La Agencia de Seguridad Cibernética y de Infraestructura tiene una nueva idea para defender plantas de energía, servicios de agua y otras infraestructuras críticas: dejar de intentar mantener fuera a todos los atacantes y empezar a alimentar a los que logran entrar con una dieta de datos falsos. La guía recién publicada de CISA aconseja a los operadores de infraestructura crítica desplegar señuelos cibernéticos y honeytokens, trampas digitales de bajo costo diseñadas para detectar intrusos de forma temprana y frenarlos antes de que lleguen a los sistemas reales. Es un cambio notable de tono para una agencia que ha pasado años centrada casi por completo en la aplicación de parches, la defensa perimetral y el control de acceso.

Qué recomienda realmente la guía de CISA

En esencia, la guía describe dos herramientas relacionadas. Los honeytokens son archivos, credenciales, registros de bases de datos o secretos falsos plantados dentro de una red que no cumplen ninguna función empresarial legítima. Su único trabajo es quedarse ahí pareciendo valiosos. Si alguien accede a uno o intenta usarlo, eso es una señal de alarma inmediata, porque ningún empleado o sistema autorizado debería tocarlo jamás. Los honeypots llevan el concepto más lejos, al montar sistemas señuelo completos diseñados para parecer servidores reales, estaciones de trabajo o activos de control industrial, atrayendo a los atacantes lejos del entorno real y dando a los defensores tiempo para observar sus tácticas.

CISA los presenta como opciones accesibles para organizaciones de cualquier nivel de madurez en ciberseguridad, no solo para agencias con grandes presupuestos de seguridad. Eso importa para los operadores de infraestructura crítica, muchos de los cuales operan con equipos de TI y seguridad reducidos y no pueden costear plataformas empresariales de detección de amenazas. Un honeytoken, en cambio, puede ser tan simple como una credencial falsa colocada en un recurso compartido de archivos. Cuesta poco desplegarlo, pero puede generar una alerta de alta confianza en el momento en que alguien interactúa con él.

Cómo funcionan los señuelos junto a las VPN y la segmentación de red

La tecnología de engaño no pretende reemplazar las herramientas en las que las organizaciones ya confían, como las VPN, los firewalls y la segmentación de red. Pretende llenar el vacío que esas herramientas dejan atrás. Las VPN y los controles de acceso están diseñados para mantener fuera a los usuarios no autorizados desde el principio. Pero los atacantes encuentran cada vez más formas de eludir esas defensas explotando credenciales comprometidas o vulnerabilidades en la propia infraestructura de acceso remoto. El propio aviso de CISA sobre el ransomware Gunra dirigido a VPN es un ejemplo claro: los actores de amenazas están sondeando activamente las debilidades del acceso remoto para conseguir un punto de apoyo, lo que significa que las defensas perimetrales por sí solas ya no son suficientes.

Los honeytokens y los señuelos operan bajo la premisa de que los atacantes decididos finalmente traspasarán el perímetro, ya sea mediante una credencial de VPN robada, un correo de phishing o una vulnerabilidad sin parchear. Una vez dentro, los señuelos actúan como cables trampa. Si un intruso se desplaza por una red segmentada buscando datos o sistemas valiosos, un honeytoken colocado en el lugar equivocado puede atraparlo casi de inmediato, a menudo antes de que haya causado daños significativos. Es un enfoque por capas: las VPN y la segmentación frenan a los atacantes y limitan su alcance, mientras que los señuelos hacen mucho más difícil que se muevan sin ser detectados una vez que están dentro.

Por qué los operadores de infraestructura crítica son el objetivo prioritario

La decisión de CISA de dirigir esta guía directamente a los operadores de infraestructura crítica refleja dónde son más altas las apuestas. Los sistemas de agua, los proveedores de energía y otros servicios esenciales suelen operar una combinación de redes de TI modernas y tecnología operativa más antigua que no fue diseñada pensando en la ciberseguridad. Esa combinación los convierte en objetivos atractivos y difíciles de defender solo con herramientas tradicionales. El reciente ciberataque al agua de Minnesota que afectó a más de 30 sistemas en apenas dos días ilustra la rapidez con que los ataques coordinados pueden propagarse entre proveedores de infraestructura que pueden carecer de los recursos de un gran equipo de seguridad empresarial. La tecnología de engaño ofrece a estas organizaciones una forma de competir por encima de sus posibilidades, generando alertas de alta fidelidad sin requerir monitoreo constante ni plataformas de detección costosas.

Qué significa esto para detectar el movimiento lateral tras una brecha

Uno de los problemas más difíciles en la respuesta a incidentes es determinar hasta dónde ha llegado un atacante dentro de una red después de la brecha inicial. Los atacantes que consiguen un punto de apoyo suelen pasar días o semanas moviéndose lateralmente en silencio, escalando privilegios y trazando el mapa de sistemas valiosos antes de lanzar una carga útil de ransomware o exfiltrar datos. Las herramientas de seguridad tradicionales pueden tener dificultades para distinguir este reconocimiento silencioso de la actividad normal de la red.

Los honeytokens cambian ese cálculo. Como no tienen ningún uso legítimo, cualquier interacción con uno es una señal casi garantizada de actividad maliciosa, abriéndose paso entre el ruido que normalmente entierra las señales de advertencia tempranas. Para los operadores de infraestructura crítica que intentan atrapar a los intrusos antes de que lleguen a la tecnología operativa o a los datos de los clientes, esa señal temprana puede ser la diferencia entre un incidente contenido y una interrupción total.

Qué significa esto para ti

Si trabajas en TI o seguridad para una empresa de servicios públicos, un sistema municipal u otro operador de infraestructura, vale la pena leer la guía de CISA en su totalidad y tratarla como una adición de bajo costo a tus defensas existentes, no como un reemplazo de ellas. Las VPN, la autenticación multifactor y la segmentación de red siguen siendo esenciales para mantener fuera a los atacantes. Los señuelos y los honeytokens tienen que ver con atrapar a los que superan esas defensas de todos modos. Incluso las organizaciones sin personal de seguridad dedicado pueden empezar poco a poco, plantando un puñado de credenciales o archivos falsos en ubicaciones sensibles y configurando alertas para cualquier interacción con ellos.

Para los usuarios cotidianos y las organizaciones más pequeñas, la conclusión más importante es un recordatorio de que ninguna capa de seguridad es infalible. Los atacantes sondean constantemente las herramientas de acceso remoto, como se ve en las campañas de ransomware en curso que explotan las debilidades de las VPN, lo que significa que la defensa en profundidad importa más que nunca.

Puntos clave

  • La guía de CISA sobre señuelos cibernéticos y honeytokens ofrece a los operadores de infraestructura crítica una forma de bajo costo de detectar intrusos de forma temprana.
  • Los señuelos complementan, en lugar de reemplazar, las VPN, los controles de acceso y la segmentación de red.
  • Los honeytokens son especialmente eficaces para señalar el movimiento lateral tras una brecha, ya que los usuarios legítimos nunca interactúan con ellos.
  • Los operadores de infraestructura más pequeños con presupuestos de seguridad limitados son un público prioritario para este enfoque.
  • Las organizaciones deberían combinar la tecnología de engaño con defensas perimetrales sólidas, ya que los atacantes siguen apuntando a las debilidades del acceso remoto para conseguir puntos de apoyo iniciales.