CISA y NSA publican pautas para proteger las VPN

Lo que su empresa debe considerar al elegir una solución VPN y protegerla contra ataques

La NSA y CISA han publicado pautas conjuntas para ayudar a las empresas a elegir su solución de red privada virtual (VPN) y protegerlas contra compromisos. Los servidores VPN vulnerables son objetivos atractivos para los actores de amenazas porque ofrecen grandes oportunidades para infiltrarse en los sistemas y redes de las víctimas.

“Varios actores nacionales en Advanced Persistent Threat (APT) han armado vulnerabilidades y amenazas comunes (CVE) para obtener acceso a dispositivos VPN vulnerables. La explotación de estos CVE puede permitir a un actor malintencionado robar credenciales, ejecutar código de forma remota, debilitar la criptografía del tráfico cifrado, secuestrar sesiones de tráfico cifrado y leer datos confidenciales del dispositivo «, dijo la NSA en su comunicado de prensa. La NSA indicó que un actor de amenazas que encuentra un punto de apoyo en un sistema o red puede seguir adelante y causar todo tipo de estragos dentro de una organización.

Bajo el título “Selección y fortalecimiento de las soluciones de VPN de acceso remoto”, la guía establece reglas y recomendaciones que las organizaciones y empresas deben seguir al seleccionar una VPN de acceso remoto que permita el acceso a sus sistemas. Esto incluye ceñirse a soluciones comprobadas que se ajustan a los estándares de la industria y que se pueden encontrar en las listas de cumplimiento de productos, así como a los servicios VPN que tienen estándares y tecnologías identificados de manera única que utilizan para establecer conexiones VPN.

Otros consejos incluyen confiar en proveedores acreditados con un historial probado de abordar rápidamente las vulnerabilidades, seguir las mejores prácticas de ciberseguridad y utilizar credenciales de autenticación sólidas.

Cuando se trata de fortalecer las VPN, la hoja de datos de NSA-CISA recomienda que las organizaciones:

• configurar criptografía y autenticación sólidas
• Realizar solo las funciones más necesarias y así ayudar a reducir la superficie de ataque
• proteger y monitorear el acceso ay desde sus conexiones VPN

Por supuesto, la hoja entra en gran detalle y contiene consejos que los expertos en ciberseguridad han repetido durante mucho tiempo, tales como:

Si bien el consejo tiene como objetivo mejorar la seguridad del Departamento de Defensa, los sistemas de seguridad nacional y la base de la industria de defensa, cualquier organización o empresa pública o gubernamental que utilice una solución VPN para acceder a sus sistemas se beneficiaría de seguir estas recomendaciones.