EVITA LAS COSTOSAS APROPIACIONES DE CUENTAS Y EL RANSOMWARE

Las instituciones de educación superior presentan tres características que aumentan el riesgo relacionado con las credenciales. En primer lugar, cuentan con una población estudiantil numerosa y con una alta rotación, cuyos miembros utilizan ampliamente dispositivos personales, reutilizan contraseñas tanto en cuentas académicas como personales y son menos propensos a seguir prácticas de seguridad que los empleados de empresas que han recibido formación específica. En segundo lugar, disponen de datos de investigación de gran valor, sistemas administrativos y registros de ayudas económicas, lo que convierte a estas instituciones en objetivos atractivos para el ransomware. En tercer lugar, cuentan con entornos de red abiertos y sistemas de identidad federada que amplían la superficie de ataque más allá de lo que la seguridad empresarial tradicional puede gestionar. Casi una de cada tres víctimas de ransomware tenía constancia de una infección previa por un programa de robo de información, y las instituciones de educación superior son blanco de ataques de ransomware de forma desproporcionada.

SpyCloud no depende de agentes en los dispositivos ni de la telemetría de los terminales. Recupera los registros del malware de robo de información a partir de fuentes delictivas donde se distribuyen dichos registros. Cuando el dispositivo de un estudiante o miembro del profesorado se ve infectado por malware de robo de información y se filtran sus credenciales institucionales, dichas credenciales aparecen en los mercados delictivos, independientemente de si el dispositivo estaba registrado en el sistema MDM de la institución o tenía instalada una solución de protección de terminales. La supervisión que realiza SpyCloud de los dominios de correo electrónico institucionales frente a estos datos delictivos recuperados pone de manifiesto las vulnerabilidades de los dispositivos personales y no gestionados, que son completamente invisibles para las herramientas de seguridad de los terminales del campus.

Las instituciones de educación superior suelen utilizar Active Directory para los sistemas locales y Okta o Azure AD para el inicio de sesión único (SSO) basado en la nube que da servicio a los portales de estudiantes, los sistemas de gestión del aprendizaje y las aplicaciones de investigación. Tanto Active Directory Guardian como Okta Workforce Guardian, de SpyCloud, son compatibles con este entorno mixto: ADG se ejecuta localmente en controladores de dominio y activa restablecimientos forzados automatizados para las credenciales comprometidas en el directorio local, mientras que Okta Workforce Guardian gestiona la identidad en la nube y puede propagar las revocaciones de sesión a todas las aplicaciones subordinadas de la instancia de SSO. Ambos operan de forma continua, en lugar de seguir un calendario de análisis, lo cual es importante para una institución en la que las filtraciones de credenciales pueden acumularse rápidamente durante períodos de gran presión, como la temporada de exámenes y los ciclos de ayudas económicas.

La sección 5.1.1.2 de la norma NIST SP 800-63B exige una supervisión continua frente a listas de credenciales comprometidas, con restablecimientos forzados automatizados. Las instituciones de educación superior sujetas a la FERPA, la HIPAA (para los sistemas de salud de los campus) y la norma PCI DSS (para el procesamiento de pagos) deben demostrar que cuentan con controles proactivos de seguridad de la identidad que vayan más allá de las políticas de contraseñas y la autenticación multifactorial (MFA). La supervisión continua y la corrección automatizada de SpyCloud cumplen el requisito de la norma NIST 800-63B y proporcionan la documentación de auditoría que exigen los evaluadores de cumplimiento y los auditores institucionales. Penn State Health es uno de los ejemplos representativos de clientes a los que SpyCloud ha prestado servicio en el ámbito más amplio de la educación superior y la asistencia sanitaria.

La supervisión de SpyCloud se basa en dominios, en lugar de en cuentas individuales, lo que significa que vigila continuamente las filtraciones de credenciales vinculadas a dominios de correo electrónico institucionales, independientemente de la rotación de cuentas. Las nuevas cuentas de los estudiantes quedan automáticamente cubiertas cuando se les asignan direcciones de correo electrónico institucionales. Los estudiantes que se han graduado o han abandonado los estudios y cuyas credenciales permanecen en los mercados delictivos siguen siendo objeto de supervisión hasta que sus cuentas se desactivan por completo. El análisis IDLink de SpyCloud también pone de manifiesto los riesgos de reutilización de credenciales: un estudiante que haya reutilizado su contraseña institucional en una cuenta personal que posteriormente haya sido objeto de una filtración genera una exposición que la supervisión de dominios con coincidencia exacta pasa por alto, pero que IDLink detecta.