El Shadow IT en la huella digital corporativa: la lucha contra el Diógenes digital

El Shadow IT es uno de los problemas más olvidados en las empresas. Con el paso del tiempo y el Diógenes digital, van quedando indexados y accesibles en Internet decenas de servicios y activos que podrían exponer importante información corporativa. Servicios que, de no estar correctamente inventariados y controlados, podrían convertirse en la puerta de entrada a nuestras redes. Este problema se ve acrecentado por la alta burocracia interna y los intentos de saltarse ciertos pasos administrativos con tal de salir antes a producción (¿Os suena la foto?). Desde Zerolynx vemos muy habitualmente cómo determinados departamentos acaban contratando, por ejemplo, hostings externos, para ahorrarse tiempo a la hora de publicar un nuevo servicio que, internamente, les conllevaría pasar por una serie de flujos, auditorías y controles. Obviamente, saltarse estos procesos es una irresponsabilidad que acaba teniendo consecuencias, y para ello la concienciación es una herramienta clave, pero estas cosas acaban ocurriendo y es nuestra responsabilidad luchar contra ello.

Ante este hecho y al ver que era algo muy común en el mercado, decidimos incorporar a nuestro servicio de Huella Digital Corporativa una fase previa de reconocimiento de activos digitales, muy similar a la realizada en los servicios de intrusión por nuestros compañeros del Red Team. En dicha fase, realizamos tanto una detección automatizada de los activos como una labor de identificación manual que nos permite abarcar un plano más amplio y además realizar un primer análisis de dichos activos. 

Durante este reconocimiento de análisis de activos, identificamos cuáles de ellos son vulnerables o susceptibles de serlo. Por ejemplo, aunque podría parecer común el encontrar expuesto un enlace de un subdominio del cliente en cuyas cabeceras aparece la tecnología del servidor, así como la versión y software del servicio utilizado, esto puede suponer un riesgo. Para ilustrarlo con un caso real: hace un tiempo durante el análisis de los activos de un cliente, identificamos y le reportamos interfaz de acceso VPN con versión obsoleta. A los meses del hallazgo, nuestro cliente se puso en contacto con nosotros para que analizásemos un anuncio en Raid Forums sobre un acceso remoto a su compañía y en el cual se observaba que el origen de dicho acceso estaba relacionado con el enlace que previamente le habíamos notificado.

No debemos olvidar que una pieza importante para contribuir a la disminución de la superficie de ataque es la aplicación de medidas de higiene digital. Ante la ingente cantidad de activos digitales que presentan en la actualidad las empresas, puede suceder que no todos ellos estén bajo su control, lo cual da la oportunidad a terceros para obtener un beneficio de ellos. Desde la explotación de las vulnerabilidades, la adquisición de dominios que fueron propiedad de la compañía (una vez se han dejado de renovar) o, incluso, la utilización de estos como medio para realizar ilícitos en su nombre (aprovechando redirecciones desde un sitio aparentemente lícito a otro). Todo esto, con consecuencias como la afectación a su reputación y la provocación de otros daños indirectos, como la pérdida de confianza por parte de proveedores o clientes.

En ocasiones, medir el nivel de riesgo es complejo, pero siempre debemos atender a la magnitud de la evidencia identificada y su probabilidad de ocurrencia. Los analistas sabemos que esta segunda parte es la más complicada. Hoy en día, encontrar individuos motivados a romper los accesos y a entrar en los sistemas de nuestros clientes no es tan complicado. Por ello, pese a que en ocasiones los riesgos que identificamos puedan ser bajos, siempre es recomendable su análisis, mitigación y subsanación por lo que puedan significar el día de mañana.

¡La verdad está ahí fuera!

Noelia Baviera, Analista de Inteligencia

Shadow IT in the Corporate Digital Footprint: The Fight against Digital Diogenes Syndrome

Shadow IT is one of the most neglected problems of companies. As time goes by and as a result of digital Diogenes, dozens of services and assets that could expose important corporate information are becoming indexed and accessible on the Internet. These are services that, if not properly inventoried and controlled, could become the gateway to our networks. This problem is exacerbated by the high internal bureaucracy and attempts to skip certain administrative steps in order to go into production earlier (Does this sound familiar?). From Zerolynx we see very often how certain departments end up contracting, for example, external hosts to save time when publishing a new service that, internally, would involve them going through a series of flows, audits and controls. Obviously, skipping these processes is irresponsible and leads to consequences, so therefore awareness is a key tool. Unfortunately, these things end up happening and it is our responsibility to fight against them.

Given this fact and after verifying that it was something quite common in the market, we decided to incorporate into our Corporate Digital Footprint service a previous phase of recognition of digital assets, remarkably similar to that carried out in the intrusion services by our Red Team colleagues. In this phase, we conduct both an automated detection of the assets and a manual identification task that allows us to cover a broader plan and also carry out a first analysis of said assets. 

During this asset analysis recognition, we identify which of them are vulnerable or susceptible to being vulnerable. For example, although it might seem common to find a link from a client subdomain exposed where the server technology appears in the headers, as well as the version and software of the service used, this can pose a risk. Here is a real case that illustrates what we are talking about: some time ago during the analysis of a client's assets, we identified and reported an VPN access interface with an obsolete version. Within months of the discovery, our client contacted us to discuss an ad in Raid Forums about remote access to their company and noted that the origin of such access was related to the link we had previously notified.

We must not forget that an important key to contribute to the reduction of the attack surface is the application of digital hygiene measures. Given the huge amount of digital assets that companies currently have, not all of them may be under their control, giving the opportunity to third parties to take advantage and obtain profit. From the exploitation of the vulnerabilities, the acquisition of domains that were owned by the company (once they are not renewed) or even the use of these as a means to perform illicit acts on their behalf (taking advantage of redirects from one apparently lawful site to another). All this has consequences such as undermining their reputation and causing other indirect damages, like the loss of trust by suppliers or customers.

Sometimes measuring the level of risk is complex, but we must always take into account the magnitude of the evidence identified and its probability of occurrence. Analysts know that this second part is the most complicated. Nowadays, finding individuals motivated to break access and break into our customers' systems is not that complicated. Therefore, although sometimes the risks we identify may be low, it is always advisable to analyse, mitigate and correct them for what they may mean tomorrow.

The truth is out there!

Noelia Baviera, Intelligence Analyst