¿Quieres detectar agujeros de seguridad en tu perímetro? ¿Qué mejor forma de hacerlo que intentar atacarte a ti mismo? La semana pasada en RSA vi una variedad de estrategias que podrían ayudarte con eso. ¿Quieres fingir un ataque interno? Hay herramientas para eso. ¿Quieres probar un falso ataque de phishing? Ofrecen eso también.

Dicen que se requiere de un ladrón para atrapar a un ladrón. Si los aspirantes a ladrones fueran a trabajar en startups de tecnología en vez de vivir una vida criminal, podrían inventar algunas de estas herramientas.

Podrá no ser obvio para los intrusos, pero las organizaciones que tratan de atacarse a sí mismas tienden a ser mucho más fuertes por hacerlo. Así es como funciona.

las organizaciones que tratan de atacarse a sí mismas tienden a ser mucho más fuertes

Primero, trae a tu equipo de TI a bordo; lo último que quieres es ejecutar un engaño de prueba y que te despidan sin saber el trasfondo. Luego, define las reglas de juego. Algunas organizaciones creen que tiene sentido involucrar a todos los elementos digitales presentes en la escena, mientras otros empiezan con una evaluación más pequeña, quizá simulando un ataque externo que atenta contra sus defensas a través de Internet. Ya sea que elijas empezar con algo simple o adoptes un enfoque más completo, el punto es que empieces por algún lado.

Una forma simple, que no requiere contratar un equipo de especialistas, es usar herramientas para evaluar si tus colegas caen en scams convincentes que llegan por correo electrónico. Por lo general, las organizaciones serán engañadas por campañas de phishing al menos el 20% de las ocasiones. Eso significa que si tienes 100 personas en tu staff, hay altas chances de que alguien caiga en la trampa.

En ese punto puedes ayudar a los usuarios a identificar un correo de phishing frente a uno legítimo; naturalmente, la concientización es el primer paso.

A continuación, ejecuta una evaluación de vulnerabilidades o pentest. Si dentro de tu propio equipo no están los conocimientos para hacerlo, hay herramientas automatizadas que te ayudarán. Y si todo eso te parece demasiado, contratar un especialista en pentesting no es una mala idea. De nuevo, deberás definir las reglas del juego, como por ejemplo, si está permitido o no que accedan a tus redes internas.

Las redes inalámbricas son una forma de vida ahora en las empresas, pero hay herramientas que pueden ser usadas para monitorear la seguridad general de tus puntos de acceso inalámbricos, así como si puntos de acceso Wi-Fi falsos han aparecido alrededor de tus instalaciones sin que lo sepas.

Debido a las mejoras en la tecnología inalámbrica, un atacante puede obtener acceso a través de la conexión Wi-Fi de una oficina y fisgonear hasta llegar a los recovecos de la red, para luego filtrar información a través de la tecnología de red celular comúnmente disponible. Usando herramientas de seguridad inalámbricas, te será mucho más fácil resistir a estos ataques.

Si empiezas con estos métodos simples, puedes construir una suite de autoevaluación más completa con el tiempo, pero debes empezar por algún lado. Con la cantidad de herramientas que hoy están disponibles y son fáciles de usar, y especialistas dispuestos a ayudarte, sería hora de empezar a ver si lograrías entrar a tu red en caso de que te atacaras a ti mismo... lo cual es mucho más cómodo que esperar a que alguien más lo haga.