El 31 de mayo de 2023, Progress Software reveló
una vulnerabilidad que permite a actores no autenticados acceder a su base de datos MOVEit® Transfer y ejecutar sentencias SQL para alterar o eliminar información. MOVEit Transfer es un software de transferencia de archivos gestionado que forma parte de la plataforma en la nube MOVEit de Progress utilizada para consolidar todas las actividades de transferencia de archivos en un solo sistema.
Desde su revelación, la banda de ciberdelincuentes Clop ha explotado la vulnerabilidad y la ha utilizado para atacar a un amplio número de organizaciones de múltiples sectores y geografías, entre ellas el proveedor de software de recursos humanos Zellis, la BBC, el gobierno de Nueva Escocia y muchas otras. Aunque Progress Software ha parcheado la vulnerabilidad, Clop sigue revelando nuevas víctimas.
Al igual que con los ataques a SolarWinds, Kaseya, LastPass y Accellion
es fundamental que los profesionales de la gestión de riesgos de terceros sepan cuáles de sus proveedores podrían estar expuestos a la vulnerabilidad MOVEit para reducir la probabilidad y gravedad de un ataque a sus propias infraestructuras de TI o la exposición de sus datos.
En esta publicación, recomendamos ocho preguntas que debe hacer a sus proveedores externos para determinar su uso de MOVEit y comprender su respuesta a cualquier incidente de seguridad relacionado. También compartimos tres mejores prácticas para automatizar mejor la respuesta a incidentes de terceros de su organización.
| Preguntas | Posibles respuestas |
|---|---|
| 1) ¿Utiliza la organización el software de transferencia de archivos gestionado MOVEit Transfer o MOVEit Cloud? | Seleccione una de las siguientes opciones:
a) Sí, la organización hace uso de la solución MOVEit Transfer o Cloud. b) No, la organización no hace uso de la solución MOVEit Transfer o Cloud. |
| 2) ¿Se ha visto afectada la organización por la vulnerabilidad de inyección SQL de MOVEit?
Texto de ayuda: Impacto significativo: La vulnerabilidad ha causado una pérdida de confidencialidad o integridad de los datos. Impacto alto: Se ha perdido periódicamente la disponibilidad del sistema, y alguna pérdida de confidencialidad o integridad de los datos. Bajo impacto: Sin pérdida de confidencialidad o integridad de los datos; interrupción mínima o nula de la disponibilidad del sistema. |
Seleccione una de las siguientes opciones:
a) Se ha producido un impacto significativo en nuestros sistemas, aplicaciones o información críticos. b) Existe un alto nivel de impacto en nuestros sistemas, aplicaciones o información críticos. c) Ha habido un bajo nivel de impacto en nuestros sistemas, aplicaciones o información críticos. d) El ciberataque no ha tenido ningún impacto en nuestros sistemas, aplicaciones o información críticos. |
| 3) Cuando se utiliza MOVEit Transfer, ¿ha tomado la organización las medidas recomendadas por el proveedor de la solución (Progress Software) para solucionar la vulnerabilidad?
Texto de ayuda: Las organizaciones deben modificar las reglas del cortafuegos para denegar el tráfico HTTP y HTTPs a MOVEit Transfer en los puertos 80 y 443 antes de aplicar los últimos parches. A continuación se muestra unalista de Indicadores de Compromiso y los pasos recomendados. |
Por favor, seleccione todo lo que corresponda.
a) Hemos deshabilitado todo el tráfico HTTP y HTTPs al entorno MOVEit Transfer. b) Hemos tomado medidas para revisar, eliminar y restablecer las credenciales de las cuentas de servicio. c) Hemos aplicado los últimos parches, directamente desde la página web de PROGRESS, y relevantes para nuestra versión de MOVEit Transfer. d) Hemos llevado a cabo una supervisión continua de la red, los puntos finales y los registros en busca de Indicadores de Compromiso (IoC). |
| 4) Cuando se utiliza MOVEit Cloud, ¿ha tomado la organización las medidas recomendadas por el proveedor de la solución (Progress Software) para solucionar la vulnerabilidad? | Por favor, seleccione todo lo que corresponda.
a) Hemos revisado nuestros registros de auditoría en busca de indicios de descargas de archivos inesperadas o inusuales. b) Hemos revisado las direcciones IP que figuran en el archivo CVE. |
| 5) ¿Afecta el compromiso a los servicios críticos prestados a nuestra organización? | Seleccione una de las siguientes opciones:
a) Sí. b) No. |
| 6) ¿Quién está designado como punto de contacto que puede responder a consultas adicionales? | Indique el contacto clave para la gestión de incidentes de información y ciberseguridad.
Nombre: Título: Correo electrónico: Teléfono: |
| 7) ¿Ha aplicado la organización las medidas de corrección y aplicación de parches mencionadas anteriormente y recomendadas por Progress Software?
Texto de ayuda: Se ha detectado una nueva vulnerabilidad en la aplicación web MOVEit Transfer que podría permitir a un atacante no autenticado obtener acceso no autorizado a la base de datos de MOVEit Transfer. El proveedor de la solución (Progress Software) ha recomendado a todas las organizaciones afectadas que actualicen a los últimos parches, que se publicaron el 9 de junio. |
Seleccione una de las siguientes opciones:
a) Sí, hemos aplicado la corrección publicada para las vulnerabilidades de mayo de 2023. b) No, actualmente no hemos aplicado la corrección publicada para las vulnerabilidades de mayo de 2023. |
| 8) Siguiendo las directrices de Progress Software, ¿ha aplicado la organización los parches?
Texto de ayuda: La aplicación del parche del 9 de Junio puede completarse en diferentes rutas de instalación (DLL vs. instalador completo). Este [MOVEit Transfer Knowledge Base Article](https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-CVE-Pending-Reserve-Status-June-9-2023) establece los pasos y versiones que requieren actualizaciones. |
Seleccione una de las siguientes opciones:
a) Hemos aplicado los últimos parches, directamente desde la web de Progress Software, y relevantes para nuestra versión de MOVEit Transfer. b) Actualmente no hemos aplicado los parches recomendados por Progress Software. |
3 mejores prácticas para mitigar los riesgos de MOVEit y otras violaciones de terceros
Aunque no es posible eliminar todos los riesgos de todas las relaciones con proveedores, su programa de gestión de riesgos de terceros puede ofrecer la visibilidad y automatización necesarias para encontrar y mitigar de forma proactiva los riesgos que pueden perturbar su negocio. Comience con estos tres pasos:
1. Identificar a los proveedores que podrían estar utilizando la tecnología afectada.
Para saber qué proveedores utilizan una tecnología impactada es necesario conocer quiénes son sus proveedores, lo que implica crear un inventario centralizado de proveedores. No puede conseguirlo utilizando hojas de cálculo o delegando la gestión de proveedores en equipos de línea de negocio. Tiene que hacerse de forma centralizada en un sistema accesible para todos los implicados en sus iniciativas de gestión de proveedores. Su sistema central de registro debe permitir la importación de datos de perfiles de proveedores desde cualquier hoja de cálculo existente o a través de una conexión API a su solución de aprovisionamiento actual.
Una vez que haya centralizado todos sus proveedores, utilice cuestionarios de proveedores apoyados por capacidades de exploración pasiva para ayudarle a identificar las relaciones tecnológicas de cuarta parte. En este caso concreto, este ejercicio revelaría qué proveedores utilizan MOVEit. La recopilación de información sobre tecnologías de terceros desplegadas en su ecosistema de proveedores ayuda a identificar las organizaciones que utilizan la tecnología afectada, para que pueda priorizar cuáles de sus proveedores requieren evaluaciones adicionales.
2. Emitir evaluaciones de riesgo específicas para cada acontecimiento
Una vez que haya identificado a los proveedores con la tecnología afectada desplegada en sus entornos, contrátelos con evaluaciones sencillas y específicas que se ajusten a las normas y mejores prácticas de seguridad conocidas, como NIST 800-161
e ISO 27036. Los resultados de estas evaluaciones le ayudarán a orientar las medidas correctoras necesarias para subsanar las posibles deficiencias de seguridad. Las buenas soluciones de evaluación proporcionarán recomendaciones integradas para acelerar la corrección y cerrar rápidamente esas brechas.
Comience su evaluación específica del evento basándose en las ocho preguntas de la sección anterior, ponderando las respuestas en función de la tolerancia al riesgo de su organización. Tenga en cuenta que se trata de preguntas básicas destinadas a obtener información inicial. Su organización puede optar por formular preguntas diferentes o adicionales.
3. Seguimiento continuo de los proveedores afectados
Es importante estar continuamente alerta; no sólo de los riesgos derivados del ataque MOVEit, sino también de los que se deriven del próximo ataque. Empieza por vigilar Internet y la web oscura utilizando la cibervigilancia continua para descubrir listados de credenciales robadas a la venta y otras señales de un incidente de seguridad inminente.
Sus esfuerzos de monitorización deben cubrir foros criminales, páginas cebolla, foros de acceso especial de la web oscura, feeds de amenazas, sitios de pegado de credenciales filtradas, comunidades de seguridad, repositorios de código y bases de datos de vulnerabilidades y hackeos/brechas, y noticias negativas.
Puede supervisar múltiples fuentes individuales, o puede utilizar una solución que unifique la información procedente de varias fuentes, centralice todos los datos sobre riesgos y los haga visibles para las principales partes interesadas. Este último enfoque le permite correlacionar los resultados de la supervisión continua con las respuestas de la evaluación de riesgos para validar si los proveedores disponen de controles o no.
Próximos pasos: Active su programa de respuesta a incidentes de terceros
Si se produjera un incidente de ciberseguridad en su ecosistema de proveedores, ¿sería capaz de comprender rápidamente sus implicaciones y activar un plan de respuesta a incidentes? El tiempo es esencial en la respuesta a incidentes, por lo que ser más proactivo con un plan de respuesta a incid entes definido acortará el tiempo para descubrir y mitigar los posibles problemas de los proveedores. Un plan programático de respuesta a incidentes de terceros debe incluir:
- Una base de datos centralizada de proveedores y tecnologías en las que se basan.
- Evaluaciones preconstruidas de la resistencia, continuidad y seguridad de la empresa para calibrar la probabilidad y el impacto de un incidente.
- Puntuación y ponderación para ayudar a centrarse en los riesgos más importantes.
- Recomendaciones integradas para corregir posibles vulnerabilidades
- Informes específicos para responder a las inevitables peticiones de los consejos de administración
Para obtener más información sobre cómo Prevalent puede ayudar a su organización a acelerar el descubrimiento y la mitigación de los riesgos de terceros, solicite una demostración hoy mismo.
Nota del editor: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido ha sido actualizado desde entonces para incluir información alineada con nuestra oferta de productos, cambios regulatorios y cumplimiento.
