Cuidar las contraseñas va más allá de 12 caracteres alfanuméricos

Proteger las contraseñas con una visión integral

Con el dueto nombre de usuario-contraseña, confirmamos nuestra identidad a la hora de ingresar a sistemas y soluciones tecnológicas. Esta pareja, por lo general, también se utiliza para avalar el nivel de acceso que tenemos a los recursos de una organización, por ejemplo, qué equipos podemos usar, qué datos estamos autorizados a descargar de un servidor, qué aplicaciones y conexiones tenemos a nuestra disposición.

Por desgracia, como se sugirió líneas atrás, las personas tienden a ser descuidadas con los passwords, y en tal sentido, no se puede ignorar que más del 50% de las fugas de datos involucra a agentes internos, con la negligencia de los empleados ocupando un lugar destacado en el rubro.

Esto ha impulsado el desarrollo de innovaciones de seguridad que complementan la función tradicional de una contraseña (confirmar la identidad del usuario), tales como tecnologías especializadas en reconocimiento biométrico, confirmación multifactorial y autenticación SSO (Single Sign-On; Inicio de Sesión Unificado). De hecho, en su análisis de las principales tendencias y amenazas de ciberseguridad para 2021, la consultora global Gartner ha destacado la importancia de una estrategia de protección digital que incluya recursos enfocados en el aspecto de la identidad.

No obstante, aunque dichas soluciones reducen el peligro que genera un password típico y francamente torpe (como el mundialmente famoso “12345”), la realidad es que también pueden ser vencidas por los ciberdelincuentes (algo que la propia Gartner no deja de reconocer). Más importante aún: para conseguir una contraseña que les ayude a materializar un ataque de alto impacto, los adversarios no necesitan derrotar a todas las defensas que ha instalado una organización en su red. En realidad, les basta una pequeña fisura –como un endpoint de la red que logran controlar– que les permita llegar hasta un Directorio Activo (Active Directory; AD).

Al ser la instancia que enlista y gestiona todos los recursos de una red, un Directorio Activo incluye las llamadas credenciales: la información que identifica y relaciona a una persona con la infraestructura, por esa razón, dicho componente incluye, entre otros elementos, un username y su respectiva contraseña. De tal forma, si un ciberdelincuente obtiene una credencial podrá suplantar a un usuario legítimo; y para la empresa será muy difícil detectar el peligro, ya que, en todo momento, verá a un usuario que en su tránsito por la red siempre utiliza el username y la contraseña correctas -es decir, que usa una credencial aparentemente lícita.

Y al amparo de la identidad robada, el adversario cuenta con las mejores condiciones para realizar movimiento lateral y escalar privilegios, permitiéndole ubicar los activos empresariales más valiosos. Esto explica por qué el uso de credenciales robadas o perdidas, según investigaciones, fue un factor involucrado en el 80% de las fugas de información que se registraron el año pasado.   

Ante dicha circunstancia, la mejor opción es recurrir a innovaciones de ciberseguridad con funciones realmente especializadas en la protección de credenciales y AD. En el primer tema, las soluciones más avanzadas de esta categoría, además de detectar el robo o el uso sospechoso de credenciales, permiten tomar acciones defensivas eficientes, como usar elementos de engaño (datos y activos de red falsos) que alejan a los adversarios de los componentes realmente críticos y los confinan a un espacio donde pueden ser frenados. En lo que respecta al AD, las mejores tecnologías, entre otras ventajas, ofrecen una protección con visión preventiva, ya que no se limitan a identificar incursiones contra este componente, sino que constantemente monitorean el Directorio Activo para ubicar vulnerabilidades y malas configuraciones que podrían aprovechar los adversarios –al mismo tiempo que brindan soluciones para dichas exposiciones.

El Día mundial de la contraseña es una fecha que nadie debe ignorar. Como usuarios, debemos entender que un password es un asunto muy serio, algo que no debemos tratar con ligereza o descuido. Sin embargo, una visión realmente útil sobre el tema tampoco debe ser ingenua. Las contraseñas pueden ser vencidas o pueden acabar en las manos de un ciberdelincuente (que sólo necesitó comprarlas en internet). Y ahí está el factor de fondo: perder un password es una mala noticia, sin embargo, perder la capacidad de reacción ante el hecho es una noticia aún peor.

Sobre el autor: Juan Carlos Vázquez es director para Latinoamérica de Attivo Networks.