¿Pueden los atacantes ocultar su mando y control en servicios en la nube de confianza?

Sí, y lo hacen, porque el tráfico hacia un servicio en la nube conocido rara vez se bloquea o se cuestiona. El malware puede recoger instrucciones de un fichero en una cuenta pública de almacenamiento en la nube, un documento compartido, un sitio de alojamiento de código, la interfaz de bots de una app de mensajería o una red de distribución de contenidos, y devolver los datos robados por el mismo camino. Para un cortafuegos que juzga los destinos por su reputación, parece un empleado normal usando un servicio popular. Lo que aún lo delata es el comportamiento. Un programa que consulta un fichero en la nube a intervalos regulares, día y noche, desde un equipo cuyo usuario no está trabajando, tiene un ritmo que las personas no tienen; las subidas pueden ser inusualmente grandes para ese equipo; y la huella del cliente en el handshake TLSTLS: Transport Layer Security. El cifrado que protege la mayor parte del tráfico de internet, como HTTPS. puede no coincidir con un navegador ni con la app oficial del servicio. Pasos prácticos: permita solo los servicios en la nube que usa el negocio, por inquilino (tenant) cuando sus herramientas lo permitan, e investigue los equipos que hablan con cuentas personales de servicios populares. NetSenX detecta beaconing y volumen saliente inusual en todos los planes, sea cual sea el destino, y huellas TLS desde el plan Starter allí donde el agente captura paquetes.

← Las 25 preguntas sobre Seguridad en la nube y SaaSTodos los temas