Nuevos enfoques para la protección contra el ransomware

Lo que está claro es que los enfoques de seguridad tradicionales basados en el uso de software antivirus o escáneres de malware son insuficientes para la defensa contra el ransomware.

Estas soluciones intentan detectar los ataques mediante firmas. Si se detecta un programa malicioso, el software de protección lo bloquea e impide así el acceso a los recursos del sistema.

Es precisamente en este punto donde se pone de manifiesto la grave desventaja de estas soluciones: Al depender de la detección de malware, a menudo no pueden ofrecer una seguridad fiable contra el creciente número de nuevos ransomware desconocidos hasta ahora.

Las empresas deben tomar medidas adicionales, como la creación de listas negras de aplicaciones, listas blancas de aplicaciones, listas grises de aplicaciones y control de privilegios mínimos.

Las listas negras permiten a las empresas impedir que el malware se ejecute en su entorno. Este método apenas es útil para la protección contra el ransomware.

Por su propia naturaleza, las listas blancas de aplicaciones son 100% eficaces en la lucha contra el ransomware, ya que este proceso bloquea todas las aplicaciones que no son explícitamente de confianza.

Aunque los ataques de ransomware pueden prevenirse de forma extremadamente eficaz con esta estrategia de contención, también es difícil de aplicar en la práctica.

A diferencia de la lista negra, la creación y administración de una lista blanca requiere mucho tiempo, ya que no sólo hay que tener en cuenta todas las aplicaciones en uso, sino sobre todo las actualizaciones de las mismas.

Por último, la actualización puede cambiar el valor de comprobación -como un hash- de la aplicación aprobada de tal manera que difiera de la entrada en la lista blanca y, en consecuencia, el programa ya no se inicie.

Otra opción son las listas grises de aplicaciones. Permite a las empresas impedir la ejecución de malware conocido en listas negras en sus entornos, al tiempo que limita los permisos para todas las aplicaciones que no sean explícitamente de confianza o desconocidas.

Esta clasificación puede realizarse en función de diversos parámetros que un administrador almacena de forma centralizada. El procedimiento de listas grises ofrece así más flexibilidad que el de listas blancas y puede utilizarse para impedir acciones de aplicaciones desconocidas, como establecer una conexión a Internet, acceder a la red o leer, escribir y modificar archivos.

Al limitar los permisos, en general el ransomware tampoco puede acceder a los archivos ni cifrarlos. Por último, pero no por ello menos importante, está el control de mínimos privilegios, que no sólo es una rutina de seguridad, sino también una de las "Diez leyes inmutables de la seguridad" de Microsoft.

El ransomware se presenta actualmente como un método muy fiable y adecuado para que los atacantes planteen a las empresas el dilema de dar por perdidos los datos secuestrados o -con la esperanza de recuperarlos- efectuar un pago.

Las soluciones de seguridad clásicas, como los antivirus, no son eficaces contra el ransomware, por lo que es necesario adoptar medidas de seguridad adicionales. El análisis de las distintas opciones muestra que las listas negras y blancas por sí solas tampoco son medios adecuados; el enfoque de mínimos privilegios y el control de aplicaciones, en particular, demuestran su eficacia.

Un primer paso es revocar los derechos de administrador local, ya que la investigación de CyberArk ha demostrado que un gran número de malware moderno requiere tales derechos para funcionar sin problemas.

Sin embargo, esta medida no es suficiente. Igualmente importante es el control de aplicaciones con listas grises. Con la combinación del enfoque de mínimos privilegios y el control de aplicaciones, se dispone de un escudo eficaz contra el cifrado de malware, y sin comprometer la productividad del usuario.