Informe de brechas de seguridad en 2010
Verizon acaba de lanzar su informe sobre Brechas de Seguridas en 2010 (PDF) con el objetivo de mostrar las violaciones más importantes y la forma de detenerlas.
Lo interesante del estudio es que el Servicio Secreto de EE.UU. ha apoyado este estudio y por lo tanto se ha aumentado el alcance del estudio y se incluyen dos apéndices sobre el comportamiento de comunidades criminales en línea y la persecución de delitos cibernéticos.
Gracias a la combinación de los casos de Verizon en 2009 y los datos que ha aportado el Servicio Secreto, los informes abarcan seis años, más de 900 brechas y más de 900 millones de registros comprometidos. Uno de los casos analizados es el de Albert Gonzalez acusado de estafas con tarjetas de crédito.
Del informe se desprende información sobre quienes están detrás de los ataques a la información de las compañías:
70% agentes externos (-9%)
48% internos (+26%)
11% implicados socios de negocios (-23%)
27% participaron múltiples partes (-12%)
Cómo ocurren estas brechas:
48% involucra privilegio indebidos (26%)
40% hacking (-24%)
38% malware (=)
28% emplea tácticas sociales (+16%)
15% compuesto por los ataques físicos (6%)
Como ya se había observado en años anteriores, casi todas las brechas procedían de servidores y aplicaciones. Esto sigue siendo una de las diferencias más marcadas entre los incidentes que simplemente ponen en peligro los datos y aquellos en los que los datos se ven comprometidos. La proporción de brechas causadas por ataques extremadamente sofisticados sigue siendo baja, pero aún así éstos son responsables de la pérdida de nueve de cada diez registros perdidos. En este sentido, hemos podido confirmar que la mayoría de las brechas podrían haberse evitado sin necesidad de controles complicados y costosos. Es obvio que todo se ve más claro a posteriori, pero la lección sigue siendo la misma: los delincuentes no tienen toda la ventaja en esta competición.
98% de todos los datos fue extraído desde los servidores de la compañía (-1%)
85% de los ataques no fueron considerados muy difíciles (2%)
Fuente: Verizon
Victor Miranda
Professional Ethical Hacker, Pentester & Forensics Investigator MPCS, CEH v8, CSSP, CICP-CICAP HTCIA Member & ISECOM Member Twitter: @victormirandamx