Herramientas de seguridad antiguas: la tranquilidad, ¿a qué precio?

Durante años hemos oído historias sobre el terreno acerca de equipos de seguridad que compran las últimas soluciones de protección para aplicaciones web y API, y aun así acaban siendo víctimas de ataques. Buscan todo lo necesario, realizan un proceso de solicitud de propuestas, se informan sobre el proveedor y eligen la herramienta que funcionará, pero esa confianza se esfuma cuando ven que siguen entrando ataques. 

Si tú también has pasado por esto, no estás solo. De hecho, El punto de inflexión de la seguridad en la web, un informe que hemos publicado en colaboración con Enterprise Strategy Group (ESG) Research, revela que las empresas usan como promedio 11 herramientas, y aun así el 82 % de los encuestados afirmó haber sufrido un ataque con éxito en los 12 meses anteriores. 

¿Qué pasa? ¿Cómo es posible que los ataques logren burlar nada menos que 11 herramientas de media? Después de preguntar a responsables de ingeniería, seguridad, IT y DevOps de 500 organizaciones de Norteamérica, Europa, Asia-Pacífico y Japón, hemos descubierto algunos de los problemas, que es posible que te suenen.

Poca correlación y demasiados procesos manuales

La dificultad más habitual que señalaron los encuestados fue correlacionar datos de múltiples herramientas, mencionada por el 32 %. Con tantas herramientas de tantos proveedores, diferentes formatos de registros por analizar, falta de integración y equipos con poco personal, no es de extrañar que muchas empresas tengan este problema. 

Además, el 30 % de los encuestados indicó que los procesos manuales obstaculizaban su capacidad de mantenerse al día. En muchas herramientas antiguas, es necesario personalizar y probar los conjuntos de reglas. De hecho, el 68 % de los encuestados afirmó que su organización desarrolla nuevas reglas para los controles desplegados al menos una vez al mes, mientras que las pruebas de eficacia suelen durar una semana como mínimo.

Al pasar tanto tiempo personalizando y probando herramientas, y luego intentando analizar la información de, potencialmente, miles de conjuntos de datos, los equipos de seguridad e ingeniería no tienen tiempo para mucho más. Hay herramientas más eficientes que se pueden integrar en tu stack y flujos de trabajo existentes sin requerir mucha personalización para funcionar. 

Los falsos positivos son habituales y requieren mucho tiempo

Si las diferentes herramientas de seguridad para API y aplicaciones web que implementan las organizaciones funcionaran como deberían, se podría tolerar la ineficiencia en el flujo de trabajo. Sin embargo, probablemente sepas por experiencia que no es así.

Los encuestados señalaron un promedio de 53 alertas por día de sus herramientas de seguridad para API y aplicaciones web, de las cuales un 45 % resulta ser falsos positivos. El problema es que no se sabe que se trata de un falso positivo hasta que se ha investigado. 

El 46 % declaró que, cuando se produce un ataque de verdad, sus sistemas quedan fuera de servicio durante varios días de media, pero es que el mismo porcentaje de personas dijo que los falsos positivos provocan otro tanto de tiempo de inactividad. Como consecuencia, el 75 % de los encuestados reconoce que su organización pasa la misma o mayor cantidad de tiempo resolviendo falsos positivos que ataques reales.

Esto es francamente decepcionante, puesto que cada minuto que se dedica a un falso positivo es un minuto que no se pasa revisando la estrategia de seguridad de aplicaciones, optimizando procesos y mejorando habilidades. Las organizaciones de seguridad con poco personal o poco cualificadas tienen todas las de perder a la hora de proteger sus aplicaciones a diario. Se malgastan tiempo y recursos y, ante ello, necesitamos herramientas de seguridad modernas que contemplen la intención, no solo las acciones. 

Las herramientas no funcionan si están desactivadas

No es de extrañar, ante herramientas difíciles de usar y ese desperdicio de tiempo y recursos, el hartazgo que experimentan los usuarios. Según la encuesta, el 53 % ha optado por usar las herramientas en modo de registro o supervisión en vez del modo de bloqueo total; el 12 % afirma haberlas desactivado y el 26 % asegura haber hecho ambas cosas. 

Dicho de otra forma, más de un tercio de los encuestados consideró que cerrar del todo las herramientas de seguridad daba menos quebraderos de cabeza que seguir manejando falsos positivos. Lo que es más preocupante es que estas herramientas se desactivan muy poco tiempo después de su despliegue: el 82 % de los encuestados indicó que su organización deshabilitó las herramientas de protección para API y aplicaciones web menos de un mes después de haberlas desplegado. 

Se necesita un enfoque nuevo

Con datos como este, no es de extrañar que las empresas estén abiertas a otra forma de hacer las cosas. Necesitamos conjuntos de herramientas coordinados e integrados que funcionen para todos los equipos, pero parece que ya somos conscientes de ello: el 93 % de los encuestados dijo que le interesa o tiene pensado desplegar una solución de seguridad para API y aplicaciones web unificada con el objetivo de mejorar la eficacia en materia de seguridad, reducir costes y ofrecer una protección uniforme para distintos entornos y arquitecturas de aplicaciones.

Ahora es el momento de empezar a actualizar y unificar tus procesos y stacks de seguridad. Si quieres más información sobre este asunto tan crucial, descarga el informe completo.