Según publicó la compañía en su propio blog, parece que el hackeo de 130 cuentas de Twitter realizado la semana pasada sobre cuentas de personalidades prominentes, incluidos Bill Gates, Joe Biden, Barak Obama, Jeff Bezos y Elon Musk entre otros, fue posible gracias a que se obtuvieron privilegios administrativos.
Siempre recomendamos que las organizaciones dispongan de una metodología sólida y robusta para proteger cuentas con privilegios de administración. Twitter utiliza la autenticación de dos factores para proteger las cuentas con privilegios, e incluso es probable que ya dispongan de una solución PAM (Privileged Access Management). De hecho, la propia compañía afirma que se utilizó ingeniería social en el ataque. El problema es que las cuentas administrativas no son inmunes a los ciberataques. De modo que, si una persona no autorizada puede acceder a una cuenta privilegiada, incluso con 2FA y un PAM, puede acceder a todo y hacer lo que quiera.
La solución es prescindir del acceso con cuentas privilegiadas. Puede sonar muy radical, pero Stealthbits ha hecho exactamente eso. Su solución PAM se llama Stealthbits Privileged Activity Manager (SbPAM). Se centran en el privilegio de la actividad en lugar del privilegio de la cuenta, un enfoque completamente distinto. SbPAM genera automáticamente tokens de actividad para aprovisionar y desaprovisionar dinámicamente, “just-in-time”, los permisos necesarios para llevar a cabo la actividad privilegiada solicitada. Al eliminar las cuentas privilegiadas y los “privilegios permanentes” asignados a cualquier recurso, la superficie de ataque se reduce drásticamente cuando las cuentas no necesitan privilegios, y elimina la sobrecarga por mantenimiento de complejos grupos de control de acceso. Las soluciones PAM tradicionales proporcionan cierto nivel de privilegios limitados en función de los roles, pero de esa forma las cuentas privilegiadas todavía existen y, por lo tanto, son susceptibles a ser víctimas de ciberataques.
Con Stealthbits, los diferentes administradores pueden realizar tareas específicas en función de su rol y la tipología de la tarea que estén llevando a cabo, ni más ni menos. Además, las sesiones son grabadas, por lo que se pueden realizar auditorías y análisis forenses.
