De más de 4.000 hosts con acceso a los sistemas de pago a solo 38
Una auditoría mostró que cualquier equipo de la red de oficinas podía alcanzar el servidor de pagos, por una regla declarada temporal en 2019 y cuatrocientas más que nadie se atrevía a borrar
Un auditor enchufó un portátil en una toma de una sala de reuniones, obtuvo dirección de red y desde ahí abrió un puerto de gestión del servidor que procesa los pagos. No explotó nada, y no hacía falta: el hallazgo era que el camino existía. Lo cuenta Serguey Shinder a partir de la evaluación de seguridad de su propia organización el año pasado.
No es que no hubiera segmentación. Había redes virtuales, había un cortafuegos entre las oficinas y el centro de datos, y había un diagrama con dos zonas separadas. Lo que el diagrama no recogía era una regla que dejaba pasar todo el rango de direcciones internas, añadida en 2019 durante una migración, con un comentario que la declaraba temporal y el nombre de alguien que se marchó en 2021. Debajo había otras cuatrocientas reglas; de aproximadamente un tercio, nadie sabía explicar el motivo, y ninguna persona estaba dispuesta a eliminarlas.
El problema no es la técnica
Ese es el punto. Segmentar no es difícil en lo técnico; es difícil porque el trabajo solo tiene cara negativa. Nadie se entera del ataque que se vuelve más complicado, y todo el mundo nota la herramienta de informes que deja de funcionar un martes por la tarde. Quien elimina una regla carga con lo que se rompa durante las dos semanas siguientes. Las reglas, por tanto, solo se acumulan en una dirección, y una red termina siendo plana por paciencia y no por decisión.
Lo que permitió avanzar fue renunciar a segmentarlo todo. Eligieron el entorno de pagos y los sistemas financieros, registraron cada flujo que llegaba hasta ellos durante seis semanas antes de tocar una sola regla y convirtieron ese registro en una lista documentada de lo que se supone que habla con ellos. Todo lo que no está en la lista se deniega, con las excepciones nombradas, con dueño y con fecha. El sistema de cámaras, los controladores de puertas y las impresoras acabaron en su propio segmento: ninguno debería haber podido alcanzar un servidor y todos corren software que su fabricante no actualiza desde hace años.
La medida es un único número: cuántos hosts de la red pueden abrir una conexión con los sistemas de pago. Estaba por encima de cuatro mil. Ahora son treinta y ocho.
Las redes planas no se construyen, se heredan, una excepción razonable detrás de otra. Cerrarlas exige sobre todo asignar dueño a cada regla y aceptar que alguien tendrá que dar explicaciones cuando algo se caiga. La herramienta es la parte fácil.
