El Departamento de Defensa de EEUU recién comienza a entender la escala de su vulnerabilidad

• Una inspección de rutina detectó que casi todos los sistemas de defensa son vulnerables a ciberataques
• En muchos casos los sistemas podían ser menos vulnerables con ciber higiene básica como contraseñas más fuertes o comunicaciones encriptadas
• Hay una carencia importante de profesionales en el sector para atender la creciente demanda de ciber guerreros

De acuerdo con un nuevo reporte de la Oficina de Responsabilidad del Gobierno de los EEUU (U.S. GAO por sus siglas en inglés ‘United States Government Accountability Office’), «casi todos» los sistemas de armas que fueron desarrollados por el ejército estadounidense desde el 2012 hasta el 2017 son vulnerables a los ataques cibernéticos.

En pruebas recientes de ciberseguridad de los principales sistemas de armas que está desarrollando el Departamento de Defensa de los EEUU (DOD), los evaluadores, desempeñando el papel del adversario pudieron tomar el control de los sistemas con relativa facilidad y operar en gran medida sin ser detectados.

«En un caso, a un equipo de prueba de dos personas le llevó solo una hora obtener acceso inicial a un sistema de armas y un día para obtener el control total del sistema que estaban probando«, indica el informe.

En algunos casos, los «sistemas de armas utilizaban software comercial o de código abierto, pero no cambiaron la contraseña predeterminada cuando se instaló el software, lo que permitió a los equipos de prueba buscar la contraseña en Internet y obtener privilegios de administrador«.

Más conectados (e inseguros) que nunca

El arsenal del DOD está más computarizado e inter conectado que nunca, por lo que no es sorprendente que haya más oportunidades de ataques. Sin embargo, hasta hace relativamente poco, el Departamento de Defensa no hacía de la seguridad cibernética de las armas una prioridad. En los últimos años, el DOD ha tomado algunas medidas para mejorar esta situación, entre las que cabe mencionar el actualizar sus políticas y aumentar las simulaciones de guerra cibernética.

En las pruebas operativas, el DOD rutinariamente encontró vulnerabilidades cibernéticas de misión crítica en los sistemas que estaban en desarrollo. Los funcionarios del programa que se reunieron con la GAO creyeron que sus sistemas eran seguros y descartaron algunos resultados de las pruebas como poco realistas.

Utilizando herramientas y técnicas relativamente simples, los evaluadores pudieron tomar el control de los sistemas y operar en gran medida sin ser detectados, debido en parte a problemas básicos como la mala gestión de las contraseñas y las comunicaciones sin cifrar.

Además, las vulnerabilidades de las que DOD está consciente probablemente representan una fracción de las vulnerabilidades totales debido a las limitaciones de las pruebas. Por ejemplo, no todos los programas han sido probados y las pruebas no reflejan la gama completa de amenazas.

El DOD ha tomado recientemente varios pasos para mejorar la ciberseguridad de los sistemas de armas, incluida la publicación y revisión de políticas y orientación para incorporar mejor las consideraciones de ciberseguridad.

El DOD, según órdenes del Congreso, también ha comenzado iniciativas para comprender mejor y abordar las vulnerabilidades cibernéticas. Sin embargo, el DOD enfrenta barreras que podrían limitar la efectividad de estos pasos, como los desafíos de la fuerza laboral de ciberseguridad y las dificultades para compartir información y lecciones sobre vulnerabilidades.

Para abordar estos desafíos y mejorar el estado de la ciberseguridad de los sistemas de armas, es esencial que el DOD mantenga su impulso en el desarrollo e implementación de iniciativas clave. GAO planea continuar evaluando aspectos clave de los esfuerzos de ciberseguridad de los sistemas de armas del DOD.

¿Porqué se hizo este estudio?

EEUU planea gastar alrededor de $1.66 billones de dólares (equivalente al PIB de Canadá) para mejorar sus principales sistemas de armas. Los adversarios potenciales han desarrollado capacidades avanzadas de ciberespionaje y ciberataque dirigidas a los sistemas de defensa de los EEUU. La ciberseguridad, el proceso de protección de la información y los sistemas de información, puede reducir la probabilidad de que los atacantes puedan acceder a nuestros sistemas y limitar el daño si lo hacen.

Se le pidió a la GAO que revisara el estado de la ciberseguridad de los sistemas de armas del DOD. Dicho informe abordó (1) los factores que contribuyen al estado actual de la ciberseguridad de los sistemas de armas del DOD, (2) las vulnerabilidades en las armas que están en desarrollo, y (3) los pasos que el DOD está tomando para desarrollar sistemas de armas más cibernéticos.