Credenciales de terceros y riesgo de proveedores: proteja sus aplicaciones
Sus sistemas principales no son la única fuente de daño a las credenciales expuestas. Las aplicaciones de terceros empleadas por su organización también tienen inicios de sesión privilegiados que deben protegerse. Las plataformas en la nube, el software como servicio (SaaS) y las aplicaciones locales de terceros, como los sistemas ERP, suelen tener inicios de sesión administrativos con control total. Estas cuentas permiten a las personas a cargo de sus aplicaciones realizar tareas de administración y deben mantenerse privadas para el menor número de personas posible, con políticas de contraseñas seguras aplicadas.
Cómo se pueden filtrar las credenciales de terceros
UpGuard se ha encontrado con credenciales de aplicaciones de varias formas durante la investigación, pero hay dos formas comunes en las que se exponen. En primer lugar, aunque va en contra de todas las mejores prácticas e incluso de la seguridad básica, las organizaciones a veces tienen documentos que simplemente enumeran todas sus aplicaciones junto con las credenciales en un documento de texto simple o en una hoja de cálculo. Sin cifrado, estos documentos son como una mina de oro para los atacantes. Parece obvio, pero estos documentos nunca deben crearse en primer lugar. Hay muchos métodos seguros para almacenar contraseñas, y cualquiera de ellos es mejor que un documento de bloc de notas llamado passwords.txt. No hace falta una violación de datos de una importante empresa de aplicaciones para exponer sus datos: es mucho más probable que sus propias credenciales queden expuestas y tiene las mismas consecuencias.
En segundo lugar, es común encontrar credenciales de aplicaciones de texto sin formato en código que se ha personalizado para las organizaciones. Una vez más, aunque se desvían de las mejores prácticas, que cifran y/o almacenan las credenciales en otro lugar, a menudo se dejan legibles dentro del propio código. Esto es común para fines de integración o automatización, donde varios sistemas tienen que interactuar y requieren acceso entre sí. El principio de privilegios mínimos sugiere que estas integraciones deben usar cuentas personalizadas con solo el acceso que necesitan para realizar su trabajo. Las credenciales de la aplicación administrativa no deben usarse para este propósito y son un acceso directo que podría poner en peligro por completo la aplicación y sus datos, en caso de que esas credenciales queden expuestas.
Cómo administrar de forma segura las credenciales de terceros
La mayoría de las personas que trabajan en tecnología se han encontrado con los errores elementales descritos anteriormente, desde los CTO/CISO hasta los equipos de soporte y los equipos de desarrollo.
Debe tener en cuenta los riesgos asociados con las credenciales de terceros, tanto por su parte como por parte del proveedor.
Tu equipo: Bloquea tus credenciales de terceros
Evitar el uso de "password.txt" parece ridículamente obvio, hasta que te sientas con el equipo de investigación de BreachSight de UpGuard y dejas de reírte cuando te das cuenta rápidamente de que las credenciales administrativas de texto plano se pueden descubrir fácilmente en miles de servicios expuestos orientados a Internet. Mantenga las credenciales administrativas guardadas de forma segura y solo accesibles para los administradores. Utilice credenciales con privilegios más bajos para el acceso a nivel de aplicación.
Si necesita usar credenciales de terceros mediante programación, almacénelas de forma segura en un producto diseñado para hacerlo. He tenido buenas experiencias con Vault y Secret Server.
Sus proveedores: Audite a sus proveedores externos con cuestionarios de seguridad
La mayoría de las organizaciones pueden entender cómo bloquear sus credenciales de terceros. Pero lo que a menudo se descuida es la importancia de auditar a sus proveedores externos mediante cuestionarios de seguridad (divulgación completa: ¡ayudamos a automatizar eso!).
¿Por qué? He aquí un ejemplo. Un control clave para evitar el uso malintencionado de credenciales de terceros es 2FA (autenticación de dos factores), de modo que incluso si las credenciales se ven comprometidas, existe otra capa de seguridad entre un atacante y su objetivo. Sin embargo, no tiene sentido tener una lista de verificación de seguridad de contraseñas que especifique 2FA en las credenciales administrativas si la mitad de las aplicaciones de su proveedor ni siquiera admiten 2FA en primer lugar. Si se toma en serio la evaluación, el seguimiento y la reducción del riesgo de sus proveedores externos, debe comprender completamente su postura de seguridad y hacerles responsables de sus estándares.
Este artículo forma parte de una serie. Lea más artículos de la serie en Riesgo de los proveedores: el impacto de las fugas de datos de sus proveedores externos.
Obtén más información sobre las soluciones que te ayudan con la gestión de riesgos de terceros.