El 75% de los 56 estados y territorios de EE. UU. Muestran signos de una infraestructura de TI electoral vulnerable, según un informe

La votación ya comenzó antes del día de las elecciones el 3 de noviembre, pero existen preocupaciones sobre la postura de seguridad cibernética a nivel estatal de la infraestructura electoral después de que los funcionarios del condado de Hall, GA reveló que un ataque de ransomware eliminó una base de datos de firmas de votantes y un mapa del distrito electoral que estaba alojado en el sitio web del condado.

El ataque, que fue el primero anunciado en esta temporada electoral, destaca la naturaleza precaria y fragmentada de la ciberseguridad cuando se trata de cómo cada estado protege las herramientas electorales digitales.

Tarjeta de puntuación de seguridad publicó un informe a principios de este mes que analizó la postura general de ciberseguridad de los 56 estados y territorios de EE. UU. previos a las elecciones presidenciales. El estudio encontró que el 75% de todos los estados y territorios tenían infraestructuras de TI que son vulnerables a una variedad de ciberataques.

VER: Ingeniería social: una hoja de trucos para profesionales de negocios (.) (TechRepublic)

Supuestas inexactitudes en el informe

Las conclusiones del informe han sido disputadas con vehemencia por representantes de decenas de estados, que lo criticaron por presuntas inexactitudes y por difundir temores innecesarios.

Reid Magney, oficial de información pública de la Comisión Electoral de Wisconsin, calificó el informe como “una herramienta de marketing” y dijo que Wisconsin, así como otros estados, “expresaron preocupaciones significativas sobre el momento de su informe, la falta de transparencia en su metodología y su falta de alcance a los estados “.

“La Comisión de Elecciones de Wisconsin ha estado trabajando durante años con nuestros socios locales, estatales y federales para garantizar la seguridad de nuestros sistemas electorales”, dijo Magney.

SecurityScorecard no respondió a múltiples solicitudes de comentarios a la luz de las preocupaciones expresadas por los estados de todo el país.

Phil Bates, jefe de Seguridad de la Información del Departamento de Servicios Tecnológicos de Utah, enumeró una serie de inexactitudes y tergiversaciones que creía que estropeaban los hallazgos generales del informe.

“Creo que arroja algunas dudas que realmente no existen y que no son realmente útiles para que ningún estado lo vea y pueda hacer algo significativo con él. Algunos de los estados que obtuvieron calificaciones bastante bajas, creo que ‘ Tengo un programa realmente bueno. Como si Dakota del Norte realmente tuviera un programa excelente y no obtuvieron una puntuación muy alta, eso me lleva a creer que la metodología que están usando no es la mejor “, dijo Bates. .

“Uno de los mayores problemas con ese informe es que cuando se mira una red del tamaño del estado de Utah, todas las personas a las que brindamos servicios, la infraestructura relacionada con las elecciones es una parte muy, muy pequeña de eso. Esa elección la infraestructura está segmentada y protegida por cortafuegos del resto de los activos de red que tenemos por ahí “, dijo Bates.

Continuó explicando que muchos estados como Utah tienen redes de invitados que brindan servicios a cualquiera que ingrese a las instalaciones estatales y que tenía sentido por qué los investigadores detrás del informe encontrarían malware allí porque el estado en gran medida no protege esas redes.

“[They’re] vamos a ver malware en ese tipo de máquinas porque no les damos ninguna protección, simplemente les proporcionamos una conexión a Internet y las lanzamos directamente por la puerta principal de nuestra red “, dijo.

Muchos gobiernos de condados en Utah brindan servicios públicos de Internet similares a los ciudadanos para los que el estado no brinda seguridad, dijo Bates, y señaló que usar exámenes de esas redes y “hacer algunas suposiciones sobre los problemas con la seguridad electoral es realmente un gran trecho. . “

Cómo se califica el informe

El informe otorga a cada estado una calificación, de A a F, y señaló que el 75% se calificó en un nivel C inferior, lo que significa que tienen tres veces más probabilidades de experimentar una infracción o un ataque de ransomware como el que se vio en Georgia el pasado octubre. 7. Más del 30% obtuvo una D o menos en el informe, lo que hace que esos estados o territorios tengan cinco veces más probabilidades de enfrentar un ataque de algún tipo.

“Los resultados no son sorprendentes y la gestión de vulnerabilidades sigue siendo un desafío para muchas organizaciones. Como muestra este análisis, las brechas de seguridad pueden amplificarse por limitaciones de recursos, sistemas de soporte interconectados y una fuerza de trabajo remota que puede aumentar la huella de vulnerabilidad”, dijo Matt Ashburn. , quien se desempeñó como CISO para el Consejo de Seguridad Nacional de la Casa Blanca de 2017 a 2019.

“Los equipos con recursos limitados muchas veces tienen la posición poco envidiable de defender sistemas contra los adversarios más persistentes y con mejores recursos del mundo. Las organizaciones deben priorizar su inversión en seguridad, garantizar que los usuarios conozcan las amenazas y desarrollar procedimientos de respaldo en caso de que fallen los procesos críticos”, Ashburn dijo.

Los investigadores con SecurityScorecard reunieron los puntajes utilizando datos disponibles públicamente y los basaron en el promedio ponderado de 10 “puntajes de factor” en diferentes categorías: seguridad de red, estado del DNS, cadencia de parcheo, seguridad de endpoints, reputación de IP, seguridad de aplicaciones, puntaje de cubit, hacker charla, fugas de información e ingeniería social.

Samoa Americana, Puerto Rico, Guam, Islas Marianas del Norte y las Islas Vírgenes de los Estados Unidos se incluyeron en el ranking porque están llenos de ciudadanos estadounidenses y, aunque no participan en las elecciones presidenciales, sí participan en el proceso de las primarias del partido.

El informe encontró que Kentucky, Kansas y Michigan tenían puntajes por encima de 92, mientras que estados como Dakota del Norte, Illinois y Oklahoma obtuvieron puntajes alrededor de 60.

En su mayor parte, la mayoría de los estados de batalla como Michigan, Wisconsin, Texas, Pensilvania y Arizona obtuvieron puntajes por encima de 80. Pero otros, incluidos Georgia, New Hampshire, Nevada, Florida, Iowa y Ohio, obtuvieron puntajes en los 70 y 60.

“La infraestructura de TI de los gobiernos estatales debe ser de vital importancia para asegurar la integridad de las elecciones. Esto es especialmente cierto en los ‘estados de campo de batalla’ donde el Departamento de Seguridad Nacional, los partidos políticos, las campañas y los funcionarios del gobierno estatal deben hacer cumplir la vigilancia mediante el monitoreo continuo de los votantes estatales redes de registro y aplicaciones web con el fin de mitigar los ataques entrantes de actores maliciosos “, dijo Alex Heid, director de investigación y desarrollo de SecurityScorecard.

“El almacenamiento digital y la transmisión del registro de votantes y los datos del recuento de votantes deben permanecer perfectamente intactos. A algunos estados les ha ido bien con respecto a su postura general de ciberseguridad, pero la gran mayoría tiene importantes mejoras que realizar”.

El estudio señala que muchos de los puntajes han cambiado desde principios de año, debido en gran parte a la pandemia de coronavirus, que ha obligado a muchos equipos electorales a trabajar de forma remota.

“Los puntajes de muchos estados han bajado significativamente desde enero. Por ejemplo, Dakota del Norte obtuvo un 72 en enero y ahora tiene un 59. ¿Por qué? Los mandatos de trabajo remoto dieron a las redes estatales una mayor superficie de ataque (por ejemplo, miles de trabajadores estatales en Wi-Fi hogareño). Fi), lo que dificulta garantizar que los empleados utilicen software actualizado “, según el informe.

“SecurityScorecard observó preocupaciones de seguridad significativas con dos estados de importancia crítica ‘campo de batalla’, Iowa y Ohio, los cuales obtuvieron una calificación de 68 o ‘D'”, señaló, y agregó que la mitad de todos los estados considerados “campos de batalla tenían una infraestructura de TI mediocre .

El informe señala que, si bien la atención se centró en la ciberseguridad electoral, las puntuaciones reflejan la postura de seguridad más amplia del estado y sus oficinas locales.

La seguridad de los terminales es un problema en la mayoría de los estados

El problema con el que la mayoría de los estados tenían problemas era la seguridad de los terminales, que era la categoría de puntuación más baja de las 10 medidas en la encuesta, con un promedio de 61.

Los investigadores “midieron las versiones detectadas para sistemas operativos, navegadores web y otros puntos de datos notables que comprenden la seguridad de los terminales”.

“Massachusetts ocupa el último lugar en seguridad de endpoints con casi 2000 hallazgos de sistemas operativos desactualizados. Illinois ocupa el segundo lugar más bajo con más de 1,000 hallazgos. El software desactualizado es vulnerable a las últimas amenazas de seguridad, lo que facilita a los atacantes la implementación de malware, ya sea a través de una unidad. ataque por descarga o ataque de spear-phishing “, dijo el informe, y agregó que los estados pueden solucionar esto fácilmente actualizando los navegadores web y los sistemas operativos a las últimas versiones disponibles.

Andrew Homer, jefe de estrategia de seguridad de Morphisec, dijo que su compañía ha realizado su propia investigación y ha encontrado que de los 16 millones de empleados que trabajan en el gobierno estatal y local en la actualidad, casi el 40% de ellos todavía trabajan desde casa. Esto significa que hay al menos 6 millones de dispositivos terminales en los que los empleados están trabajando fuera de la supervisión tradicional de TI.

“Esto solo agrava los problemas existentes con los gobiernos estatales y locales cuando se trata de una protección débil de terminales. Estos departamentos de TI a menudo no cuentan con fondos suficientes, tienen poco personal y no suelen ser adecuados para soluciones costosas y complejas”, dijo Homer. “Eso puede hacer que los gobiernos estatales dependan únicamente de las soluciones antivirus heredadas, que son cada vez más ineficaces contra las amenazas de terminales porque no pueden detectar ataques avanzados”.

El malware es otro problema en los estados

El malware también fue un problema importante, particularmente para estados como Virginia Occidental, Idaho e Indiana, que tenían los recuentos más altos de malware presente en varias familias de malware.

Los investigadores generalmente encontraron una variedad de tipos de malware en la infraestructura estatal que van desde Conficker, Emotet, Trickbot, Matsnu y Qrypter.rat. Una de las secciones más preocupantes del informe señala que los ciberatacantes que buscan acceso a las redes estatales podrían comprar fácilmente el acceso “de grupos criminales que se han afianzado a través de infecciones de malware preexistentes”.

Los analistas detrás del informe agregaron que se observó un alto volumen de bloque de mensajes de servidor a nivel estatal, específicamente protocolos SMB expuestos a la Internet pública.

“Esto permite que las aplicaciones y los usuarios accedan a archivos (u otros recursos como impresoras) en servidores remotos. Cuando se expone a la Internet pública, los actores pueden acceder rápida y fácilmente a una red”, según el informe.

“Así es como se ejecutaron los infames ataques de ransomware WannaCry y Petya”.

Para los estados con puntajes bajos, las consecuencias son particularmente graves considerando el panorama de ataques cada vez más amplio. Los ciberdelincuentes ya están aprovechando una serie de herramientas de entrega de malware y phishing dirigidas a través del correo electrónico y otros medios para “infectar redes y difundir información errónea”.

Según el informe, los atacantes a veces venden su acceso a un sistema a otras personas después de infiltrarse en una red o infectar dispositivos.

Decenas de estados también utilizan proveedores externos para una variedad de herramientas y, a menudo, contratan a las mismas empresas, lo que significa que una infracción podría permitir el acceso a múltiples sistemas estatales.

“De hecho, los terceros son el área principal de enfoque de las campañas políticas porque una gran cantidad de información está en manos de tiendas de anuncios familiares y equipos de encuestadores. No se trata de que las campañas sean atacadas en sí mismas, sino de una de sus proveedores “, decía el informe.

“Las bases de datos de registro de votantes podrían verse afectadas, pero se necesitaría descubrir más información sobre la infraestructura de TI de un estado para determinar cómo se mantiene dicha información dentro de la arquitectura de TI general del estado, es decir, una puntuación baja puede no significar necesariamente que dicha información se vea fácilmente comprometida . En el peor de los casos, los atacantes podrían eliminar los registros de votantes o cambiar la información del distrito electoral o hacer que los sistemas cruciales no estén disponibles por completo el día de las elecciones a través del ransomware “.

Los autores del informe recordaron a los lectores que las clasificaciones no pretenden avergonzar a los estados y señalaron que SecurityScorecard proporciona a ambos partidos políticos productos y servicios de ciberseguridad sin costo alguno.

Este artículo se actualizó el 27 de octubre de 2020 para reflejar las preocupaciones de algunos estados sobre los hallazgos y la metodología del informe.

Sigue navegando por nuestra web viendo más artículos.