Puntos clave
- Los ciberdelincuentes actúan a la velocidad de las máquinas, mientras que muchos procesos de gestión de abusos siguen basándose en flujos de trabajo manuales.
- Los informes de abusos de alta calidad y basados en pruebas permiten una investigación más rápida y una mitigación más eficaz.
- Una clasificación coherente de la gravedad y una escalación estructurada mejoran la toma de decisiones operativas.
- La colaboración entre registradores, registros, proveedores de alojamiento, proveedores de servicios en la nube, CERT y las fuerzas del orden es esencial para reducir los daños provocados por la ciberdelincuencia.
- El sector de la ciberseguridad necesita prácticas operativas estandarizadas para la notificación de abusos, no solo mejores tecnologías de detección.
Los ciberdelincuentes actúan en cuestión de minutos. El sector sigue respondiendo en días.
Cada hora que un sitio de phishing, una plataforma de distribución de malware o un dominio fraudulento permanece en línea, se crean nuevas víctimas.
Los ciberdelincuentes lo saben.
Automatizan el despliegue de la infraestructura, rotan los dominios en cuestión de minutos, abusan de los servicios en la nube a gran escala y cambian rápidamente sus operaciones cuando se interrumpe la infraestructura.
Mientras tanto, gran parte del ecosistema de gestión de abusos en Internet sigue basándose en procesos que no han cambiado de forma sustancial en años.
- Buzones de correo manuales para notificar abusos.
- Denuncias incompletas.
- Responsabilidades poco claras.
- Múltiples traspasos de responsabilidad.
- Expectativas de respuesta en horario laboral.
El resultado es una brecha operativa que los ciberdelincuentes aprovechan cada día.
La velocidad ha cambiado. Los procesos, no.
Internet nunca se diseñó teniendo en cuenta el panorama actual de amenazas.
Cuando se produce un abuso, la responsabilidad suele repartirse entre varias organizaciones:
- Registradores
- Registros
- Proveedores de alojamiento
- Proveedores de DNS
- Proveedores de servicios en la nube
- Operadores de CDN
- CERT nacionales
- Fuerzas del orden
Cada una de estas organizaciones tiene responsabilidades diferentes, marcos contractuales distintos y procedimientos operativos distintos.
Esa complejidad es comprensible.
Lo que resulta cada vez más difícil de justificar es la falta de coherencia que sigue existiendo en la notificación de abusos en todo el sector.
Muchas notificaciones llegan con escasas pruebas que las respalden.
Algunas se envían directamente a la organización equivocada.
Otras carecen de los detalles técnicos necesarios para que los proveedores puedan investigar con rapidez.
En muchos casos, la investigación no se inicia de inmediato, no porque los proveedores no estén dispuestos a ayudar, sino porque la propia denuncia no permite actuar.
Los ciberdelincuentes no esperan a que haya una mejor documentación.
Una denuncia de abuso debería acelerar la investigación, no generar más trabajo
Una buena denuncia de abuso debería responder a las preguntas que los investigadores necesitan de inmediato:
- ¿Qué ha ocurrido?
- ¿Qué infraestructura está implicada?
- ¿Qué pruebas respaldan la denuncia?
- ¿Cuál es la gravedad de la actividad?
- ¿Se está produciendo un daño continuo?
- ¿Quién es responsable de tomar la siguiente medida?
Cuando estas preguntas se responden de forma coherente, los proveedores pueden dedicar menos tiempo a solicitar aclaraciones y más tiempo a mitigar la amenaza.
Por desgracia, no existe un estándar operativo ampliamente adoptado para elaborar este tipo de informes.
La escalación debe ser predecible
Otro reto es saber cuándo un incidente debe traspasar el ámbito del proveedor inicial.
Escalar demasiado pronto genera fricciones innecesarias.
Escalar demasiado tarde permite que los ataques continúen.
Un marco de escalación estructurado debe tener en cuenta:
- Calidad de las pruebas
- Gravedad
- Impacto continuo en las víctimas
- Respuesta del proveedor
- Plazos operativos
- Proporcionalidad
Sin un marco común, la escalación suele volverse subjetiva en lugar de basarse en las pruebas.
El daño activo requiere una colaboración inmediata
No todos los incidentes merecen la misma respuesta.
El registro sospechoso de un dominio es muy diferente de una campaña activa de recopilación de credenciales dirigida a cientos de usuarios.
Cuando se confirma un daño activo, esperar a que se completen los procesos secuenciales puede prolongar innecesariamente la vida útil de la infraestructura maliciosa.
Aquí es donde la coordinación en paralelo se vuelve esencial.
Los registradores, los proveedores de alojamiento, los operadores de la nube, los CERT y, cuando proceda, las fuerzas del orden deberían poder trabajar a partir de las mismas pruebas y del mismo calendario operativo.
El objetivo no es atribuir culpas.
Se trata de reducir el daño.
Necesitamos mejores estándares operativos
La ciberseguridad cuenta con marcos maduros para la respuesta a incidentes, la gestión de vulnerabilidades y la gobernanza de la seguridad de la información.
La notificación de abusos ha evolucionado de forma mucho menos coherente.
Las organizaciones han desarrollado sus propios procedimientos, pero hay pocas directrices comunes sobre:
- Calidad de las pruebas
- Normas de documentación
- Clasificación de la gravedad
- Umbrales de escalado
- Responsabilidad operativa
- Auditabilidad
A medida que la ciberdelincuencia se profesionaliza cada vez más, la gestión de los abusos debe ser igualmente profesional.
La misma madurez que las organizaciones esperan de la respuesta a incidentes y las operaciones de seguridad también debería existir en los procesos utilizados para denunciar y desarticular las infraestructuras maliciosas. Sin normas operativas comunes, cada organización acaba reinventando su propia metodología de gestión de abusos, lo que da lugar a resultados inconsistentes en todo el sector.
El enfoque de Excedo
En Excedo, creemos que una gestión eficaz de los abusos debe basarse en los mismos principios que sustentan las operaciones modernas de ciberseguridad: coherencia, pruebas, responsabilidad y mejora continua.
Para respaldar ese objetivo, hemos desarrollado un completo Manual de políticas de notificación y escalado de abusos que establece un marco operativo estandarizado para investigar, documentar, notificar y escalar los abusos relacionados con nombres de dominio e infraestructura de Internet. El marco define los requisitos de pruebas, las clasificaciones de gravedad, los plazos operativos, los criterios de escalado, las normas de documentación y la colaboración con registradores, registros, proveedores de infraestructura, CERT y autoridades competentes.
La política tiene, intencionadamente, un carácter operativo más que jurídico. No redefine las responsabilidades contractuales ni las obligaciones reglamentarias, ni prescribe cómo deben responder los proveedores. En su lugar, proporciona una metodología coherente que garantiza que las denuncias de abusos sean técnicamente precisas, se basen en pruebas, sean proporcionadas y den lugar a medidas concretas.
En última instancia, nuestro objetivo es sencillo: reducir el tiempo que transcurre entre la identificación de una infraestructura maliciosa y la mitigación del daño que causa.
Más allá de los casos individuales
La comunidad de ciberseguridad suele medir el éxito por el número de amenazas detectadas, los indicadores compartidos o los incidentes investigados.
Pero la detección por sí sola no protege a las víctimas.
El verdadero éxito se mide por la rapidez con la que se desactiva la infraestructura maliciosa.
Esto requiere madurez operativa en todo el ecosistema, desde el analista que recopila pruebas, pasando por el registrador que revisa un informe de abuso, hasta el proveedor de alojamiento que desactiva el contenido malicioso y, cuando sea necesario, los CERT nacionales y las fuerzas del orden que coordinan una respuesta más amplia.
Los ciberdelincuentes ya operan con manuales de estrategias estandarizados, automatización e infraestructura global.
Los defensores necesitan procesos operativos igualmente maduros.
Reflexiones finales
La ciberdelincuencia se ha convertido en un negocio industrializado.
Los procesos utilizados para combatirla deben ser igualmente profesionales.
El futuro de la gestión de los abusos no consiste simplemente en enviar más informes. Se trata de enviar mejores informes, respaldados por pruebas verificables, documentados mediante procesos coherentes y escalados de forma estructurada y proporcionada.
El sector ha logrado avances notables en la detección de amenazas, el intercambio de información y las tecnologías defensivas. Ahora debe realizar la misma inversión en la colaboración operativa.
Porque cada hora que la infraestructura maliciosa permanece en línea es otra hora en la que son los atacantes, y no los defensores, quienes controlan el ritmo de los acontecimientos.
