{"id":177365,"date":"2024-11-22T10:51:41","date_gmt":"2024-11-22T13:51:41","guid":{"rendered":"https:\/\/nuevoitsitio1.wpenginepowered.com\/mx\/2024\/11\/22\/tenable-descubre-nuevas-tecnicas-de-ataque-en-software-de-codigo-abierto\/"},"modified":"2024-11-22T10:51:41","modified_gmt":"2024-11-22T13:51:41","slug":"tenable-descubre-nuevas-tecnicas-de-ataque-en-software-de-codigo-abierto","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/mx\/seguridad\/tenable-descubre-nuevas-tecnicas-de-ataque-en-software-de-codigo-abierto\/","title":{"rendered":"Tenable descubre nuevas t\u00e9cnicas de ataque en software de c\u00f3digo abierto"},"content":{"rendered":"
Tenable<\/strong> ha revelado que su equipo de investigaci\u00f3n de seguridad en la nube ha descubierto nuevas t\u00e9cnicas de ataque en los Lenguajes Espec\u00edficos de Dominio (DSLs, por sus siglas en ingl\u00e9s) utilizados en plataformas populares de Policy-as-Code (PaC) e Infrastructure-as-Code (IaC)<\/strong><\/em>. Estas vulnerabilidades pueden resultar en identidades en la nube comprometidas, movimiento lateral y exfiltraci\u00f3n de datos.<\/div>\n
<\/div>\n
Infrastructure-as-Code (IaC) se ha convertido en la columna vertebral de las pr\u00e1cticas modernas de DevOps en la nube, y las herramientas de Policy-as-Code son clave para gobernar implementaciones sensibles y complejas. Los DSL\u2019s suelen considerarse m\u00e1s seguros que los lenguajes de programaci\u00f3n est\u00e1ndar debido a sus capacidades limitadas y su dise\u00f1o endurecido. Sin embargo, estos marcos se asumen con frecuencia como seguros por defecto, dejando una puerta abierta para que los atacantes los exploten.<\/div>\n
<\/div>\n
Este anuncio sigue a la reciente identificaci\u00f3n de una vulnerabilidad de fuerza de autenticaci\u00f3n\u00a0SMB en Open Policy Agent (OPA).<\/a><\/u><\/div>\n
<\/div>\n
Por qu\u00e9 es importante<\/b><\/div>\n
<\/div>\n
Aunque los DSLs, como los de Open Policy Agent (OPA) y Terraform de HashiCorp, est\u00e1n dise\u00f1ados para ser seguros, los hallazgos de Tenable revelan configuraciones incorrectas espec\u00edficas que los atacantes pueden manipular a trav\u00e9s de componentes de terceros. Esto subraya la importancia de replantear las estrategias de seguridad en las implementaciones de PaC e IaC.<\/div>\n

Escenarios de Ataque\u00a0<\/b><\/span><\/h4>\n
<\/div>\n
Open Policy Agent (OPA):\u00a0<\/b>OPA es un motor de pol\u00edticas ampliamente utilizado para casos como la autorizaci\u00f3n de microservicios y pol\u00edticas de infraestructura. Las pol\u00edticas en OPA est\u00e1n escritas en Rego, un DSL declarativo de alto nivel con funciones integradas que, si se usan de manera maliciosa, pueden facilitar actividades maliciosas.<\/div>\n
La investigaci\u00f3n de Tenable descubri\u00f3 c\u00f3mo un atacante que compromete la cadena de suministro de pol\u00edticas puede insertar pol\u00edticas maliciosas en Rego, ejecutadas durante las evaluaciones de pol\u00edticas, logrando objetivos como la filtraci\u00f3n de credenciales y\/o de datos.<\/div>\n
<\/div>\n
Terraform:\u00a0<\/b>Terraform ha sido una herramienta de IaC muy adoptada debido a su naturaleza declarativa, agn\u00f3stica de plataformas, soporte comunitario y componentes reutilizables. Sus configuraciones utilizan el Lenguaje de Configuraci\u00f3n HashiCorp (HCL), otro DSL. Terraform admite componentes de terceros, como M\u00f3dulos y Proveedores, que pueden compartirse a trav\u00e9s del Registro de Terraform u otros registros p\u00fablicos o privados. Aunque estos componentes pueden mejorar la eficiencia y la seguridad cuando se usan adecuadamente, un uso descuidado introduce riesgos graves en la cadena de suministro.<\/div>\n
<\/div>\n
Tenable descubri\u00f3 que, cuando Terraform Plan est\u00e1 configurado para ejecutarse en un disparador de pull request en las canalizaciones CI\/CD, los atacantes pueden lograr la ejecuci\u00f3n de c\u00f3digo no revisado, abriendo caminos furtivos para atacantes internos malintencionados o externos.<\/div>\n
<\/div>\n

Recomendaciones de Tenable Research para Mitigaci\u00f3n<\/b><\/span><\/h4>\n
<\/div>\n
    \n
  1. Implementar Control de Acceso Basado en Roles (RBAC):<\/b>\u00a0Aplicar el principio de privilegio m\u00ednimo tanto para usuarios locales como para aquellos con acceso a trav\u00e9s de API. Separar roles para las etapas Terraform Plan y Apply para evitar cambios no revisados en la infraestructura.<\/li>\n
  2. Verificar Componentes de Terceros:<\/b>\u00a0Usar solo m\u00f3dulos, proveedores y pol\u00edticas de fuentes confiables y verificar su integridad antes de la ejecuci\u00f3n.<\/li>\n
  3. Habilitar Registros Exhaustivos: Configurar registros a nivel de aplicaci\u00f3n y nube para monitoreo y detecci\u00f3n de anomal\u00edas.<\/li>\n
  4. Restringir Acceso a Redes y Datos:<\/b>\u00a0Utilizar el archivo capabilities.json de OPA para limitar conexiones salientes y evitar comunicaciones no autorizadas con servidores internos.<\/li>\n
  5. Escanear Antes de Planificar:<\/b>\u00a0Incorporar escaneos de seguridad en la canalizaci\u00f3n CI\/CD antes de la etapa terraform plan para prevenir la ejecuci\u00f3n de c\u00f3digo no revisado o malicioso.<\/li>\n<\/ol>\n
    C\u00f3mo Tenable Cloud Security puede ayudar<\/b><\/span><\/div>\n
    <\/div>\n
    Tenable Cloud Security permite a las organizaciones escanear y detectar configuraciones err\u00f3neas y otros riesgos en sus configuraciones de IaC para reforzar los entornos de infraestructura en la nube como parte de la canalizaci\u00f3n CI\/CD.<\/div>\n
    <\/div>\n
    \u201cEstas nuevas t\u00e9cnicas de ataque resaltan lo compleja que puede llegar a ser la seguridad en la nube. Las organizaciones en Am\u00e9rica Latina est\u00e1n cada vez m\u00e1s en riesgo, y debemos actuar proactivamente para ayudar a reducir la exposici\u00f3n a amenazas y proteger los entornos cr\u00edticos en la nube.\u201d \u2014 Alejandro Dutto, Director de Ingenier\u00eda de Seguridad para Tenable\u00a0 Am\u00e9rica Latina y Caribe<\/div>\n","protected":false},"excerpt":{"rendered":"

    Tenable ha revelado que su equipo de investigación de seguridad en la nube ha descubierto nuevas técnicas de ataque en los Lenguajes Específicos de Dominio (DSLs, por sus siglas en inglés) utilizados en plataformas populares de Policy-as-Code (PaC) e Infrastructure-as-Code (IaC). Estas vulnerabilidades pueden resultar en identidades en la nube comprometidas, movimiento lateral y exfiltración de datos. Infrastructure-as-Code (IaC) se ha convertido en la columna vertebral de las prácticas modernas de DevOps en la nube, y las herramientas de Policy-as-Code son clave para gobernar implementaciones sensibles y complejas. Los DSL’s suelen considerarse más seguros que los lenguajes de programación estándar debido a sus capacidades limitadas y su diseño endurecido. Sin embargo, estos marcos se asumen con frecuencia como seguros por defecto, dejando una puerta abierta para que los atacantes los exploten. Este anuncio sigue a la reciente identificación de una vulnerabilidad de fuerza de autenticación SMB en Open Policy Agent (OPA). Por qué es importante Aunque los DSLs, como los de Open Policy Agent (OPA) y Terraform de HashiCorp, están diseñados para ser seguros, los hallazgos de Tenable revelan configuraciones incorrectas específicas que los atacantes pueden manipular a través de componentes de terceros. Esto subraya la importancia de replantear las estrategias de seguridad en las implementaciones de PaC e IaC. Escenarios de Ataque  Open Policy Agent (OPA): OPA es un motor de políticas ampliamente utilizado para casos como la autorización de microservicios y políticas de infraestructura. Las políticas en OPA están escritas en Rego, un DSL declarativo de alto nivel con funciones integradas que, si se usan de manera maliciosa, pueden facilitar actividades maliciosas. La investigación de Tenable descubrió cómo un atacante que compromete la cadena de suministro de políticas puede insertar políticas maliciosas en Rego, ejecutadas durante las evaluaciones de políticas, logrando objetivos como la filtración de credenciales y\/o de datos. Terraform: Terraform ha sido una herramienta de IaC muy adoptada debido a su naturaleza declarativa, agnóstica de plataformas, soporte comunitario y componentes reutilizables. Sus configuraciones utilizan el Lenguaje de Configuración HashiCorp (HCL), otro DSL. Terraform admite componentes de terceros, como Módulos y Proveedores, que pueden compartirse a través del Registro de Terraform u otros registros públicos o privados. Aunque estos componentes pueden mejorar la eficiencia y la seguridad cuando se usan adecuadamente, un uso descuidado introduce riesgos graves en la cadena de suministro. Tenable descubrió que, cuando Terraform Plan está configurado para ejecutarse en un disparador de pull request en las canalizaciones CI\/CD, los atacantes pueden lograr la ejecución de código no revisado, abriendo caminos furtivos para atacantes internos malintencionados o externos. Recomendaciones de Tenable Research para Mitigación Implementar Control de Acceso Basado en Roles (RBAC): Aplicar el principio de privilegio mínimo tanto para usuarios locales como para aquellos con acceso a través de API. Separar roles para las etapas Terraform Plan y Apply para evitar cambios no revisados en la infraestructura. Verificar Componentes de Terceros: Usar solo módulos, proveedores y políticas de fuentes confiables y verificar su integridad antes de la ejecución. Habilitar Registros Exhaustivos: Configurar registros a nivel de aplicación y nube para monitoreo y detección de anomalías. Restringir Acceso a Redes y Datos: Utilizar el archivo capabilities.json de OPA para limitar conexiones salientes y evitar comunicaciones no autorizadas con servidores internos. Escanear Antes de Planificar: Incorporar escaneos de seguridad en la canalización CI\/CD antes de la etapa terraform plan para prevenir la ejecución de código no revisado o malicioso. Cómo Tenable Cloud Security puede ayudar Tenable Cloud Security permite a las organizaciones escanear y detectar configuraciones erróneas y otros riesgos en sus configuraciones de IaC para reforzar los entornos de infraestructura en la nube como parte de la canalización CI\/CD. “Estas nuevas técnicas de ataque resaltan lo compleja que puede llegar a ser la seguridad en la nube. Las organizaciones en América Latina están cada vez más en riesgo, y debemos actuar proactivamente para ayudar a reducir la exposición a amenazas y proteger los entornos críticos en la nube.” — Alejandro Dutto, Director de Ingeniería de Seguridad para Tenable  América Latina y Caribe<\/p>\n","protected":false},"author":233,"featured_media":177366,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[22],"tags":[23],"class_list":["post-177365","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad","tag-tenable"],"_links":{"self":[{"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/posts\/177365","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/users\/233"}],"replies":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/comments?post=177365"}],"version-history":[{"count":0,"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/posts\/177365\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/media\/177366"}],"wp:attachment":[{"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/media?parent=177365"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/categories?post=177365"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/tags?post=177365"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}