Análisis de CISA revela contrastes en la defensa de infraestructuras críticas frente a ataques simulados

La Cybersecurity and Infrastructure Security Agency (CISA) llevó a cabo dos evaluaciones simultáneas de ‘red team’ en dos organizaciones de infraestructura crítica, designadas como Organización A y Organización B, con el objetivo de simular operaciones ciberofensivas reales y probar sus capacidades defensivas. Aunque en ambos casos el ‘red team’ logró un compromiso total del dominio, obteniendo acceso a sistemas empresariales sensibles (SBSs) y recursos en la nube, la respuesta de cada entidad fue radicalmente diferente.

Organización A: Brecha inadvertida

En la Organización A, el ‘red team’ consiguió acceso inicial a múltiples estaciones de trabajo, escaló privilegios sobre el dominio y se movió lateralmente a los SBSs y recursos en la nube sin ser detectado. El análisis posterior reveló que la Organización A no logró identificar ni contener la actividad maliciosa. Los equipos de seguridad (SOC) estaban abrumados por un volumen inmanejable de alertas de baja y media prioridad, en gran parte debido a herramientas de detección mal configuradas y a la ausencia de líneas base claras. Además, los silos organizacionales entre diferentes SOCs y la falta de comunicación entre el personal de seguridad y los propietarios de sistemas impidieron una respuesta efectiva. La burocracia y la falta de autoridad explícita para los defensores agravaron la situación, llevando a que se ignoraran o clasificaran erróneamente alertas críticas.

El equipo atacante explotó vulnerabilidades como credenciales por defecto en aplicaciones web, plantillas de Active Directory Certificate Services (ADCS) mal configuradas que permitían la suplantación de identidad, y la Cuota de Cuentas de Máquina (MAQ) configurada por defecto, que autoriza a usuarios no privilegiados a añadir hasta diez cuentas de equipo al dominio. También se observó el uso de credenciales en texto plano y con vida útil ilimitada para acceder a sistemas críticos y recursos en la nube, como AWS IAM.

Organización B: Detección y contención efectivas

En contraste, la Organización B demostró una postura de seguridad mucho más madura. Tras el acceso inicial del ‘red team’ mediante una campaña de spearphishing, los defensores de la red detectaron rápidamente los intentos de compromiso. Las estaciones de trabajo afectadas fueron aisladas manualmente en cuestión de minutos (entre 2 y 20), cortando la comunicación de comando y control (C2) del ‘red team’. Esta rápida reacción obligó al equipo atacante a operar bajo un modelo de ‘assume breach’, donde la organización proporcionó un punto de acceso simulado para evaluar la capacidad de respuesta interna ante una brecha ya consumada.

Aun bajo el modelo de ‘assume breach’, la Organización B continuó demostrando una sólida defensa. Cuando el ‘red team’ accedió a un bastion host en la Zona Desmilitarizada (DMZ) de Tecnología Operativa (OT), los controles de seguridad bloquearon las conexiones salientes y el SOC aisló rápidamente el sistema. De manera similar, un intento de acceso al portal de Azure de la organización a través de una cuenta comprometida activó una alerta automática de Microsoft, lo que llevó al personal a bloquear la actividad. La Organización B también implementó detecciones personalizadas para alertas de usuarios de Entra ID de riesgo y tráfico API sospechoso.

Sin embargo, la Organización B no estuvo exenta de debilidades. El ‘red team’ finalmente logró acceder a Entra ID a través de una cuenta de equipo relacionada con la implementación de Seamless SSO que carecía de autenticación multifactor (MFA) y tenía permisos de aplicación excesivamente permisivos. También se identificaron configuraciones erróneas y permisos excesivos en Active Directory y en cuentas de servicio, así como la presencia de credenciales de sistemas OT almacenadas en texto plano en servidores de salto, lo que subraya la necesidad de una higiene de credenciales más estricta y auditorías regulares.