¿Qué es un vector de ataque? Tipos habituales y defensas

Un vector de ataque es el camino o método concreto que usa un atacante para obtener acceso no autorizado a un sistema, una red o unos datos: la vía de entrada. Un correo de phishing, una contraseña robada, un servidor sin parchear expuesto a internet, un bucket en la nube mal configurado, un proveedor comprometido: cada uno es un vector distinto, una forma distinta de pasar de fuera de tu control a dentro.

Vector de ataque frente a superficie de ataque

Estos dos términos están muy relacionados y a menudo se confunden, así que conviene fijarlos primero.

• La superficie de ataque es el conjunto total de puntos por los que un atacante podría intentar entrar: cada servicio expuesto, puerto abierto, endpoint, cuenta de usuario, API e integración con terceros que tienes.
• Un vector de ataque es una vía concreta a través de esa superficie que un atacante usa de verdad: un correo de phishing concreto, un servidor sin parchear concreto, una credencial filtrada concreta.

La relación es directa y merece interiorizarse: cuanto mayor es tu superficie de ataque, más vectores tiene a su disposición un atacante, y reducir la superficie eliminando la exposición innecesaria elimina directamente vectores. La superficie es el conjunto de puertas y ventanas; un vector es por la que trepa el intruso. Por eso «reduce la superficie de ataque» es un consejo tan constante: es la forma más barata de quitar vectores del tablero por completo.

Los vectores habituales

Un conjunto relativamente pequeño de vectores explica la gran mayoría de los compromisos reales. Conocerlos te dice dónde compensa el esfuerzo defensivo.

• Phishing e ingeniería social. Engañar a una persona para que haga clic en un enlace, abra un adjunto, introduzca credenciales o apruebe una petición. Manipular a una persona suele ser más barato que vencer a la tecnología, y por eso sigue siendo uno de los vectores iniciales más habituales.
• Credenciales robadas, débiles o reutilizadas. Un inicio de sesión válido permite a un atacante entrar por la puerta principal sin ningún exploit. La reutilización de contraseñas y el robo de credenciales convierten una brecha en muchas.
• Vulnerabilidades conocidas sin parchear. Un servicio expuesto con un fallo conocido y sin corregir es una invitación permanente. La mayoría de los compromisos usan vulnerabilidades conocidas, no zero-days: la diferencia está en la velocidad de parcheo, no en la genialidad del atacante.
• Configuración incorrecta. Almacenamiento, bases de datos o servicios que quedan abiertos, accesos demasiado permisivos, credenciales por defecto que nunca se cambiaron. Son vectores autoinfligidos que la monitorización continua detecta y una configuración puntual no.
• Compromiso de la cadena de suministro. Entrar a través de un proveedor, un contratista o una actualización de software de confianza, de modo que el acceso malicioso llega envuelto en legitimidad.
• Amenaza interna. Una persona malintencionada o simplemente descuidada que ya tiene acceso, y que se salta por completo el perímetro.
• Acceso físico. Dispositivos robados, entradas no autorizadas, soportes que no se destruyeron: el acceso físico derrota muchos controles lógicos.

El patrón recurrente es que dominan las personas, las credenciales y la exposición sin parchear. Los vectores exóticos copan los titulares; los corrientes hacen la mayor parte del daño.

Razonar sobre los vectores: el modelado de amenazas

No puedes defender vectores que no has identificado. La disciplina de enumerar las formas realistas en que un atacante podría llegar a un activo concreto, y de decidir qué controles bloquean cada una, es el modelado de amenazas. Bien hecho, convierte una preocupación vaga por «que nos hackeen» en una lista concreta de vectores con un control con nombre frente a cada uno, y saca a la luz el vector que ahora mismo no tiene nada delante. Pensar en vectores encaja además de forma natural con la detección: cuando conoces los caminos, sabes dónde colocar sensores como un sistema de detección de intrusiones para que se vea cualquier intento de usar un vector.

Cómo defenderse

Defenderse de los vectores de ataque significa hacer dos cosas a la vez: reducir cuántos vectores existen y superponer controles para que ningún vector concreto sea decisivo.

• Reduce la superficie. Elimina los servicios, cuentas, puertos y exposiciones innecesarios. Cada eliminación borra vectores de golpe. El caso clásico es la compartición de archivos de Windows: SMB en el puerto 445 nunca debería estar expuesto a internet.
• MFA resistente al phishing. Ataca directamente los vectores del phishing y de las credenciales robadas (los dos mayores) haciendo que una contraseña robada no baste por sí sola.
• Parchea rápido. Cierra los vectores de vulnerabilidades en todo lo expuesto, con prioridad para lo que está de cara a internet y se está explotando activamente.
• Bastiona las configuraciones y monitorízalas de forma continua, para que los vectores de configuración incorrecta se cierren y sigan cerrados.
• Revisa a tus proveedores para abordar los vectores de la cadena de suministro, y limita a qué pueden llegar los terceros.
• Impón el mínimo privilegio y segmenta la red para que, incluso cuando un vector tenga éxito, llegue a lo menos posible.
• Forma a las personas, porque los vectores humanos los defienden en parte las propias personas.

Esto no es más que la defensa en profundidad expresada en el lenguaje de los vectores, y encaja con una postura de zero trust que se niega a tomar cualquier vector con éxito como motivo para confiar en lo que viene después. El objetivo nunca es hacer perfecta una vía; es asegurarse de que cerrar, o no cerrar, cualquier vector concreto no entregue a un atacante todo el entorno.

Preguntas frecuentes

¿Qué es un vector de ataque? El método o camino concreto que usa un atacante para obtener acceso no autorizado: phishing, credenciales robadas, una vulnerabilidad sin parchear, una configuración incorrecta, un proveedor comprometido, una persona interna o el acceso físico.

¿En qué se diferencia de la superficie de ataque? La superficie de ataque es cada posible punto de entrada; un vector de ataque es una vía concreta a través de ella que un atacante usa de verdad. Una superficie más pequeña significa menos vectores.

¿Cuáles son los vectores más habituales? El phishing y la ingeniería social, las credenciales robadas o débiles y las vulnerabilidades conocidas sin parchear, seguidos de la configuración incorrecta, el compromiso de la cadena de suministro, las personas internas y el acceso físico.

¿Cuál es el vector de ataque más habitual? El phishing y la ingeniería social, normalmente combinados con credenciales robadas o débiles, porque manipular a las personas y usar inicios de sesión válidos suele ser más fácil que vencer a la tecnología.

¿Cómo te defiendes de ellos? Reduce la superficie de ataque y superpón controles independientes: MFA resistente al phishing, parcheo rápido, bastionado y monitorización, revisión de proveedores, mínimo privilegio, segmentación y formación de concienciación.