores comunes, es contar con varias soluciones de seguridad de diferentes fabricantes que tiene como consecuencia la falta de comunicación entre productos, requiere de más dedicación y provoca un mayor tiempo de reacción.

Para finalizar, habló sobre la estrategia para mejorar la seguridad y recomendaciones concretas para superar los retos más habituales y proteger a las empresas en la esta nueva normalidad.

Como conclusión a todo lo que se expuso en esta jornada, podemos destacar que el teletrabajo ha venido para quedarse y por ese motivo, el concepto de ciberseguridad ha cambiado por completo para adaptarse a un nuevo paradigma de teletrabajo masivo y a un crecimiento exponencial de ciberataques que tratan de aprovecharse de esta nueva situación.

¿Quieres saber más? Contacta con nosotros.

Son muchas las empresas que se ven diariamente afectadas por brechas de seguridad que provocan el robo, secuestro y destrucción de la información confidencial. Todas estas brechas suelen tener un origen común: Contraseñas de usuarios comprometidas. 

En muchos casos (más del 52%), estas brechas son fruto de un error humano (usuarios usando las mismas contraseñas que utilizan cuando se registran en ciertas webs, abriendo correos electrónicos en los que se solicita iniciar sesión en un formulario fraudulento, usando contraseñas sencillas, etc..).

En efecto, el robo de contraseñas está siendo muy habitual y pone de manifiesto la importancia de proteger la identidad del usuario más allá de su contraseña, ya que con el tiempo acabará comprometida. Sin duda, una cuenta protegida únicamente con una contraseña es un objetivo fácil para los atacantes.

No todas las víctimas quedan en el anonimato

Recientemente ha salido publicada una noticia en los medios sobre el ataque de suplantación de identidad (phishing) que ha sufrido la empresa municipal de transporte urbano de Valencia (EMT). En este caso, los «hackers» enviaron unos correos en nombre de un directivo de la compañía a la jefa de administración en los que ordenaba el pago de varias operaciones financieras por valor de 4 millones de euros y lamentablemente la empleada confió realizando dichos pagos. Este tipo de estafas está siendo cada vez más relevante entre las empresas que no se protegen adecuadamente pero no salen a la luz por razones obvias (vergüenza). En este caso la empresa es pública y por ese motivo ha aparecido en los medios aunque en efecto , desde Softeng estamos viendo clientes que todavía no han apostado por protegerse, sufriendo casos similares.

¿Cómo puedes evitar que ocurra algo similar en tu empresa?

La solución

Puedes ayudar a prevenir algunos de los ataques de identidad adoptando una estrategia de capacitar a tus empleados para protegerse frente al phishing, pero lo que realmente te ayudará es que prácticamente sea irrelevante que te roben la contraseña, añadiendo un paso adicional para autentificarse.

La autenticación en dos pasos (denominada MFA) proporciona una capa adicional de seguridad a tu empresa, siendo un método de control de acceso que permite confirmar la identidad de un usuario para demostrar que es quien dice ser. Funciona mediante la solicitud de dos, o más, de los siguientes métodos de autenticación:

• Un elemento que conoces (normalmente una contraseña o pin).
• Un elemento del que dispones (un dispositivo de confianza , como un teléfono móvil o una llave digital).
• Un característica biométrica que te identifica (una huella digital o tu rostro).
• Una App en tu dispositivo, protegida, que permite al usuario autorizarse el acceso.

Con el uso de varios factores para verificar la identidad de un usuario, la inmensa mayoría de los ataques de robos de contraseñas quedan neutralizados puesto que su trabajo se multiplica exponencialmente al necesitar «hackear» más de un sistema al mismo tiempo para lograr el acceso.

La autenticación dos pasos es muy sencilla de utilizar e incluye la posibilidad de configurar ubicaciones de confianza (delegaciones, sedes,..) para mayor seguridad y comodidad de los usuarios.

La recomendación

Los consejos habituales sobre cambiar a menudo la contraseñas o que ésta sea complicada, realmente no sirven de nada frente a los millones de ataques que se sufren a diario (más de 300 millones de intentos de inicio de sesión fraudulentos dirigidos a los servicios en la nube de Microsoft). La idea es, si tu contraseña no te la ha robado nadie, para qué cambiarla? O.. si tu contraseña ya la tiene un hacker y no lo sabes, ¿por qué esperarse 2 meses a cambiarla?

Según los estudios, las soluciones de autenticación de múltiple factor bloquean el 99,9% de estos intentos de inicio de sesión no autorizados.

 ¿No crees que ha llegado el momento de incorporarlo en tu empresa?

¿Cómo puedes disponer de la autenticación en dos pasos?

Esta prestación viene incluida en la suscripción de Azure Active Directory Premium y en los paquetes que la contiene: Una solución que además de ayudar a garantizar el acceso a las aplicaciones y datos solo a las personas que realmente son quienes dicen ser, incluye la capacidad de aplicar restricciones más inteligentes mediante tres características clave:

• Acceso condicional: Para limitar el acceso a aplicaciones desde el exterior de la empresa (basado en pertenencia a grupo, localización geográfica y estado del dispositivo).
• Protección de identidad: Acceso condicional basado en riesgos. Para ello, se analizan comportamientos extraños (por ejemplo, ha iniciado sesión desde ubicaciones muy lejanas en un tiempo imposible, se intenta acceder desde un equipo no gestionado por la organización y otros).
• Gestión de identidades privilegiadas: Administración y protección de cuentas de administrador, permitiendo asignar el rol de administrador a un usuario de forma temporal, alertando del cambio y supervisando su acceso a los recursos.

En definitiva, los «hackers» tienen cada vez más métodos a su disposición para obtener las credenciales de los usuarios y, en la mayoría de los casos, la acabará obteniendo.

¿Quieres saber más? Contacta con nosotros.

La nueva era digital unida a la realidad actual motivada por el COVID-19 está transformando a las empresas de manera acelerada conllevando riesgos considerables de seguridad que es necesario atender. En efecto, las fronteras de seguridad se difuminan y la inversión requerida para garantizar la seguridad en nuestras identidades digitales, dispositivos y fuga de datos, aumenta. Por ello, es necesario articular mecanismos de seguridad que permitan detectar, analizar y eliminar las amenazas a nuestras empresas, así como planes de actuación que establezcan con claridad qué hacer ante una brecha de seguridad.

IDC España, el principal proveedor global de inteligencia de mercado, ha elaborado un informe que te presentamos hoy y que trata del impacto de la transformación digital en la seguridad. Esta transformación, requiere un nuevo nivel de seguridad en el que la Inteligencia artificial y la nube juegan un papel fundamental al permitir habilitar la “confianza digital”, vista como la percibida por nuestros clientes, proveedores y empleados sobre la protección de sus datos y privacidad.

Además, IDC analiza al final del informe las ventajas estratégicas de la plataforma de ciberseguridad de Microsoft,  por qué debería considerarse a Softeng como partner de ciberseguridad inteligente y cómo exactamente la simplifica para ponerla al alcance de todas las empresas.

¡Descarga el informe aquí!

A medida que las empresas se esfuerzan por mantenerse al día en un mundo donde se da prioridad a la nube y a la movilidad, la seguridad y el cumplimiento adquieren una posición de vital importancia.

Por tanto, al mismo tiempo que el trabajo móvil se convierte en una parte integral del negocio, los dispositivos y aplicaciones de los empleados pasan a estar en la primera línea de defensa frente a una gran cantidad de amenazas cada vez más avanzadas. De hecho, estos ataques maliciosos son un riesgo inasumible para las empresas tanto por cuestiones de seguridad como de legalidad, puesto que, además de los graves problemas que conlleva la fuga de datos confidenciales, tras la llegada del GDPR, las empresas se enfrentan a cuantiosas sanciones económicas y a la inherente penalización por parte de sus clientes y el mercado.

Para hacer frente a estos desafíos de seguridad, Microsoft nos ofrece Enterprise Mobility + Security (en adelante EMS), una plataforma de seguridad, basada en la identidad, diseñada para ayudar a las empresas a administrar y proteger sus dispositivos, aplicaciones y datos corporativos.

Concretamente EMS ofrece a las empresas capacidades de seguridad a través de diferentes líneas de defensa (el llamado principio de «defensa en profundidad«), de manera que todas las líneas se complementan entre sí (y si por cualquier motivo una se supera por una amenaza, la siguiente línea puede ser la que nos evite el desastre).

EMS se compone de 4 áreas de protección que te ayudarán a seguir con la transformación digital de tu organización, de manera segura:

Gestión de identidad y acceso

Con la creciente popularidad de aplicaciones en la nube, redes sociales y portales web, que usamos en nuestro día a día accediendo con diferentes credenciales (usuario) pero a menudo, reutilizando la misma contraseña (evitando tener que recordar tantas). Esta manera de actuar de los usuarios en su vida personal conlleva un riesgo enorme. ¿Por qué?  De entrada, el número de filtraciones (conocidas) de datos de usuarios de grandes redes sociales y servicios de consumidor de los últimos 12 meses son elevadísimas («Google Plus», «Facebook», «Movistar», «IESE», «Adidas», «Job Talent», «Ticketmaster», «myHeritage», entre muchos otros), por lo que la amenaza de seguridad para las empresas es enorme ya que los ciberdelincuentes , una vez disponen de un usuario y contraseña personal, averiguan fácilmente donde trabaja esa persona y luego prueban con la misma contraseña para acceder a la información sensible de las empresas donde trabajan, acertando en muchos casos. Paralelamente, los ciberdelincuentes también usan las campañas masivas de envío de correos falsos solicitando a nuestros usuarios (a su email corporativo o personal), entrar en cualquier sitio para poder robarles una contraseña. Y cada vez lo hacen mejor.

Para evitar el riesgo que todo ello conlleva, es necesario proteger la identidad de nuestros usuarios corporativos y para ello EMS incluye Azure Active Directory Premium (AAD Premium) , que ayuda a garantizar el acceso a las aplicaciones y datos solo a las personas que realmente son quienes dicen ser.

Además, nos ofrece la capacidad de aplicar restricciones más inteligentes mediante tres características clave:

«Acceso condicional«: Antes, las empresas solo podían pedir cosas del estilo: «Que los usuarios solo puedan acceder desde dentro de la empresa!», pero ahora… nos pueden pedir: «Qué los usuarios puedan acceder desde fuera de la empresa, pero estableciendo condiciones según necesidad» (solo desde dispositivos corporativos o personales autorizados, solo desde ubicaciones conocidas, obligando a usar multi-factor y/o impidiendo extraer información, entre otros requisitos). Haciendo un símil, puedes pensar en el acceso condicional de Azure AD como el portero de seguridad de un edificio, pues da la bienvenida a los buenos vecinos mientras desafía a otros a confirmar su identidad y negar la entrada a los completamente desconocidos, o… tal vez los deje pasar, avisándonos que sube y acompañándolo.

«Protección de identidad«: Los criminales intentan casi 100 millones de inicio de sesión fraudulentos al día y deberíamos saber si alguno nos impacta. Para ello, los informes de «Protección de identidad» , nos ofrecen inteligencia para detectar e informar a IT de inicios de sesión sospechosos tales como los que implicarían la  realización de un viaje a un lugar extraño hasta la fecha o imposible por el tiempo entre un inicio de sesión y otro (detectando la intrusión por la probabilidad de que puedan ser en realidad personas distintas) o localizando contraseñas de usuarios en venta por internet. Además, junto al «Acceso condicional«, nos ofrece la potencia para permitir a los usuarios que se conecten siempre y cuando no haya riesgo en su sesión (por ejemplo, si lo hicieran desde un equipo con virus o malware) o solo dejándoles conectar si se cambian su contraseña cuando el sistema sepa que se la han robado. Haciendo un símil, esta prestación sería como un vigía que observa y proporciona información relevante sobre lo que está sucediendo en el entorno, para que se pueda actuar en consecuencia.

«Gestión de identidades privilegiadas«: Que una cuenta quede comprometida es siempre una posibilidad y la mejor manera de reducir el riesgo es asumir que ha habido una brecha o que la habrá.  Pero, si una cuenta comprometida de un usuario es un problema, si ésta tiene privilegios administrativos la situación pasa a ser catastrófica, por lo que es crítico minimizar la posibilidad de que una cuenta comprometida acabe teniendo permisos administrativos sin control. Esta herramienta precisamente nos ofrece asegurar que tenemos el mínimo número de usuarios administradores, pudiendo ofrecer puntualmente permisos administrativos, en el momento que se requiere, solo temporalmente e incluso automáticamente (bajo ciertas circunstancias). Haciendo un símil, sería como cuando se entrega una tarjeta inteligente para entrar en el Spa del hotel, pero una vez finalizada nuestra estancia , la tarjeta deja de funcionar.

Resumen de características:

• Autenticación en dos pasos.

• Acceso condicional: Control en tiempo real, basado en riesgos

• Validación sin contraseña (usando el móvil).

• Protección de identidad (alertas de comportamientos anómalos, credenciales comprometidas y vulnerabilidades).

• Inicio de sesión único para todas las aplicaciones (incluso aps no Microsoft).

• Gestión de identidades privilegiadas (Habilitar permisos temporales de administrador bajo demanda para tareas concretas).

Protección de la información

Aunque  seamos capaces de asegurar que la persona que accede a nuestros datos es quien dice ser y además que lo hace desde un dispositivo seguro, el riesgo continúa pues el usuario puede compartir un documento con alguien externo que pueda no estar tan bien protegido (o potencialmente pueda hacer un uso inadecuado de la información facilitada).

Para ello EMS incluye Azure Information Protection, un servicio en la nube de Microsoft que permite a las empresas proteger sus datos confidenciales mediante encriptación (estén en local o en la nube), asegurando que, aunque el documento salga de la organización hacia un entorno no seguro, solo los usuarios autorizados podrán acceder al mismo. Además, podremos delimitar las acciones que podrán llevar a cabo las personas autorizadas y continuar teniendo el documento (y sus copias), siempre bajo nuestro control, allí donde esté, aunque físicamente no tengamos acceso al mismo.

Resumen de características:

• Protección de los datos mediante cifrado, autenticación y derechos de uso.

• Clasificación inteligente y etiquetado automatizado de los datos.

• Visualizar desde dónde se están abriendo los documentos y por quien (esté donde esté el documento).

• Ayuda al cumplimiento del GDPR facilitando la detección y protección de los datos personales.

• Revocar el acceso a todas las copias de un documento (incluso si físicamente estan fuera de la organización).

Siguiendo las analogías, puede pensar en Azure Information Protection como el sistema que asegura que nuestro maletín , que contiene documentación altamente sensible, se convierta en polvo en caso de que caiga en manos equivocadas.

Seguridad inteligente

EMS ofrece visibilidad de todo lo que sucede con nuestros datos en la nube (estén donde estén), detección de amenazas y prevención de ataques a través de las soluciones: Microsoft Cloud App Security, Advanced Threat Analytics (ATA) y Azure Advanced Threat Protection (Azure ATP).

Microsoft Cloud App Security (MCAS)

¿Qué sucede si un empleado, correctamente identificado y autentificado, hace algo incorrecto con tus datos? Es más.. ¿Qué pasaría si ese empleado ya no es leal o actúa bajo coacción? o.. ¿Qué pasa si su equipo no estuviera correctamente protegido y un malware estuviera leyendo datos en su nombre? Aquí es donde intervendría Cloud App Security.

Concretamente, Cloud App Security proporciona a los departamentos IT visibilidad y control sobre las aplicaciones en la nube que usan los usuarios de tu organización (las permitidas y .. las no permitidas). De este modo, por un lado, podrás restringir el acceso a las que no autorices y por otro podrás observar la actividad que realizan los usuarios con los datos de las aplicaciones permitidas, identificando actividades sospechosas y posibles amenazas antes de que se conviertan en realidad.  Por ejemplo, Microsoft Cloud App Security podrá indicarte que hay un determinado usuario que está descargando gran cantidad de información fuera de la empresa (incluso, si la situación es demasiado anómala, podrá cerrarle la sesión), o podrás limitar que no sea posible acceder a según que aplicaciones desde fuera de tu organización o desde equipos desconocidos.

MCAS , aparte de Office 365 y Azure, proporciona visibilidad de actividad para aplicaciones cloud populares como Dropbox, G Suite, AWS, Salesforce y muchas más.

Microsoft Cloud App Security incluye:

• Detección de aplicaciones en la nube para control del ShadowIT

• Protección de la información mediante políticas de prevención de pérdida de datos (DLP)

• Visibilidad de la actividad de los usuarios en las aplicaciones en la nube.

• Evaluación de riesgos de aplicaciones.

Microsoft Cloud App Security es, siguiendo los símiles, como el guardaspaldas que acompaña siempre a una persona para que no haga ni sufra ningún daño.

Advanced Threat Analytics y Azure Advanced Threat Protection

Todas las líneas de defensa descritas en este artículo proporcionan una protección muy efectiva para tu organización. No obstante, el comportamiento de los usuarios (por ejemplo caer en un ataque de phishing o reutilizar contraseñas en sitios web inseguros), las posibles vulnerabilidades en VPN’s e infraestructura de servidores (especialmente los controladores de dominio – con su directorio activo local) y otros ataques creativos por parte de los ciberdelincuentes, proporcionan vías alternativas para que puedan entrar hasta la «cocina».

Los atacantes, en esos casos, se mueven rápido.. y una vez obtienen las credenciales de cualquier usuario, (a menudo a través de VPN’s vulnerables o sin autenticación protegida mediante multi-factor), logran asignarse privilegios de administrador (con la ayuda de archivos de log, datos residentes en memoria, archivos no encriptados y otros mecanismos), y … ya los tenemos dentro, sin poder hacer nada (y por un tiempo superior a 140 días, de media, hasta ser descubiertos). Es más, debido a que muchas empresas todavía tienen infraestructura local, desafortunadamente, cuando se trata de ataques on-premise, «las barreras de red / firewalls» que tienen las empresas para mantenerse teóricamente a salvo, impiden en realidad y por motivos técnicos, que productos cloud inteligentes (como AAD Identity Protection, Acceso Condicional de Azure AD y Cloud App Security) puedan usarse para ayudar a mantener seguros los datos alojados físicamente en su organización.

Tu infraestructura on-premise representa el mayor riesgo, por lo que tener una respuesta rápida para estas intrusiones es la mejor estrategia. Afortunadamente,  Advanced Threat Analytics (ATA) y la versión en la nube, Azure Advanced Threat Protection (Azure ATP), permiten ayudar a las empresas a detectar rápidamente un intento de penetración en una infraestructura on-premise analizando ataques avanzados , principalmente en nuestros controladores de dominio. La diferencia entre ambos productos es que ATA (incluido en EMS E3) necesita instalarse en infraestructura local requiriendo servidor y almacenamiento relevante para muchos datos, mientras que Azure ATP (incluido en EMS E5), almacena los datos y opera totalmente desde la nube, sin necesidad de infraestructura local.

ATA y Azure ATP ofrecen entre otras características:

• Detección de actividad sospechosa de usuarios y dispositivos, basado en histórico de la empresa, aprendizaje automático y inteligencia de amenazas.

• Monitorización de los múltiples puntos de entrada de la empresa a través de la integración con Microsoft Defender ATP (solo Azure ATP).

• Detección de rutas de desplazamiento lateral a cuentas con permisos de administrador.

• Futura integración con AAD (solo Azure ATP)

• Alertas con información clara y en tiempo real de los ataques a la empresa para responder con rapidez.

Al final, ATA / Azure ATP es como el vigilante escondido en nuestra casa, capaz de alertarnos rápidamente si un atacante ha roto alguna barrera de seguridad.

Protección en movilidad

Aunque estemos seguros que una identidad no ha sido comprometida y que la persona que accede a nuestros datos sea quien dice ser, existe siempre la posibilidad de que un usuario se descargue información en un dispositivo inseguro (sin encriptar y/o sin pin) o peor aún, ya comprometido.

Por ejemplo, si un usuario se está sincronizando el correo corporativo en su teléfono personal y éste no tiene pin, cualquiera que coja esa teléfono va a tener acceso total al buzón de correo de la empresa. O, si el usuario se ha descargado un documento con contenido muy sensible (contratos, excel de nóminas, ..) en su dispositivo personal y el portátil (o teléfono), se pierde o se roba, esos documentos caerán en manos equivocadas.  Es más, actualmente muchos dispositivos se usan como factor de validación de seguridad así que, tenerlos sin protección y con malware que es capaz de interceptar las credenciales del usuario cada vez que se conecta a algún servicio, es una gran amenaza.

Por todos estos motivos, como uno de los puntos de acceso a los recursos corporativos es a través de dispositivos tanto de la empresa como de los empleados (móviles, tabletas o portátiles), la gestión de dichos dispositivos para garantizar el cumplimiento de ciertos parámetros (como que tengan pin, estén encriptados o no tengan virus ni malware), mantener el control en caso de pérdida o robo junto a la capacidad de decidir las aplicaciones que pueden usarse desde los mismos (y cómo y desde dónde), es una parte esencial de la estrategia de seguridad de la empresa para evitar fugas de información. Todo ello es lo que nos ofrece EMS dentro de Microsoft Intune.

Microsoft Intune incluye entre otras características:

• Administración de qué aplicaciones y cómo pueden usarse en los dispositivos móviles.

• Aislamiento de los datos corporativos y los datos personales dentro de la misma aplicación (Tanto en la misma aplicación como en otras aplicaciones que no sean de empresa)

• Borrado selectivo de datos corporativos en dispositivos móviles perdidos o robados.

• Gestión de dispositivos móviles (iOS, Android, MacOS y W10).

Mediante otra analogía, puede pensar que Intune garantiza la integridad de nuestro maletín y su cerradura, lo que ayuda a proteger la seguridad de lo que hay dentro.

¿Cómo se licencia EMS?

Este producto tiene dos versiones:

• EMS E3: Incluye Azure Active Directory Premium P1, Intune, Azure Information Protection P1, Advanced Threat Analytics y derechos para Windows Server CAL.
• EMS E5: Incluye Azure Active Directory Premium P2, Intune, Azure Information Protection P2, Microsoft Cloud App Security, Azure Advanced Threat Protection y derechos para Windows Server CAL.

Asimismo, EMS va incluido en las siguientes suites:

• MICROSOFT 365 E3: Incluye EMS E3, Office 365 E3 y Windows 10 E3.
• MICROSOFT 365 E5: Incluye EMS E5, Office 365 E5 y Windows 10 E5.

Conclusiones 

La cruda verdad es que la velocidad y la sofisticación de los ataques está aumentando y juntamente con los riesgos derivados de errores humanos (en contraseñas o compartiendo información), facilita al enemigo múltiples formas de acceder a nuestros datos. Sí, el enemigo está ahí afuera o .. tal vez ya dentro, así que, nuestra recomendación es seguir una estrategia que suponga que tenemos una brecha y pensar que ninguna defensa será suficiente.

¿Quieres saber más? Contacta con nosotros.

La seguridad es un aspecto crítico para cualquier empresa que esté en la nube. Según un estudio realizado por Microsoft, en las empresas se utilizan una media de 17 aplicaciones en la nube, a veces algunas, con conocimiento de los responsables IT pero a menudo, sin su autorización (por ejemplo, Facebook, Gmail, Dropbox, etc…), exponiendo a las compañías a riesgos de seguridad desconocidos y a incumplimientos de políticas de privacidad. Ante esta situación muchos responsables IT se plantean ¿Cómo podemos detectar qué aplicaciones en nube utilizan nuestros usuarios como parte de su actividad? y.. luego… ¿Cómo podemos controlar la actividad que realizan estos usuarios en dichas aplicaciones, teniendo en cuenta que son datos a menudo confidenciales?

La solución: Microsoft Cloud App Security

¿Qué sucede si un empleado, correctamente identificado y autentificado, hace algo incorrecto con tus datos? Es más.. ¿Qué pasaría si ese empleado ya no es leal o actúa bajo coacción? o.. ¿Qué pasa si su equipo no estuviera correctamente protegido y un malware estuviera leyendo datos en su nombre? Aquí es donde intervendría Microsoft Cloud App Security (MCAS).

Concretamente, Cloud App Security proporciona a los departamentos IT visibilidad y control sobre las aplicaciones en la nube que usan los usuarios de tu organización (las permitidas y las no permitidas). De este modo, por un lado, podrás restringir el acceso a las que no autorizes y por otro podrás observar la actividad que realizan los usuarios con los datos de las aplicaciones permitidas, identificando actividades sospechosas y posibles amenazas antes de que se conviertan en realidad.  Por ejemplo, Microsoft Cloud App Security podrá indicarte que hay un determinado usuario que está descargando gran cantidad de información fuera de la empresa (incluso, si la situación es demasiado anómala, podrá cerrarle la sesión), o podrás limitar que no sea posible acceder a según que aplicaciones desde fuera de tu organización o desde equipos desconocidos.

MCAS, aparte de Office 365 y Azure, proporciona visibilidad de actividad para aplicaciones cloud populares como Dropbox, G Suite, AWS, Salesforce y muchas más.

¿Qué te ofrece exactamente?

• Detección de aplicaciones: Monitoriza en tiempo real el tráfico de tu red y detecta aplicaciones en la nube utilizadas, obtén visibilidad de las no autorizadas y evalúa el riesgo.
• Visibilidad de la actividad de los usuarios en aplicaciones nube: A través de Cloud Discovery podrás obtener información detallada de las actividades, usuarios, tráfico y archivos utilizados en la nube, así como informes personalizados de registros de actividades en la nube por usuario.
• Mayor control y protección de tus datos críticos: Controla el uso de los datos de tu empresa a través de directivas de acceso y uso compartido de datos y prevención de pérdida de datos (DLP). Por ejemplo, tu empresa puede tener habilitada una directiva de archivo que te alerta cuando un usuario ha compartido un documento de la empresa con un dominio externo.
• Protección inteligente: Cloud App Security cuenta con la información de millones de datos únicos recibidos por las señales de dispositivos de la base de clientes de Microsoft para detectar incidentes y patrones de comportamiento anómalos del usuario que puedan ser indicativos de un riesgo de seguridad para tu empresa.
• Evaluación de riesgos de aplicaciones: Cloud App Security cuenta con la información de millones de señales recibidas de dispositivos de clientes de Microsoft para detectar incidentes y patrones de comportamiento anómalos del usuario que puedan ser indicativos de un riesgo de seguridad para tu empresa.
• Integración con Azure AD: Puedes consolidar los diversos identificadores que Cloud App Security recoge de un usuario al acceder a diferentes aplicaciones en la nube y unificarlos con su nombre de identificación en el Directorio Activo de tu empresa. De esta manera podrás controlar con mayor facilidad la actividad en la nube pudiendo además crear informes personalizados por grupos de usuarios o departamentos (Esta funcionalidad requiere de una configuración en el Firewall de la empresa)

Con la tecnología de integración nativa con soluciones de identidad y seguridad como Azure Active Directory, Intune y Azure Information Protection, obtendrás visibilidad de todas tus aplicaciones y servicios en la nube aprovechando análisis sofisticados para identificar y combatir las ciberamenazas y controlar cómo se consumen los datos, sin importar dónde residen.

Paneles de investigación

Los paneles de Cloud App Security proporcionan una visión general de las actividades y características de las aplicaciones en la nube que se están usando y te permiten medir ese uso por el número de usuarios, el volumen de tráfico o las IP’s desde las que se accede. Para ayudarte a investigar las aplicaciones en tu entorno puedes consultar:

• Panel principal: Información general sobre el estado en la nube (usuarios, archivos y actividades), así como las acciones necesarias (alertas, infracciones de actividad e infracciones de contenido)
• Datos: Análisis de los datos almacenados en la aplicación; desglose por tipo de archivo y por nivel de uso compartido de archivos.
• Archivos: Detalle de archivos, posibilidad de filtrar por propietario, nivel de uso compartido, etc., así como realización de acciones de gobierno (como poner en cuarentena)
• Aplicaciones de tercero: Detalle de las aplicaciones de terceros implementadas en la empresa, como G Suite, y definición de directivas para esas aplicaciones.
• Usuario: Información general completa del perfil de usuario en la nube, incluidos grupos, ubicaciones, actividades recientes, alertas relacionadas y exploradores usados.

Aplicaciones detectadas

Desde esta pestaña puedes realizar un análisis detallado de las aplicaciones que se utilizan en la compañía y realizar acciones con las no deseadas, por ser consideradas aplicaciones de riesgo o porque incumplen las políticas de la empresa, marcándolas como No Autorizadas.

Una vez marcada una aplicación como no autorizada puedes realizar dos tipos de acciones sobre ellas:

• No impedir que se use, pero supervisar más fácilmente su uso a través de los informes de Cloud Discovery.
• Impedir su uso bloqueando el acceso a la aplicación en toda la empresa (esta función requiere de una configuración específica en el firewall de la compañía)

Aplicaciones conectadas

​A través de esta vista puedes conectar aplicaciones y hacer un seguimiento de las acciones que se realizan en éstas como, por ejemplo:

• Consultar el mapa de usuarios activos y monitorización en tiempo real
• Controlar las acciones que se realizan (datos o documentos)
• Visualizar las cuentas de usuarios que utilizan la aplicación
• Aplicar tus políticas de directivas.

Cloud App Security utiliza las API proporcionadas por los proveedores de las aplicaciones en la nube para conectarlas y obtener el control sobre ellas.

 Política de directivas para controlar las aplicaciones

Las acciones que realizan los empleados con las aplicaciones pueden ser gestionadas y controladas en base a directivas y, si fuera necesario, aplicar las políticas necesarias para mitigar los riesgos en tu empresa. Por ejemplo, a través de directivas puedes permitir a los usuarios acceder a determinadas aplicaciones en la nube desde la empresa, pero prohibir que se descarguen documentos.

Hay varios tipos de directivas que se correlacionan con los diferentes tipos de información que quieres recopilar sobre el entorno de nube y los tipos de acciones correctoras que quieras realizar:

• Directiva de actividad: Permiten supervisar actividades concretas realizadas por distintos usuarios o seguir niveles inesperadamente altos de tráfico de un determinado tipo de actividad.
• Directiva de detección de anomalías: Permiten buscar actividades inusuales en la nube para emitir alertas cuando ocurra algo diferente de la línea de base de la organización o de la actividad normal del usuario.
• Directiva de detección de aplicaciones: Permiten establecer alertas que notifican cuando se detectan nuevas aplicaciones usadas en la red de la organización.
• Directiva de detección de anomalías de Cloud Discovery: Esta directiva examina el tráfico de la red de la empresa y busca comportamientos anómalos. Por ejemplo, cuando un usuario que nunca ha usado Dropbox de repente carga 600 GB o cuando hay muchas más transacciones de lo habitual en una aplicación determinada.
• Directiva de archivo: Permiten examinar las aplicaciones en la nube para detectar tipos de archivo o archivos concretos (compartidos, compartidos con dominios externos), datos (información de propiedad, información personal, información de tarjeta de crédito, etc.) y aplicar las políticas necesarias para cumplir con la normativa de la empresa.

Alertas

Esta vista proporciona visibilidad completa de cualquier actividad sospechosa o infracción de las políticas establecidas por la empresa ayudando a los administradores a determinar la naturaleza del incidente y la respuesta necesaria para cada alerta. Asimismo, las alertas de Cloud App Security te ayudan a adaptar las directivas o crear nuevas en función de los incidentes. Por ejemplo, si recibes una alerta de que un usuario de la empresa ha iniciado sesión desde Groenlandia y ningún usuario de tu organización ha iniciado nunca una sesión desde esa ubicación, puedes crear una directiva que suspenda automáticamente cualquier cuenta cuando se intente acceder desde esa ubicación.

Vista del panel de alertas que muestra actividad sospechosa e inicios de sesión anómalos

Control en Azure

Puedes supervisar de manera fluida todas las suscripciones de Azure y proteger tu entorno a través de:

• Visibilidad de todas las actividades realizadas a través del portal.
• Posibilidad de crear directivas personalizadas para alertar sobre comportamientos no deseados, así como la posibilidad de protegerse automáticamente ante usuarios de riesgo mediante la suspensión o la exigencia de que vuelvan a iniciar sesión.
• Todas las actividades de Azure están cubiertas por el motor de detección de anomalías, que generará una alerta automáticamente ante cualquier comportamiento sospechoso en Azure Portal, como inicios de sesión anómalos, actividades sospechosas masivas y la actividad desde un nuevo país.

En los últimos meses Microsoft Cloud App Security ha recibido mejoras interesantes, entre las que destacan por ejemplo la posibilidad de visualizar qué aplicaciones y servicios se ejecutan sobre las suscripciones de Infraestructura como Servicio (IaaS) y Plataforma como servicio (PaaS), independientemente de si se están ejecutando en Azure, AWS o Google Cloud.

Microsoft Cloud App Security y el GDPR

Gracias a la integración con Azure Information Protection (AIP), Cloud App Security puede ayudar a tu empresa en el cumplimiento del GDPR permitiendo aplicar etiquetas de clasificación de AIP a los archivos en la nube para protegerlos e identificarlos. Con la integración puedes:

• Aplicar etiquetas de clasificación como una acción de gobierno a archivos que coincidan con las directivas.
• Ver todos los archivos clasificados en una ubicación central.
• Realizar investigaciones en función del nivel de clasificación y cuantificar la exposición de la información confidencial en las aplicaciones en la nube.
• Crear directivas para asegurarse de que los archivos clasificados se controlan correctamente.

Opciones de licenciamiento de Cloud App Security

• Cloud App Discovery (Funcionalidad básica): Proporciona información sobre qué aplicaciones en la nube no administradas por ti se están usando en tu empresa, con el objetivo de controlar el shadow IT. Este producto viene integrado en Azure Active Directory Premiun y Enterprise Mobility + Security E3.
• Office 365 Cloud App Security (Funcionalidad intermedia): Incluye detección de amenazas basada en registros de actividad de usuario, detectando más de 750 aplicaciones de Office 365 o aplicaciones con funcionalidades similares. Esta versión viene integrada en Office 365 Enterprise E5.
• Microsoft Cloud App Security (Funcionalidad completa): La solución más completa que proporciona visibilidad detallada y protección de amenazas tanto de Office 365 como aplicaciones SaaS, contando con un completo catálogo de más de 16.000 aplicaciones en la nube. Asimismo, permite el etiquetado y clasificación gracias a la integración con Azure Information Protection. Esta versión viene integrada en Enterprise Mobility + Security E5, Microsoft 365 E5 o como producto independiente.

Con Cloud App Security podrás beneficiarte de las ventajas de la nube con confianza, sin dejar de estar seguro, protegido y cumpliendo las normativas.

¿Quieres saber más? Contacta con nosotros.