La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha emitido la Directiva Operativa Vinculante (BOD) 25-01, ordenando a las agencias civiles federales proteger sus entornos de aglomeración y cumplir con las líneas almohadilla de configuración segura de Secure Cloud Business Applications (SCuBA).
«Los recientes incidentes de ciberseguridad resaltan los riesgos significativos que plantean las configuraciones erróneas y los controles de seguridad débiles, que los atacantes pueden utilizar para obtener entrada no competente, filtrar datos o interrumpir servicios», dijo la agencia, añadiendo que la directiva «reducirá aún más la superficie de ataque del gobierno federal». redes gubernamentales.»
Como parte de 25-01, todavía se recomienda a las agencias implementar herramientas de evaluación de configuración automatizadas desarrolladas por CISA para compararlas con las líneas de almohadilla, integrarlas con la infraestructura de monitoreo continuo de la agencia y tocar cualquier desviación de las líneas de almohadilla de configuración segura.
Si adecuadamente las líneas almohadilla están actualmente limitadas a Microsoft 365 (Azure Active Directory/Entra ID, Microsoft Defender, Exchange Online, Power Platform, SharePoint Online, OneDrive y Microsoft Teams), la agencia de ciberseguridad dijo que puede difundir líneas almohadilla de configuración segura SCuBA adicionales para otras nubes. productos.
La BOD, denominada Implementación de prácticas seguras para servicios en la aglomeración, exige principalmente que todas las agencias federales cumplan una serie de plazos el próximo año:
- Identifique a todos los inquilinos de la aglomeración, incluido el nombre del inquilino y la agencia/componente propietario del sistema para cada inquilino a más tardar el 21 de febrero de 2025 (se actualizará anualmente)
- Implementar todas las herramientas de evaluación de SCuBA para los inquilinos de la aglomeración internamente del valor a más tardar el 25 de abril de 2025 e integrar los resultados de la utensilio con la infraestructura de monitoreo continuo de CISA o informarlos manualmente trimestralmente.
- Implementar todas las políticas obligatorias de SCuBA a más tardar el 20 de junio de 2025.
- Implementar todas las actualizaciones futuras de las políticas obligatorias de SCuBA internamente de los plazos especificados.
- Implementar todas las líneas almohadilla de configuración segura de SCuBA obligatorias y comenzar el monitoreo continuo de nuevos inquilinos de la aglomeración ayer de otorgar una autorización para efectuar (ATO)
CISA todavía recomienda insistentemente a todas las organizaciones que implementen estas políticas para disminuir los riesgos potenciales y mejorar la resiliencia en todos los ámbitos.
«Sostener líneas de almohadilla de configuración seguras es fundamental en el panorama dinámico de la ciberseguridad, donde los cambios de proveedores, las actualizaciones de software y las mejores prácticas de seguridad en progreso dan forma al entorno de amenazas», dijo CISA. «Legado que los proveedores lanzan con frecuencia nuevas actualizaciones y parches para tocar las vulnerabilidades, las configuraciones de seguridad todavía deben ajustarse».
«Al refrescar periódicamente las configuraciones de seguridad, las organizaciones aprovechan las últimas medidas de protección, reduciendo el aventura de violaciones de seguridad y manteniendo mecanismos de defensa sólidos contra las amenazas cibernéticas».
CISA impulsa el uso de servicios E2EE
La nota de la Directiva Operativa Vinculante llega cuando CISA ha publicado una nueva asesor sobre las mejores prácticas de comunicaciones móviles en respuesta a las campañas de ciberespionaje orquestadas por actores de amenazas vinculados a China, como Salt Typhoon, dirigidas a empresas de telecomunicaciones estadounidenses.
«Las personas mucho atacadas deben contraer que todas las comunicaciones entre dispositivos móviles -incluidos los dispositivos gubernamentales y personales- y los servicios de Internet corren el aventura de ser interceptados o manipulados», dijo CISA.
Con ese fin, se recomienda a las personas que ocupan altos cargos gubernamentales o políticos de detención nivel que:
- Utilice sólo aplicaciones de correo cifradas de extremo a extremo (E2EE), como Signal
- Habilite la autenticación multifactor (MFA) resistente al phishing
- Deje de utilizar SMS como segundo creador de autenticación
- Utilice un administrador de contraseñas para juntar todas las contraseñas
- Establezca un PIN para cuentas de teléfonos móviles para evitar ataques de intercambio de módulo de identidad de suscriptor (SIM)
- Modernizar el software periódicamente
- Cambie a dispositivos con el hardware más flamante para rendir las funciones de seguridad críticas
- No utilice una red privada aparente (VPN) personal correcto a «políticas de seguridad y privacidad cuestionables»
- En dispositivos iPhone, habilite el modo de sitio, deshabilite la opción de despachar un iMessage como mensaje de texto, proteja las consultas del sistema de nombres de dominio (DNS), active la retransmisión privada de iCloud y revise y restrinja los permisos de las aplicaciones.
- En dispositivos Android, priorice la fabricación de modelos de fabricantes que tengan un historial de compromisos de seguridad, use Rich Communication Services (RCS) solo si E2EE está gestor, configure DNS para usar un solucionador confiable, habilite la protección mejorada para navegación segura en Google Chrome, haga asegúrese de que Google Play Protect esté gestor y revise y restrinja los permisos de las aplicaciones
«Si adecuadamente ninguna opción única elimina todos los riesgos, la implementación de estas mejores prácticas mejoría significativamente la protección de las comunicaciones confidenciales contra actores cibernéticos maliciosos y afiliados al gobierno», dijo CISA.
