La empresa vista desde internet: exposición y Ciberseguridad

Una empresa puede conocer bien sus aplicaciones principales, sus sistemas críticos y los servicios que utiliza a diario y, aun así, no tener una imagen completa de cómo se ve desde internet.

Fuera de sus inventarios pueden permanecer dominios creados para proyectos ya terminados, aplicaciones de pruebas todavía accesibles, documentos publicados años atrás o información sobre tecnologías, empleados, proveedores y relaciones profesionales. Aunque estos elementos pueden parecer poco relevantes por separado, su combinación revela mucho más de lo que parece sobre el funcionamiento de una empresa.

Esa diferencia entre lo que la empresa sabe que tiene expuesto y lo que realmente puede observarse desde fuera merece atención en el contexto de la Ciberseguridad. Porque antes de intentar acceder a un sistema, un posible atacante puede estudiar el objetivo, identificar personas y tecnologías o localizar activos que hayan quedado fuera de los controles habituales.

■ Una empresa necesita presencia digital para desarrollar su actividad, y también necesita conocer la imagen que ofrece desde fuera, distinguir la exposición necesaria y detectar aquello que ya no debería seguir accesible.

Antes del ataque puede haber una fase de observación

Un ciberataque no siempre empieza con malware o con la explotación inmediata de una vulnerabilidad. También puede comenzar con una fase de reconocimiento orientada a entender el objetivo y localizar una oportunidad.

Parte de esa operación de reconocimiento puede realizarse con información pública. Los dominios y subdominios ayudan a identificar servicios; las ofertas de empleo pueden revelar tecnologías; los perfiles profesionales muestran funciones y relaciones entre equipos; y las publicaciones corporativas tal vez aportan información sobre proveedores, proyectos o mercados.

Esta información también puede utilizarse para preparar ataques de ingeniería social. Conocer quién ocupa una determinada función, qué proveedor utiliza una compañía o qué proyecto está desarrollando permite construir una petición más ajustada al contexto de la persona que la recibe.

A esa información pública se suma la exposición que la empresa no ha generado deliberadamente: un activo que continúa accesible después de terminar un proyecto, credenciales procedentes de una filtración anterior o una configuración inadecuada en un servicio Cloud.

La presencia de uno de estos elementos no confirma por sí sola una vulnerabilidad ni un ataque. Adquiere relevancia cuando revela una exposición aprovechable, facilita un engaño más creíble o permite localizar un activo fuera de los controles habituales de seguridad.

■ La expansión del Cloud, los entornos híbridos, las aplicaciones, las identidades digitales y las dependencias de terceros dificultan mantener una visión completa de la superficie expuesta. La gestión continua de la exposición responde a esa necesidad: ampliar la visibilidad y priorizar los riesgos según su contexto y posible impacto.

La información pública gana valor cuando revela una exposición aprovechable.

Varias piezas pueden contar una historia

Un ejemplo hipotético ayuda a verlo:

—Una empresa publica una oferta para incorporar un especialista a un determinado proyecto. En ella aparecen las tecnologías con las que trabajará. En una red profesional se identifica al responsable del área y a otros miembros del equipo. Una búsqueda de los dominios asociados a la compañía permite localizar un subdominio cuyo nombre coincide con el proyecto.

Ninguno de estos elementos constituye por separado un incidente de seguridad. En conjunto, sin embargo, aportan contexto sobre el proyecto, las personas relacionadas y parte de su entorno técnico.

Si el subdominio conduce a una aplicación de pruebas que continúa accesible desde internet y, además, un tercero ha registrado recientemente un dominio muy similar al corporativo, la combinación de ambos hallazgos adquiere mayor relevancia.

Las piezas permiten entonces reconstruir una historia más completa: conocer el proyecto, identificar a algunas de las personas relacionadas, localizar un activo técnico y disponer potencialmente de un recurso para intentar una suplantación.

Esto no permite concluir que el ataque vaya a producirse ni que vaya a tener éxito. Sí muestra cómo el contexto puede dar valor operativo a información que, por separado, parecía poco relevante.

■ También puede darse el fenómeno inverso: una empresa tiene identificados sus sistemas críticos, pero desconoce que un activo temporal, una aplicación antigua o un recurso administrado por un tercero sigue visible desde internet.

El contexto puede convertir datos menores en información útil para un atacante.

La empresa visible no siempre coincide con la empresa inventariada

Crear activos digitales resulta relativamente sencillo, mientras que retirarlos correctamente puede ser más difícil. Algunos casos son cuando una campaña necesita un dominio específico, un equipo de desarrollo publica temporalmente una API, una adquisición incorpora sistemas que antes pertenecían a otra compañía, un proveedor aloja un servicio en nombre de la empresa, o un entorno de pruebas permanece conectado durante más tiempo del previsto.

Y con el paso del tiempo algunos de estos activos pueden quedarse sin propietario claro, perder contexto o dejar de ser útiles mientras permanecen visibles en internet.

■ Esta pérdida de visibilidad está asociada al Shadow IT, al uso de tecnologías o servicios al margen de la aprobación o gestión habitual de la empresa. En Telefónica identificamos los dominios o API no monitorizados, las configuraciones incorrectas en la nube y las dependencias de terceros entre otros factores que pueden ampliar la exposición de una empresa.

El inventario debe reflejar lo que la empresa expone realmente en internet.

No toda exposición tiene la misma importancia

Identificar la huella externa es solo el primer paso. La dificultad está en distinguir qué elementos cumplen una función para el negocio, cuáles necesitan mayor protección y cuáles permanecen accesibles sin una finalidad clara o con un nivel de exposición innecesario.

Esa distinción evita tratar toda presencia pública como un problema: un servicio accesible puede ser legítimo y estar correctamente protegido; un documento público puede comunicar exactamente la información prevista; y un perfil profesional forma parte normal de la actividad de muchas personas.

La relevancia de cada elemento depende de su contexto: qué función cumple, quién es responsable, qué información contiene, cómo se relaciona con otros sistemas y qué podría ocurrir si alguien lo utilizara de forma maliciosa.

■ Un enfoque de gestión de la exposición CTEM (Continuous Threat Exposure Management) aplica esta lógica para descubrir, contextualizar y priorizar las exposiciones con mayor riesgo para el negocio.

La exposición importa por su contexto y su posible impacto.

Cinco ámbitos para observar la empresa desde fuera

Para reconstruir esa visión externa, la revisión puede organizarse en cinco ámbitos complementarios que muestran qué información, activos y relaciones podría encontrar un tercero.

1. Activos accesibles desde internet

Dominios, subdominios, aplicaciones, las API y otros servicios permiten comprobar si lo que continúa publicado sigue teniendo una función, un propietario y un nivel de protección adecuado.

El recuento ofrece una primera referencia, pero también hay que comprobar si todos los activos son conocidos. Un entorno antiguo o un dominio que nadie reconoce merece atención porque puede haber quedado fuera de los procesos habituales de actualización y supervisión.

■ La gestión de vulnerabilidades y de la superficie de ataque amplían esta perspectiva al relacionar los activos expuestos con las vulnerabilidades y configuraciones que pueden aumentar su riesgo.

2. Identidad y marca

Dominios muy similares al corporativo, perfiles falsos, aplicaciones que utilizan indebidamente una marca o páginas que imitan servicios legítimos pueden formar parte de campañas de phishing, fraude o suplantación.

Su revisión permite además detectar un tipo de exposición que no necesariamente se encuentra dentro de la infraestructura de la empresa: recursos creados por terceros precisamente para hacerse pasar por ella.

■ La protección del riesgo digital contempla esta vigilancia sobre web pública, deep web y dark web, así como amenazas relacionadas con marca, reputación y fraude online.

3. Personas y estructura interna

Nombres, cargos, responsabilidades y relaciones profesionales forman parte de la información que muchas empresas necesitan hacer pública. Su combinación también puede aportar contexto para dirigir mejor un intento de ingeniería social.

Quienes intervienen en pagos, contratación, soporte técnico, administración de sistemas o decisiones empresariales pueden recibir más intentos de ingeniería social.

■ La visibilidad profesional de las personas forma parte de la actividad de una empresa. La revisión debe centrarse en qué información está disponible y evitar detalles innecesarios sobre procesos, rutinas o mecanismos de autorización.

4. Documentos, repositorios y datos

Presentaciones antiguas, documentación técnica, archivos compartidos, repositorios públicos o contenidos que permanecen indexados pueden revelar más información de la prevista.

La revisión debe determinar si el documento aún necesita seguir publicado y comprobar si expone información técnica, datos internos, credenciales o metadatos que tal vez ya no deberían estar disponibles.

■ A ello se suman las filtraciones producidas fuera de los canales corporativos. Credenciales o información procedente de incidentes anteriores pueden seguir circulando mucho después de haberse producido la exposición inicial.

5. Tecnologías y terceros

Proveedores, plataformas Cloud, herramientas de desarrollo y otras tecnologías dejan rastros en ofertas de empleo, documentación, integraciones y servicios accesibles públicamente.

La existencia de esa información no constituye necesariamente un riesgo. Sin embargo, puede ayudar a reconstruir dependencias y orientar la búsqueda de vulnerabilidades conocidas, configuraciones expuestas o recursos asociados a las tecnologías y empresas relacionadas.

■ La superficie digital supera así los sistemas gestionados directamente e incluye servicios Cloud, proveedores y otras empresas conectadas al negocio. Estas dependencias también deben considerarse al evaluar el riesgo de terceras, cuartas y enésimas partes y los posibles ataques a la cadena de suministro.

La huella externa reúne activos, marca, personas, datos y terceros.

Reducir la exposición no significa desaparecer de internet

Una empresa no necesita ocultarse por completo en el ámbito digital. Su presencia pública forma parte de la relación con clientes, empleados, proveedores y mercados. Gestionar esa presencia requiere identificar los elementos que amplían el riesgo y decidir qué protección, corrección o retirada necesita cada uno.

De este modo, cuando aparece un activo desconocido hay que determinar si pertenece realmente a la empresa y quién debe gestionarlo. Si ya no cumple una función, puede retirarse. Si debe permanecer accesible, corresponde revisar su configuración y nivel de protección. Una filtración, una suplantación o un dominio fraudulento exigirán respuestas diferentes.

Cuando aparecen numerosos activos, vulnerabilidades o menciones, tratar todos los hallazgos de la misma forma resulta poco realista. La criticidad del activo, su nivel de exposición y el posible impacto en el negocio ayudan a concentrar los esfuerzos en las correcciones con mayor capacidad para reducir el riesgo.

■ Los modelos de gestión continua de la exposición (CTEM) responden a esa necesidad con un ciclo claro: descubrir qué existe, comprender qué significa, priorizar lo que importa y comprobar después si la exposición se ha reducido.

Reducir la exposición exige descubrir, priorizar y comprobar.

Conclusión

La visión interna de una empresa suele centrarse en los sistemas y servicios que gestiona actualmente. Desde fuera, desde internet, sin embargo, también pueden observarse activos y contenidos que han perdido vigencia, dependen de terceros o han quedado fuera de los controles habituales.

Esa brecha entre la visión interna y lo que puede observarse desde fuera genera una superficie de riesgo que conviene conocer y gestionar. Conocer esa diferencia permite decidir qué debe permanecer visible, qué necesita mayor protección y qué ya no debería seguir accesible.

La visibilidad externa es solo el punto de partida

En nuestro whitepaper Revolucionando las operaciones de seguridad: Ciberinteligencia y el nuevo enfoque CTEM analizamos cómo contextualizar los hallazgos, priorizar los riesgos y orientar la respuesta hacia los activos más relevantes para el negocio.

Conocer lo que internet muestra permite decidir qué proteger, corregir o retirar.