El reciente ataque del gusano npm Shai-Hulud muestra lo rápido que puede propagarse un ataque inicial cuando los secretos se gestionan de forma inadecuada. Tras obtener acceso, el malware utilizó herramientas como TruffleHog para recopilar tokens y credenciales codificados, y luego se propagó lateralmente a través de paquetes, canalizaciones y cuentas en la nube. Es un claro recordatorio de que, sin políticas sólidas, la gestión descentralizada de los secretos aumenta el alcance de los ataques.
A partir del trabajo práctico con los clientes, nuestro equipo de servicios de seguridad ha identificado cuatro prácticas que ponen a las organizaciones en mayor riesgo:
- Acceso compartido entre equipos: un secreto o una cuenta reutilizados en múltiples cargas de trabajo.
- Definiciones deficientes del espacio de nombres de Kubernetes: mezcla de desarrollo, pruebas y producción sin límites claros.
- Canalizaciones bajo una única identidad: trabajos de Jenkins o Ansible que se ejecutan con privilegios ilimitados.
- Una sola cuenta o plataforma en la nube para todo: concentración del riesgo en un único plano de identidad.
Para cada uno de ellos, nuestro equipo de servicios de seguridad comparte historias reales sobre cómo los atacantes se aprovechan de estas prácticas y las soluciones comprobadas en terreno que están adoptando las organizaciones líderes para repararlas. Aprenderán por qué el verdadero riesgo no es solo el secreto, sino la identidad que hay detrás de él, y cómo la centralización de la gestión de secretos reduce el radio de acción, mejora la visibilidad y se escala de forma segura sin interrumpir el trabajo de los desarrolladores.
Trataremos los siguientes temas:
- Cómo las malas prácticas en materia de secretos permiten el movimiento lateral y el aumento de las infracciones.
- Cuatro errores reales que vemos en los entornos de los clientes y formas comprobadas de repararlos.
- Cómo la centralización refuerza la gobernanza, la preparación para la auditoría y la resiliencia.
Ponentes:
John Walsh, Senior Product Marketing Manager, CyberArk
Nathan Whipple, Senior Manager, Security Services, DevSecOps, CyberArk
Benjamin Dorn, Senior Security Consultant, DevSecOps, CyberArk
