El papel de los cortafuegos en la protección contra los ataques de doctorado e ingeniería social

Los ciberdelincuentes dependen de engaños para evitar controles técnicos. Los ataques de Phishing y de ingeniería social apuntan al elemento que las herramientas de seguridad no pueden bloquear completamente: la confianza humana. Un correo electrónico cuidadosamente elaborado que impersona un proveedor, una página de inicio de sesión falsa que refleja un portal corporativo, o una llamada telefónica de alguien que posa como soporte de TI puede conducir a un robo credencial, instalación de malware o exfiltración de datos.

Este artículo examina los mecanismos específicos que utilizan los cortafuegos para contrarrestar la falsificación y la ingeniería social, las organizaciones de limitaciones deben tener en cuenta y la estrategia más amplia necesaria para proteger contra los ataques que explotan tanto la vulnerabilidad técnica como la psicología humana.

El phishing sigue siendo el vector de ataque inicial más común en las brechas de datos. El atacante envía un mensaje que parece legítimo, a menudo apoyándose en una marca conocida, un colega o un proveedor de servicios. El objetivo es engañar al destinatario para que haga clic en un enlace malicioso, descargando un adjunto infectado, o entrando credenciales en un sitio falso. La ingeniería social se extiende más allá del correo electrónico.

Las campañas de phishing modernas han crecido más sofisticadas. Los objetivos de investigación de los atacantes a través de redes sociales y bases de datos públicas, elaborar mensajes personalizados y utilizar nombres de dominio que se asemejan estrechamente a los legítimos. Según Agencia de Seguridad de la Seguridad de la Confianza y la Infraestructura (CISA), los ataques de phishing a menudo sirven como mecanismo de entrega para el ransomware, compromiso de correo electrónico comercial y el robo.

El ciclo de vida de un ataque de doctorado

Para entender dónde encajan los cortafuegos, ayuda a descomponer un ataque típico de phishing en etapas. Primero, el atacante realiza un reconocimiento para identificar objetivos. Segundo, elaboran el mensaje de phishing y eligen canales de entrega, generalmente correo electrónico, SMS o redes sociales. Tercero, envían el mensaje, a menudo utilizando infraestructura comprometida o servicios de correo electrónico gratuitos. Cuarto, el objetivo interactúa con el mensaje, haciendo clic en un enlace o abriendo un enlace o a abrir un acceso lateral de pago.

Los cortafuegos pueden intervenir en múltiples puntos en este ciclo de vida. Pueden bloquear la comunicación inicial con servidores de comandos y controles, prevenir la resolución de DNS de dominios maliciosos conocidos, inspeccionar el tráfico de contenido malicioso y alertar sobre conexiones inusuales que indican un dispositivo comprometido.

Los firewall modernos son mucho más que simples filtros de paquetes. Integran la inspección profunda del paquete, sistemas de prevención de intrusiones, filtración DNS, inspección TLS y sensibilización de capa de aplicaciones. Estas capacidades dan a los equipos de seguridad la capacidad de detectar y bloquear intentos de phishing que de otra manera podrían llegar a los usuarios.

Reputación de dominio y Filtro de URL

Muchos ataques de phishing dependen de dominios que se han registrado recientemente o que imitan marcas legítimas. Firewalls con alimentaciones de inteligencia de amenazas integradas puede comparar los dominios solicitados contra bases de datos de sitios conocidos maliciosos o sospechosos. Cuando un usuario hace clic en un enlace de phishing, el firewall puede bloquear la solicitud de DNS o la conexión HTTP antes de que la página se carga.

Las categorías de filtrado de URL permiten a los administradores bloquear el acceso a dominios recién registrados, dominios estacionados o sitios alojados en países de alto riesgo. Los atacantes suelen rotar dominios rápidamente para evadir los bloqueistas, por lo que las búsquedas de reputación en tiempo real son más eficaces que las listas estáticas.

DNS Protección de capas

El filtrado DNS es una de las defensas más efectivas contra el phishing. Cuando un usuario hace clic en un enlace malicioso, el dispositivo envía una consulta DNS para resolver el dominio. Un firewall que realiza el filtrado DNS puede interceptar esta consulta y bloquearla si el dominio está asociado con phishing, malware, o actividad de comando y control. Debido a que el tráfico DNS es esencial y a menudo se espera por defecto, los atacantes muy raramente.

Implementar el filtrado DNS a nivel de firewall proporciona cobertura para todos los dispositivos de la red, incluyendo dispositivos IoT y sistemas de invitados que pueden no tener agentes de seguridad de punta instalados. Este enfoque también impide que los sitios de phishing se alcancen incluso si el usuario los accede a través de un navegador o aplicación diferente. Combinar el filtrado DNS con la validación DNSSEC puede evitar ataques de espoofing DNS que redirijan a sitios fraudulentos.

Inspección de TLS y detección de amenazas cifradas

Un porcentaje creciente de sitios de phishing utilizan el cifrado TLS, indicado por HTTPS en la barra de direcciones del navegador. Los usuarios suelen interpretar el icono del candado como un signo de legitimidad. Los atacantes explotan esta confianza al obtener certificados TLS gratuitos para sus dominios maliciosos. Un firewall que realiza la inspección TLS puede descifrar el tráfico de salida, inspeccionar el contenido y volver a cifrar el contenido entregado antes de reen.

La inspección TLS requiere una implementación cuidadosa. Las organizaciones deben implementar una autoridad de certificado confiable en puntos finales para evitar advertencias del navegador. También es necesario abordar consideraciones de privacidad, especialmente para el tráfico a sitios financieros o sanitarios. Sin embargo, sin inspección TLS, las páginas de phishing cifradas pasan por la detección tradicional basada en firmas enteramente.

Sistema de prevención de la intrusión Signatures para cargas de Phishing

Los sistemas de prevención de la intrusión (IPS) integrados en cortafuegos de próxima generación pueden detectar y bloquear cargas de pago de phishing conocidas, incluyendo redirecciones de JavaScript, formularios de cosecha credencial y kits de explotación. Las firmas IPS son actualizadas regularmente por los proveedores y equipos de investigación de amenazas. Cuando un usuario visita una página de phishing, el componente IPS analiza la respuesta HTTP para patrones maliciosos.

Los motores IPS modernos también utilizan el análisis conductual para detectar amenazas desconocidas. Por ejemplo, una página que intenta acceder al portapapeles, capturar pulsaciones de teclas o hacer múltiples conexiones outbound a diferentes direcciones IP en un corto tiempo puede ser insignia como sospechosa incluso si no hay coincidencias de firma. Esta capacidad es importante porque las campañas de phishing cambian constantemente su código para evadir la detección basada en firmas.

Los ataques de ingeniería social que no implican explotaciones técnicas son más difíciles para los cortafuegos para abordar directamente. Un atacante que llama a un empleado y los convence a transferir dinero no genera tráfico de red que un firewall puede inspeccionar. Sin embargo, muchos ataques de ingeniería social dependen de componentes técnicos. Los mensajes de texto pueden ser seguidos por correos electrónicos de phishing que contienen enlaces a páginas de cosechación credencial.

Bloquear conexiones de salida de dispositivos compuestos

Una vez que un atacante obtiene un punto de mira a través de un ataque de ingeniería social, a menudo intenta establecer comunicación de comandos y controles con un servidor externo. Firewalls configurado con filtro de egress puede detectar y bloquear estas conexiones de salida. Políticas que restringen el tráfico de salida a servicios aprobados y rangos IP hacen difícil para los atacantes mantener la persistencia. Si un empleado instala sin saberlo software de acceso remoto después de una llamada de apagado, el firewall puede

La analítica conductual sobre el tráfico fuera de fronteras también puede identificar dispositivos comprometidos.Una estación de trabajo que de repente comienza a comunicarse con un servidor en un país donde la organización no tiene actividad empresarial, o que genera tráfico a horas inusuales, puede indicar un ataque de ingeniería social exitoso. Los cortafuegos que se integran con los sistemas de información de seguridad y gestión de eventos (SIEM) pueden desencadenar respuestas automatizadas, como la aislamiento del dispositivo de la red.

Control de la aplicación y aplicación de políticas

Los cortafuegos con visibilidad de la aplicación pueden hacer cumplir políticas que reducen la superficie de ataque para la ingeniería social. Por ejemplo, una organización podría bloquear el acceso a los sitios personales de correo web, almacenamiento en la nube o redes sociales de dispositivos corporativos. Esto limita los canales a través de los cuales los atacantes pueden entregar mensajes de ingeniería social. Asimismo, bloquear el uso de protocolos de escritorio remotos y aplicaciones de intercambio de archivos reduce el riesgo de los atacantes usando credenciales comprometidas para moverse lateralmente.

El control de aplicaciones también ayuda a prevenir la exfiltración de datos después de un exitoso ataque de ingeniería social. Si un atacante convence a un usuario a subir archivos sensibles a un servicio en la nube, el firewall puede detectar la carga basada en firmas de aplicaciones y aplicar políticas de prevención de la pérdida de datos. Algunos firewall pueden incluso reconstruir archivos transferidos sobre HTTP o FTP para la inspección, agregando otra capa de defensa.

Limitaciones Cada Organización debe reconocer

Los cortafuegos no pueden detener cada ataque de phishing o ingeniería social. Relying exclusivamente en tecnología de cortafuegos crea lagunas peligrosas. Entendiendo estas limitaciones es fundamental para construir una defensa completa.

Los ataques que ocurren completamente fuera de la red corporativa, como mensajes de phishing enviados a cuentas personales de correo electrónico que los empleados acceden desde sus teléfonos, pueden nunca atravesar el firewall corporativo. De igual manera, los ataques de virshing y smishing ocurren sobre canales de voz y SMS que los firewalls no monitorean. Las organizaciones deben aceptar que una parte de los ataques de ingeniería social no serán visibles para las herramientas de seguridad de red.

Tráfico cifrado sin inspección

Si una organización no implementa la inspección TLS, el tráfico cifrado pasa por el firewall sin ser examinado. Los atacantes saben esto y host páginas de phishing en los sitios HTTPS para evadir la detección. Incluso con la inspección TLS, algunos tráfico pueden ser exentos por razones de privacidad o rendimiento. Los atacantes pueden explotar estas exenciones apuntando a sitios que son generalmente blancos, tales como aplicaciones SaaS populares o redes de entrega de contenido.

Sitios de phishing de Zero-Day

El filtrado basado en la reputación y la detección de firmas dependen del conocimiento previo de la infraestructura maliciosa. Un dominio recién registrado utilizado exclusivamente para una campaña de phishing dirigida aún no puede aparecer en ningún alimento de inteligencia de amenaza. Las primeras horas de una campaña de phishing son a menudo las más peligrosas porque los defensores no tienen datos previos para bloquear el sitio. Firewalls que incorporan el aprendizaje automático y el análisis en tiempo real puede reducir esta brecha pero no puede eliminarla por completo.

Amenazas internas y Credenciales Compromisos

Firewall no puede evitar que un usuario autorizado proporcione voluntariamente credenciales a un atacante. Si un empleado responde a un correo electrónico de phishing e introduce su nombre de usuario y contraseña en una página falsa, el firewall no tiene base para bloquear esa acción. El tráfico parece legítimo porque el usuario es autenticado. Después que el atacante obtiene las credenciales, pueden iniciar sesión desde una ubicación diferente, y el firewall puede no tener una política para bloquear ese acceso si las credenciales de análisis auténticos.

Visibilidad limitada en la Intención de Usuario

Firewalls inspecciona el tráfico, no la intención humana. Un usuario que visita un sitio de phishing porque fueron engañados genera el mismo tráfico de red que un usuario que visita el sitio accidentalmente. El firewall puede bloquear el sitio basado en la reputación o el contenido, pero no puede marcar al usuario como una posible víctima que requiere formación o intervención inmediata. Integrar alertas de firewall con plataformas de seguridad puede ayudar a cerrar este bucle de comentarios, pero la mayoría de organizaciones no tienen esta integración en lugar.

Construcción de una estrategia de defensa a capas alrededor de cortafuegos

Dada la capacidad y las limitaciones descritas anteriormente, los cortafuegos deben ser un componente de una estrategia más amplia de lucha contra el fraude y de ingeniería antisocial. Las defensas más eficaces combinan controles técnicos con la educación de los usuarios y los procesos operativos.

Capacitación en sensibilización de seguridad como complemento

Los usuarios siguen siendo el elemento más específico de los ataques de ingeniería social. La formación regular que enseña a los empleados a reconocer correos electrónicos de phishing, llamadas telefónicas sospechosas y tácticas de ingeniería social reduce la probabilidad de que los ataques tengan éxito. Campañas simuladas de phishing, donde la organización envía correos electrónicos benignos para probar respuestas de los empleados, proporcionar datos mensurables sobre el riesgo de usuario.

El programa SANS Security Awareness ofrece recursos para la construcción de un plan de estudios de formación que aborda las tácticas específicas utilizadas en los ataques modernos de ingeniería social. Combinar esta formación con bloqueo basado en firewall asegura que incluso los usuarios educados tengan una red de seguridad si cometen un error.

Detección de puntos finales e integración de respuestas

Las herramientas de detección y respuesta de puntos finales proporcionan visibilidad en actividades que no pueden ver los cortafuegos. Cuando un usuario ejecuta un accesorio malicioso o sigue un enlace de phishing, el agente EDR puede detectar el comportamiento de proceso resultante, los cambios de archivo y las conexiones de red. Integrar alertas EDR con políticas de cortafuegos permite la contención automatizada. Por ejemplo, si una herramienta EDR detecta el comportamiento de ransomware en una estación, puede instruir el servidor para bloquear todo el dispositivo.

Muchos cortafuegos de nueva generación ofrecen ahora API que permiten la orquestación de herramientas para actualizar dinámicamente las políticas de cortafuegos basadas en los hallazgos de EDR. Esta integración cierra la brecha entre la detección de punta final y la aplicación de red, creando una defensa más coordinada contra ataques de phishing e ingeniería social.

Correo electrónico Seguridad Gateways Antes del cortafuegos

El correo electrónico sigue siendo el canal de entrega principal para ataques de phishing. Deploying un portal de seguridad de email que escanea mensajes entrantes para enlaces maliciosos, apegos y dominios espontáneos reduce el número de intentos de phishing que llegan a los usuarios en primer lugar. Estas gateways usan sandboxing, machine learning, y amenaza inteligencia para detectar amenazas previamente desconocidas.

Sin embargo, las puertas de seguridad del email no son perfectas. Algunos correos electrónicos de phishing los pasan, especialmente los que usan cuentas legítimas comprometidas o que usan ingeniería social para engañar a los usuarios a tomar acción fuera del email, como visitar un sitio web directamente. Firewalls proporciona una segunda capa de defensa para los usuarios que encuentran enlaces de phishing a través de otros canales, incluyendo SMS, redes sociales o resultados del Search Engine.

Autenticación multifactor como un control crítico

La autenticación multifactorial (MFA) es una de las defensas más efectivas contra el robo credencial resultante de la phishing. Incluso si un usuario introduce su contraseña en una página falsa, el atacante no puede iniciar sesión sin el segundo factor. Firewalls por sí solo no puede hacer cumplir MFA, pero pueden ayudar detectando intentos de inicio de sesión anómalos y desencadenando desafíos MFA.

El NIST Cybersecurity Framework] recomienda implementar el MFA como un control fundamental para proteger contra el compromiso credencial relacionado con el phishing. Organizaciones que combinan el MFA con el filtrado de tráfico basado en firewall y la seguridad del email reducen significativamente su exposición al riesgo.

Las organizaciones que buscan mejorar sus configuraciones de cortafuegos específicamente para la defensa de la phishing y la ingeniería social deben considerar las siguientes acciones.

Implementar filtración de égreso estricto

Muchas organizaciones se centran exclusivamente en filtrar y descuidar el tráfico de tráfico desbordado. Los atacantes dependen de la capacidad de establecer conexiones desbordadas de dispositivos comprometidos. Implementar un filtrado de égreso estricto que permita sólo el tráfico desbordado necesario para los destinos aprobados limita la capacidad del atacante de comunicarse con servidores de comandos y control o datos de exfiltración.

Inspección SSL de Habilitación y Tune

Sin inspección TLS, el tráfico cifrado pasa por el firewall sin ser examinado. Permite la inspección SSL para todo el tráfico fuera de límites, con cuidadosa consideración de categorías exentas. Revisa regularmente la lista exenta para asegurarse de que no crea vacíos que los atacantes pueden explotar. Utilice certificado de registro y verificación de revocación para mantener la confianza en el proceso de inspección.

Leverage Threat Intelligence Feeds

Firewalls que soporta la integración con los alimentadores de inteligencia de amenazas externas proporciona una mejor protección contra la infraestructura emergente de phishing. Suscríbete a los alimentarios que se especializan en datos de dominios de phishing, como los del Grupo de Trabajo Anti-Phishing (APWG). Configure el firewall para bloquear dominios y direcciones de IP de estos alimentados con una puntuación de alta gravedad.

Monitor y responder a las alertas en tiempo real

Las alertas de cortafuegos son útiles sólo si alguien actúa sobre ellos. Establezca un proceso para revisar los registros de cortafuegos y las alertas relacionadas con indicadores de phishing, tales como conexiones a dominios recién registrados o intentos repetidos de llegar a sitios maliciosos conocidos. Integrar el cortafuegos con un SIEM o plataforma de orquestación de seguridad para automatizar las respuestas cuando sea posible.

Realizar auditorías periódicas de la política de cortafuegos

Las políticas de cortafuegos pueden quedar obsoletas a medida que las organizaciones cambian su infraestructura, añaden nuevas aplicaciones o jubilan servicios antiguos. Realizar auditorías trimestrales de reglas de cortafuegos para eliminar entradas obsoletas y reforzar los controles de acceso. Reglas excesivamente permisivas, como permitir todo tráfico fuera de fronteras o permitir que cualquier fuente llegue a cualquier destino, socavar la capacidad del cortafuegos para bloquear los ataques de ingeniería social.

Conclusión

Los cortafuegos son un componente crítico en la defensa contra ataques de phishing y ingeniería social, pero deben ser implementados de forma pensada e integrada en un marco de seguridad más amplio. Al bloquear dominios maliciosos, inspeccionar el tráfico cifrado, y aplicar políticas que limiten la superficie de ataque, los cortafuegos pueden evitar que muchos ataques tengan éxito y pueden limitar el daño cuando los usuarios cometen errores.