Un Año Después de WannaCry: Lo que las Pequeñas Empresas Aún No Han Corregido

El 12 de mayo de 2017, el ataque de ransomware WannaCry comenzó a propagarse por todo el mundo a una velocidad que sorprendió incluso a los profesionales de seguridad más experimentados. En 24 horas, más de 230,000 sistemas Windows en 150 países fueron cifrados. El Servicio Nacional de Salud del Reino Unido quedó de rodillas. FedEx, Telefónica, Renault y miles de pequeñas empresas en todo el mundo quedaron paralizadas. El daño económico total se estima entre $4 mil millones y $8 mil millones. Un año después, la vulnerabilidad que hizo todo esto posible el MS17-010 de Microsoft, parcheado en marzo de 2017 59 días antes de que WannaCry comenzara a propagarse sigue sin parchearse en millones de computadoras en todo el mundo. Muchas de ellas están en pequeñas empresas.

Qué Fue Realmente WannaCry y Por Qué Se Propagó Tan Rápido

WannaCry fue un híbrido de gusano y ransomware. El ransomware tradicional requería que una víctima hiciera clic en un enlace o abriera un archivo adjunto malicioso. WannaCry no. Una vez que entraba en una red, usaba un exploit de la NSA filtrado llamado EternalBlue para infectar automáticamente cada máquina Windows vulnerable en la misma red sin necesidad de clics. Una sola laptop sin parchear conectada a una red corporativa podía infectar cada computadora del edificio en cuestión de minutos.

Por Qué las Pequeñas Empresas Fueron Desproporcionadamente Afectadas

• Sin gestión centralizada de parches: Muchas PYMEs dependen de que los empleados individuales acepten las indicaciones de Windows Update y la mayoría las descartan indefinidamente.
• Versiones heredadas de Windows: Muchos sistemas afectados ejecutaban Windows XP o Windows 7, ya sea por restricciones presupuestarias o dependencias de software heredado.
• Sin segmentación de red: Cuando WannaCry entró en una red PYME plana, no había barreras internas llegó a cada dispositivo.
• Sin plan de respuesta a incidentes: La mayoría de las PYMEs no sabían qué hacer en la primera hora de un ataque.

El Problema de la Gestión de Parches es Estructural, No Conductual

Después de WannaCry, todos recomendaron una mejor gestión de parches. Un año después, los escaneos a nivel de internet encuentran consistentemente millones de sistemas que aún exponen la vulnerabilidad MS17-010. El problema no se resolvió porque para la mayoría de las pequeñas empresas, la gestión de parches no es un proceso. No hay nadie cuyo trabajo sea verificar que cada dispositivo recibió cada parche crítico dentro de 48 horas. No hay una consola central que muestre qué está actualizado y qué está rezagado. Sin esa infraestructura, decirle a una pequeña empresa que "mantenga sus sistemas parcheados" no tiene sentido.

Cómo Se Ve Realmente la Gestión Centralizada de Parches

• Una herramienta de Monitoreo y Gestión Remota (RMM) que inventaría cada dispositivo y rastrea el estado de los parches en tiempo real
• Implementación automatizada de parches críticos dentro de 24–48 horas de su lanzamiento
• Informes mensuales de cumplimiento de parches que muestran qué dispositivos están actualizados y marcan los que no lograron actualizarse
• Un proceso definido para dispositivos que pierden parches solución de problemas remota o intervención en el sitio dentro de un SLA definido
• Vías de parcheo separadas para servidores versus estaciones de trabajo

Las Tres Lecciones que WannaCry Obligó a Reaprender a los Profesionales de IT

1. 1La velocidad de parcheo es una métrica de seguridad: La brecha entre el lanzamiento del parche y su implementación es una ventana de vulnerabilidad. WannaCry tuvo una ventana de 59 días. Las empresas que parchearon en la primera semana estaban seguras.
2. 2La segmentación de red no es solo para empresas grandes: En cada caso de WannaCry donde el daño fue limitado, las organizaciones tenían alguna forma de segmentación de red. Las redes planas convierten un solo dispositivo infectado en un desastre para toda la empresa.
3. 3Los respaldos offline no son negociables: WannaCry cifró todo lo que pudo alcanzar, incluido el almacenamiento conectado a la red. Solo los respaldos en la nube con historial de versiones o los medios físicamente desconectados sobrevivieron intactos.

Qué Hacer Ahora Mismo Si Aún No Lo Has Hecho

• Verifica que MS17-010 esté parcheado en cada dispositivo Windows de tu organización
• Revisa si quedan máquinas con Windows XP o Vista estas no recibieron parche oficial y deben aislarse o retirarse
• Confirma que SMB versión 1 (SMBv1) esté deshabilitado WannaCry requiere SMBv1 para propagarse
• Prueba tu restauración de respaldo no asumas que tu respaldo funciona hasta que realmente hayas restaurado desde él
• Si no tienes gestión centralizada de parches, es hora de hablar con un proveedor de IT administrado