Expertos en el campo de la ciberseguridad se preguntan si la disuasión cibernética podría ayudar a la ciberseguridad
- Ciber disuasión se centra en incrementar los factores para provocar que los atacantes piensen dos veces antes de atacar
- Complejidad de la ciber disuasión radica en la naturaleza anónima y accesible de los medios digitales
- Solución incluye definir normas internacionales para el ciberespacio
Los ciberataques representan muchas amenazas para una amplia gama de objetivos. Rusia, por ejemplo, fue acusada de hackear computadoras del Partido Demócrata de los EEUU, interfiriendo con las elecciones presidenciales de Estados Unidos en 2016. Luego estaba el atacante desconocido que, en un solo día de octubre del mismo año, usó miles de dispositivos conectados a internet, como grabadoras de video digitales y cámaras comprometidas con el malware Mirai, para tirar varios sitios web de alto perfil, incluido Twitter.
Entre 2005 y 2015, las agencias federales informaron un aumento del 1.300 por ciento en los incidentes de ciberseguridad. Claramente, se necesitan mejores formas de abordar esta amplia categoría de amenazas. Algunos en el campo de la ciberseguridad se preguntan si la disuasión cibernética podría ayudar.
La disuasión se centra en hacer que los adversarios potenciales piensen dos veces antes de atacar, obligándolos a considerar los costos de hacerlo, así como las consecuencias que podría tener un contraataque. Hay dos principios fundamentales de disuasión. La primera, la negación, implica convencer a los posibles atacantes de que no tendrán éxito, al menos sin un enorme esfuerzo y costo más allá de lo que están dispuestos a invertir. El segundo es el castigo: asegurarse de que los adversarios sepan que habrá una respuesta fuerte que podría infligir más daño del que están dispuestos a soportar.
Durante décadas, la disuasión ha contrarrestado efectivamente la amenaza de las armas nucleares. ¿Se podría lograr resultados similares contra las armas cibernéticas?
¿Por qué la disuasión cibernética es difícil?
La disuasión nuclear funciona porque pocos países tienen armas nucleares o los importantes recursos necesarios para invertir en ellas. Aquellos que los tienen reconocen que lanzar un primer ataque arriesga una respuesta nuclear devastadora. Además, la comunidad internacional ha establecido instituciones, como el Organismo Internacional de Energía Atómica, y acuerdos, como el Tratado sobre la No Proliferación de Armas Nucleares, para contrarrestar la amenaza catastrófica que representan las armas nucleares.
Las armas cibernéticas no se parecen en nada a las nucleares. Son fácilmente desarrolladas y desplegadas por individuos y grupos pequeños, así como también por estados. Se replican y distribuyen fácilmente a través de las redes, lo que hace imposible la esperanza de cualquier cosa que pueda llamarse «no proliferación cibernética». Las armas cibernéticas a menudo se despliegan bajo un manto de anonimato, lo que dificulta descubrir quién es realmente responsable. Y los ataques cibernéticos pueden lograr una amplia gama de efectos, la mayoría de los cuales son disruptivos y costosos, pero no catastróficos.
Esto no significa que la disuasión cibernética esté condenada al fracaso. La magnitud de los ataques cibernéticos exige que se haga una mejor defensa contra ellos.
Hay tres cosas que se pueden hacer para mejorar la disuasión cibernética: 1) mejorar la ciberseguridad, 2) emplear defensas activas y 3) establecer normas internacionales para el ciberespacio. Las dos primeras de estas medidas mejorarán significativamente las defensas cibernéticas, de modo que incluso si un ataque no es disuadido, no tendrá éxito.
1. Mejorar la ciberseguridad
La ciberseguridad ayuda a la disuasión principalmente a través del principio de negación. Detiene los ataques antes de que puedan lograr sus objetivos. Esto incluye reforzar la seguridad de inicio de sesión, cifrado de datos y comunicaciones, combatir virus y otros programas maliciosos, y mantener el software actualizado para corregir las debilidades cuando se encuentren.
Pero aún más importante es el desarrollo de productos que tengan pocas o ninguna vulnerabilidad de seguridad cuando se envíen e instalen. La botnet Mirai, capaz de generar inundaciones de datos masivas que sobrecargan los servidores de Internet, toma el control de los dispositivos que tienen vacíos de seguridad, incluidas las contraseñas predeterminadas codificadas en el firmware que los usuarios no pueden cambiar. Mientras que algunas compañías como Microsoft invierten mucho en seguridad de productos, otras, incluyendo muchos proveedores de Internet de las cosas, no lo hacen.
El gurú de la ciberseguridad Bruce Schneier caracteriza acertadamente la prevalencia de dispositivos inseguros de Internet de las cosas como una falla del mercado similar a la contaminación. En pocas palabras, el mercado favorece los dispositivos inseguros baratos sobre los que son más costosos pero más seguros. ¿La solución? Regulación, ya sea imponiendo estándares básicos de seguridad a los fabricantes, o haciéndolos responsables cuando sus productos son utilizados en ataques.
2. Emplear defensas activas
Cuando se trata de tomar medidas contra los atacantes, hay muchas formas de monitorear, identificar y contrarrestar los ataques cibernéticos del adversario. Estas defensas cibernéticas activas son similares a los sistemas de defensa aérea que monitorean el cielo en busca de aviones hostiles y derriban misiles entrantes. Los monitores de red que vigilan y bloquean («derriban») paquetes hostiles son un ejemplo, al igual que los honeypots que atraen o desvían paquetes adversos a áreas seguras. Allí, no dañan la red objetivo, e incluso pueden estudiarse para revelar las técnicas de los atacantes.
Otro conjunto de defensas activas implica recopilar, analizar y compartir información sobre posibles amenazas para que los operadores de redes puedan responder a los últimos desarrollos. Por ejemplo, los operadores pueden escanear regularmente sus sistemas en busca de dispositivos vulnerables o comprometidos por la botnet Mirai u otro malware. Si encontraran algunos, podrían desconectar los dispositivos de la red y alertar a los propietarios de los dispositivos del peligro.
La defensa cibernética activa hace más que negar oportunidades a los atacantes. A menudo puede desenmascarar a las personas detrás de ellos, lo que lleva al castigo. Los atacantes no gubernamentales pueden ser clausurados, arrestados y procesados; Los países que realizan o apoyan la guerra cibernética pueden ser sancionados por la comunidad internacional.
Actualmente, sin embargo, el sector privado es reacio a emplear muchas defensas activas debido a las incertidumbres legales. El Centro para la Seguridad Cibernética y Nacional de la Universidad George Washington recomienda varias acciones (PDF) que el gobierno y el sector privado podrían tomar para permitir un uso más generalizado de las defensas activas, incluida la aclaración de las regulaciones.
3. Establecer normas internacionales para el ciberespacio
Finalmente, las normas internacionales para el ciberespacio pueden ayudar a disuadir si los gobiernos nacionales creen que serían nombrados y avergonzados dentro de la comunidad internacional por llevar a cabo un ataque cibernético. Los Estados Unidos presentaron cargos en 2014 contra cinco hackers militares chinos por atacar a compañías estadounidenses. Un año después, los EEUU y China acordaron no robar y explotar los secretos corporativos de cada uno para obtener una ventaja comercial. A raíz de esos eventos, el espionaje cibernético de China se desplomó.
También en 2015, un grupo de expertos de la U.N. recomendó prohibir los ataques cibernéticos contra infraestructuras críticas, incluidos los equipos de respuesta a emergencias informáticas de un país. Y ese mismo año, el G20 emitió una declaración en la que se oponía al robo de propiedad intelectual en beneficio de las entidades comerciales. Estas normas podrían disuadir a los gobiernos de realizar tales ataques.
El ciberespacio nunca será inmune al ataque, no más que nuestras calles serán inmunes al crimen. Pero con una ciberseguridad más fuerte, un mayor uso de las defensas cibernéticas activas y las normas cibernéticas internacionales, podemos esperar, al menos, controlar el problema.
Referencias:
leer más
