La inteligencia artificial y ChatGPT están revolucionando muchos negocios y campos de actividad en muy pocos meses y uno de ellos está siendo el campo de la ciberseguridad. "Domar" a la herramienta de OpenAI para que realice ciertos trucos y acciones puede costar un poco, pero todo se basa en la paciencia y en usar y encontrar los prompts adecuados.
Este ha sido el mensaje que ha transmitido Jaime Andrés Restrepo Gómez, fundador de la comunidad de ciberseguridad DragonJAR, quien ha "cruzado el charco" desde Colombia para impartir la primera ponencia del evento Mundo Hacker Day, del que Escudo Digital es media partner. Este ha vuelto al formato presencial tras la pandemia y ha alcanzado su décima edición.
Restrepo ha recordado que, pese a que estas figuras estén saliendo de debajo de las piedras, no es necesario ser ningún 'experto' para sacar provecho a las nuevas IA generativas.
Además, ha recordado las limitaciones de los conocidos como 'LLM' (Large Languaje Models o modelos de lenguaje a gran escala. La primera de ellas se ha podido demostrar en muchas ocasiones en los últimos meses: ChatGPT y Bing Chat son bastante mentirosos y tienden a inventarse cosas. No obstante, se les puede pedir que no sean especulativos y se remitan a los datos y a ofrecer información confiable y verificable.
Otro límite de estas IA son sus caracteres. ChatGPT acepta unos 4.000, aunque este máximo se amplía a 7.000 en su API. A la hora de usar código PHP puede complicarse, pero hay fórmulas para dividirlo y hacer que la inteligencia artificial cumpla su cometido.
Además, también están restringidas por ciertas reglas y un código ético que les impide hacer determinadas cosas. No es difícil que lo superen si se utiliza la psicología inversa con ello o se les pide que listen aquello que está vetado con el fin de evitarlo, según ha mostrado Restrepo.
El fundador de DragonJAR destacó lo importante que va a ser tener conocimientos de 'prompt engineering'. "Todos aquellos que creen que su puesto de trabajo peligra a causa de la llegada de ChatGPT deberían formarse en esto", asegura.
Tras las máquinas, los humanos
Tras la keynote, hubo dos pequeñas ponencias de Greg Idon, Security Strategist, Managed Detection and Response en Sophos y Luis Suárez, SOC Specialist Sales Engineer en Fortinet.
El primero, a través de videollamada, realizó un análisis de cómo los adversarios digitales pelean en un campo de batalla en constante cambio y cómo se aprovechan ágilmente de las vulnerabilidades y debilidades de las superficies de ataque.
Desde Sophos, por su parte, desgranaron los problemas diarios a los que se enfrenta un SOC (siglas de Centro de Seguridad de Operaciones), esencial para que las empresas tengan sus dispositivos y sistemas conectados entre sí. Suárez recomendó abogar por la automatización para "reducir considerablemente los tiempos de respuesta".
La mañana continuó con Sergio Maeso, Solution Engineer en Cloudflare, quien habló sobre el factor humano en ciberseguridad, sin duda, el más difícil de mitigar en las empresas y el menos dependiente de la tecnología.
"Los humanos fallan. Lo que podemos arreglar es lo rápido que actuamos frente a estos fallos. Lo importante es comunicar si ha habido algo sospechoso o si se ha pinchado en un sitio raro lo más pronto posible. No pasa nada por equivocarnos", ha insistido Maeso, quien ha invitado a los empleados a no callarse este tipo de cosas para que el departamento de TI y seguridad pueda tratar de solucionarlo con la mayor celeridad.
El experto también ha subrayado que la ingeniería social es un factor de riesgo no solo en las pymes, sino en todas las empresas y ha detallado como en algunos ataques los cibermalos no se dirigen únicamente a empleados, sino también a sus familiares.
Los ataques DDoS no son a dedo
Como previa al desayuno se celebró una mesa redonda sobre los ataques distribuidos de denegación de servicio o DDoS.
Daniel Howe, Senior Presales Engineer en Fastly, recordó que en ocasiones no es fácil distinguir una amenaza de este tipo de algo que se hace viral o popular y provoca una subida inesperada de tráfico. Igualmente, ha contado que estos ataques no solo se dan a marcas o empresas, sino que han pasado a tener como objetivo también a los influencers.
Antonio García Ege ha hablado de los Ransom DoS, que son ataques DDoS en los que los actores de amenazas piden una cantidad en bitcoin o te dejan tu página, aplicación o ecommerce caído durante un intervalo de tiempo, que puede generarte muchas pérdidas económicas.
Dentro de la mesa redonda, Carlos Fragoso, ha subrayado la importancia de adelantarse sabiendo a quién puede interesar atacarnos y qué secciones o partes pueden resultarles más atractivos.
Los participantes también han hablado de cómo hay 3 variedades de ataques DDoS: de flujo de datos, de ralentización y de anulación, siendo más frecuentes los últimos.
Rompe, Ralph
El descanso de la mañana dio paso a la segunda keynote de la jornada, impartida por Chris Wysopal, empresario, experto en seguridad informática y co-fundador y CTO de Veracode. Su charla se centró en hacer un pequeño repaso histórico a la figura de los hackers y algunas avances que han ido logrando.
Wysopal recordó que hay sistemas en cualquier lugar que tienen potencial para ser hackeados y esto significa que pueden ser mejorados. Habló de que los hackers deben tener persistencia, saber que siempre hay un camino, disponer de recursos y abrazar la idea de que las cosas se pueden hacer de manera diferente.
"En 1993 se publicó un paper pionero que decía que para mejorar la seguridad de tu web hay que romperla. El cambio es algo que puede ser angustioso o dar miedo a las empresas", ha aseverado. En su opinión, los hackers hacen de la seguridad de la información "un deporte participativo".
Al co-fundador de Veracode le siguió Jérémie Jourdin, CTO en Advens, quien recuperó el tema del SOC, aunque en esta ocasión trató de cómo la inteligencia artificial le ha ido dando forma. Así, ha abordado cómo se usa esta para identificar y responder a las amenazas en tiempo real. Tras Jourdin intervino Juan Manuel Martínez Alcalá, CTO de Lazarus, contando cómo realiza la gestión de incidentes su herramienta LimaCharlie.
Estrellas del rock
Pablo Tejeira, Business and Marketing Advisor, ha dedicado su espacio en Mundo Hacker Day a hablar sobre cómo un CISO puede transformarse en una auténtica 'rockstar' dentro de su organización. Es decir, de pasar de ser una figura algo olvidada y a la que se recurre cuando hay problemas a tener un lugar destacado y valorado respecto al consejo de administración de una compañía.
"Un buen CISO tiene que invertir tiempo en ser C-Level. Comprender las necesidades de la organización. Aprovechad el momento, ya que el tema ciber está de moda. Formémonos en liderazgo y gestión", aconseja.
Para Tejeira es fundamental vincular la estrategia de seguridad con la estrategia empresarial y hablar un lenguaje alejado de tecnicismos que pueda ser comprendido por el resto de los directivos y el CEO.
Además, invita a los responsables de seguridad a ser proactivos y mostrar el coste económico que puede tener una brecha de seguridad o ataque de ransomware y el coste de reputación que puede desencadenar esta para el departamento de marketing.
La IA salvará a los responsables de seguridad
La mañana se ha completado con una mesa redonda en la que han intervenido Roberto Pérez, Channel Account Manager Iberia en Bitdefender, Ángel Ortiz, director de Ciber-Seguridad en Cisco España, Víctor García Puerto, Country Manager Spain & Portugal en Radware y que ha moderado Casimiro Nevado, inspector jefe Policía Nacional, y coordinador de @C1b3rWall.
Los participantes han hablado de cómo la pandemia ha hecho que se aumente la superficie de ataque y se abandone el ecosistema de seguridad más delimitado de antaño, con empleados que trabajan desde cualquier parte y con sus dispositivos y organizaciones que han migrado muchos activos a la nube.
Ángel Ortiz, de Cisco, ha contado cómo desde Thalos frenan cada día 20.000 millones de amenazas. Por ello ha defendido la automatización como única salida posible. "Tenemos que pensar en cuál es nuestro ecosistema de seguridad en general, no ir a ataques concretos cuando se producen. Buscar la automatización, hacer más con menos.", ha apostillado. Además, se ha mostrado a favor de la interoperabilidad y de colaborar con otros fabricantes de software de seguridad para remar en la misma dirección.
"Hoy en día los hackers atacan con IA, así que al otro lado tiene que haber también IA defendiéndose para parar ataques en milisegundos. Pueden atentar contra las infraestructuras", ha coincidido García.
Otra conclusión a la que han llegado los participantes en la mesa ha sido que en ciberseguridad hay poco personal cualificado, que está mal pagado y explotado, sufriendo burnout con frecuencia, ya que tienen que enfrentarse a constantes amenazas. Por estos aspectos y por su necesidad de estar siempre actualizados es por lo que se ha insistido en que resulta muy necesaria la automatización.
Por la tarde el evento se dividió en dos auditorios, centrándose en pequeños talleres y charlas de media hora sobre aspectos como la protección de la identidad, las contramedidas en la cadena de suministro, los ataques a dispositivos de monitorización y emergencia, la prevención y, de nuevo, la inteligencia artificial como una aliada para la defensa y el ataque.