Paz Mental Digital Asegurada: Convierte tu inicio de sesión en una fortaleza con la Autenticación Multifactor.

Paz Mental Digital Asegurada: Convierte tu inicio de sesión en una fortaleza con la Autenticación Multifactor.

La ciberseguridad se basa en cuatro prácticas fundamentales que toda organización debe seguir para mantenerse segura:

Prácticas Fundamentales

  • Actualizar el software y los dispositivos es la forma más sencilla de protegerse de las amenazas de seguridad. Realice las actualizaciones tan pronto como estén disponibles o configure actualizaciones automáticas.
  • Todas las contraseñas deberían ser de la siguiente manera:
  1. Largas: al menos 16 caracteres.
  2. Aleatorias: implemente letras, números y símbolos que permitan aumentar la complejidad: “Jzpc9&Rjs%Pps98t”
  3. Únicas: La importancia de nunca reutilizar contraseñas en los distintos sitios.
  4. Implemente MFA: La Autenticación Multifactor proporciona una capa adicional de seguridad para sus cuentas. Elija el método de autenticación Multifactor (MFA) más seguro disponible. Una llave de seguridad física ofrece la mejor protección y es fácil de usar.
  • Identifique y reporte ataques de Phishing: Esté atento a intentos de phishing y otras estafas en sus correos electrónicos, mensajes de texto, mensajes directos o llamadas telefónicas. Verifique siempre al remitente antes de hacer clic en enlaces o descargar archivos adjuntos. Si detecta una estafa, denúnciela.

De estas prácticas básicas, habilitar la autenticación Multifactor (MFA) es una de las formas más efectivas de proteger sus cuentas y datos. La Alianza Nacional de Ciberseguridad informa que habilitar MFA puede prevenir el 99% de los ataques de piratería automatizados. Sin embargo, MFA no es infalible, así que echemos un vistazo más de cerca a qué es, cómo funciona y cómo podemos aprovechar al máximo esta práctica.

¿Qué es MFA y cómo surgió?

MFA es un proceso de seguridad que requiere que los usuarios verifiquen su identidad utilizando dos o más factores independientes. Estos factores se dividen en carias categorías:

  • Conocimiento: algo que sabes (contraseña, PIN, pregunta de seguridad)
  • Posesión: Algo que tienes (teléfono inteligente, token de hardware, tarjeta inteligente, contraseña de un solo uso)
  • Inherencia: Algo que eres (huella dactilar, identificación facial, reconocimiento de voz)
  • Ubicación y comportamiento: en algún lugar en el que se encuentre (ubicación, dirección IP, geovallas; un MFA adaptable)

No tenemos un origen exacto para MFA, pero la idea ha existido durante décadas. Los cajeros automáticos (ATM) se citan comúnmente como el primer uso generalizado de MFA porque requerían la posesión de un cheque o tarjeta física y el conocimiento del PIN. Tenías que tener ambos para obtener acceso a la cuenta asociada.

Esta práctica de seguridad no se conoció como MFA hasta mucho más tarde, cuando los organismos reguladores y de estándares comenzaron a incluirla como control. A medida que aumentaron los servicios en línea y las amenazas cibernéticas, MFA creció como herramienta de ciberseguridad y se expandió para incluir aplicaciones móviles, biometría y las verificaciones adaptativas basadas en riesgos (contextuales) utilizadas en entornos de confianza cero.

MFA y autenticación de dos factores (2FA) a veces se usan indistintamente, pero son dos prácticas diferentes. 2FA requiere exactamente dos factores de categorías separadas, y esto es lo que muchas aplicaciones de consumo utilizan para asegurar los inicios de sesión de los clientes. MFA puede combinar dos o más tipos de credenciales, como una contraseña, un dispositivo móvil o una verificación biométrica. Implementar más de dos factores o comprobaciones contextuales es mucho más seguro que 2FA.

¿Cómo los atacantes eluden 2FA / MFA?

Los atacantes han mejorado en eludir la seguridad de MFA. Estas son algunas de las formas en que han estado eludiendo la segunda autenticación: 

  • Kits de phishing como Whisper 2FA que pueden interceptar códigos de un solo uso.
  • Ataques de adversario en el medio (AiTM) o proxy que pueden transmitir credenciales y códigos MFA a los atacantes en tiempo real. Estos ataques interceptan el tráfico y manipulan la autenticación.
  • La fatiga de MFA/push bombing es un ataque que inunda a los usuarios con repetidas solicitudes de inicio de sesión/MFA. Esta táctica funciona cuando las personas aprueban el inicio de sesión solo para que las alertas se detengan.
  • Los ataques de intercambio de SIM involucran a actores de amenazas que secuestran números de teléfono para interceptar códigos de autorización. Aquí hay un ejemplo de un intercambio de SIM contra la Comisión de Bolsa y Valores de EE. UU.
  • Estafas de ingeniería social/mesa de ayuda, donde los actores de amenazas se hacen pasar por usuarios para engañar al personal de TI para que otorgue acceso a una cuenta.

Puede defenderse de estos ataques MFA (claves de hardware, autenticadores basados en aplicaciones) resistentes al phishing, educar a los usuarios sobre la fatiga de inserción y el phishing, y reforzar los procedimientos de recuperación de cuentas y mesa de ayuda.

Implementación y administración de MFA

Una implementación exitosa de MFA comienza con la estrategia y la capacitación del usuario. Eduque a los usuarios sobre los ataques de credenciales y por qué MFA es una defensa tan importante. Como cualquier proyecto de TI, el apoyo de las partes interesadas hará que la implementación sea mucho más fluida. Trabajar con las partes interesadas también le ayudará a determinar los niveles de riesgo y los requisitos de MFA para usuarios y grupos.

Cuando esté listo para la implementación, comience con las cuentas con privilegios. Proteger las cuentas administrativas y ejecutivas antes de extenderlas al resto de usuarios. Asegúrese de cubrir todo: VPN, correo electrónico, acceso remoto, SaaS y aplicaciones en la nube, etc. Si corresponde, use una autenticación más fuerte para las cuentas de mayor riesgo.

Si es posible, implemente el inicio de sesión único (SSO), MFA adaptable y la autenticación basada en inserción para que la autenticación segura sea fácil para los usuarios. Y no olvide establecer una política de recuperación segura y opciones de respaldo, capacitación continua de usuarios y desvinculación para los empleados que se van.

Más allá de MFA: acceso de confianza cero

Si bien MFA es una capa crítica de defensa, el acceso de confianza cero va más allá. La confianza cero supone que ningún usuario o dispositivo es inherentemente confiable, incluso dentro de la red. Las plataformas modernas de confianza cero, como Barracuda SecureEdge Zero Trust Access, combinan MFA con controles de acceso avanzados para bloquear el acceso no autorizado, incluso si los atacantes tienen credenciales válidas o tokens de sesión.

La ciberseguridad es una responsabilidad compartida. Habilitar MFA es uno de los pasos más simples y efectivos que puede tomar para protegerse a sí mismo y a su organización. A medida que los kits de phishing y los ataques de adversario en el medio se vuelven más sofisticados, es esencial utilizar MFA sólida y resistente al phishing y considerar la posibilidad de avanzar hacia el acceso de confianza cero para una protección aún mayor.

Acércate a nosotros para brindarte más información de nuestro programa de canales:

JR