Señuelos muy reales en los que pican los delicuentes sin saber que están siendo espiados
Miguel Martín y junto a él, el mapa que detecta de dónde han surgido los ataques.
La preparación ante ciberataques exige conocer también qué hace el «enemigo». Qué busca, qué intereses podría tener o con qué herramientas cuenta. Este entrenamiento exige un riesgo controlado y por este motivo, desde Incibe cuentan con «señuelos» para que los ciberdelincuentes piquen sin saber que realmente están siendo espiados.
¿Qué interesa a los ciberdelincuentes? Entre otras cuestiones, las conocidas como infraestructuras críticas, sistemas esenciales para el funcionamiento de un país y de sus habitantes. Por eso, en el Incibe cuenta con una «simulación muy real» de algunos de ellos que dejan abiertos y vulnerables para que reciban ataques. La clave está en que el ciberdelincuente no sabe que está atancando una imitación de la realidad, porque el sistema replicado es tal cual el real. «En 24 horas podemos recibir de mil a decenas de miles de accesos, no sólo ciberataques como tales; también otros que sólo buscan recoger información y que probablemente luego se use para realizar un ciberataque», explica el responsable del Laboratorio de Ciberseguridad del Incibe, Miguel Martín.
«Se trata de un señuelo, pero el hácker no lo sabe. Es un sistema que no debería estar en la red, pero los ciberdelincuentes piensan que son ellos los que lo han hackeado», señala Martín. De momento, desde León se monitorizan estos ataques para conseguir esa información necesaria que les permiten realizar estadísticas y elaborar el popular «Big Data», además de análisis específicos o profundizar en una amenaza concreta. Por ejemplo, se van conociendo malwares, «que es lo más peligroso» si no están identificados. Al ir identificándolos, a pesar de la rapidez con la que avanzan los ciberdelincuentes, «los programas se entrenan porque se recogen muestras de los nuevos porque se van imitando».
Los ciberejercicios permiten ese entrenamiento «real» en sectores específicos. Mientras que con el Cyber Range de Airbus en el laboratorio realizan un entrenamiento de los técnicos y se preparan para ello al capacitarse para los ataques y las posibles defensas, con los señuelos se realiza otra preparación alternativa, basada en la información que se obtiene de los ciberdelincuentes, las técnicas que emplean o, también, de donde proceden y ciberejecicios de sectores específicos.
Una vez abierto el señuelo para que sea atacado, en un gran mapa digital que hay en el laboratorio van apareciendo los puntos de donde proceden los ataques. Y el origen de los ciberataques también revela algo interesante. En el mapa aparecen muchos repartidos por todo el mundo salvo en un país: Algunos países aparecen completamente limpios. ¿Casualidad? Parece ser que no. «Algunos países no salen porque muchos sistemas de defensa se protegen automáticamente de una IP (el identificador numérico conectado a la red que recoge información, entre ella la ubicación) que proceda de determinadas zonas, por lo que esas conexiones ya se ocultan», explica el experto en ciberinteligencia de amenazas, vigilancia digital y gestión de incidentes y crisis cibernéticas del Incibe en relación con los posibles grupos que operan desde estos territorios.
En algunos países existe ya una larga tradición en la guerra cibernética, por lo que, al saber que en el momento en que se detecta una IP con ese origen se bloquea, lo que hacen es ocultar la ubicación real de sus IP y simular que operan desde cualquier otro punto del planeta. Y para ello también hay que estar preparado y entrenado, además de evitar el llamado factor pánico.