Vam tancar el mòdul anterior amb el mapa del terreny de Nimbus Reservas: el seu inventari de 22 actius, la seva superfície d'atac mesurada en cinc dimensions, els actors que la podrien atacar i un primer modelatge STRIDE sobre la seva arquitectura. Ara entrem en el conflicte. Però abans de recórrer atacs i defenses convé delimitar el camp: què és exactament la ciberseguretat, què abasta, com s'organitza la disciplina i qui fa què. Sense aquest mapa, la seguretat es converteix en una col·lecció desordenada de mesures —un antivirus per aquí, un tallafoc per allà— sense manera de saber què falta. Aquesta lliçó et dona l'estructura: els dominis en què es divideix la feina, els marcs de referència que l'organitzen (amb el NIST Cybersecurity Framework com a columna vertebral), els rols i equips de la indústria i la seva traducció a una empresa de 38 persones, i el cicle de vida d'un atac, que serà l'esquelet sobre el qual es construeixen les cinc lliçons següents.

1. Què és la ciberseguretat i en què es diferencia de la seguretat de la informació
2. Els dominis de la ciberseguretat i qui els porta en una pime
3. Marcs de referència: el NIST Cybersecurity Framework
4. Altres marcs del mapa: ISO/IEC 27001, CIS Controls i MITRE ATT&CK
5. Rols i equips: Blue Team, Red Team, Purple Team, SOC i CSIRT
6. El cicle de vida d'un atac: Cyber Kill Chain i ATT&CK
7. Què NO és ciberseguretat: tres mites cars
8. El mapa del mòdul 2

A la lliçó 01-01 vam establir la distinció entre els tres termes i va quedar fixada; aquí només la reprenem per situar el focus d'aquest mòdul.

La paraula que defineix la ciberseguretat és adversari. La seguretat de la informació s'ocupa també d'accidents, errors i desastres naturals. La ciberseguretat s'ocupa específicament d'algú —persona o programa automatitzat— que vol que alguna cosa surti malament i que s'adapta quan li poses una barrera.

Aquesta diferència té una conseqüència pràctica enorme:

• Una fallada de disc no canvia d'estratègia quan hi poses un RAID. Un atacant sí que canvia de vector quan tanques un port.
• Per això la ciberseguretat és antagònica i evolutiva: no és un estat que s'assoleix, és una competició contínua contra un oponent intel·ligent que també aprèn. Aquesta és la idea del «cicle continu» de 01-01, ara amb nom i cognoms.

A la pràctica professional els tres termes s'usen com a sinònims i ningú no et corregirà. L'important no és el vocabulari, sinó no deixar forats: si Nimbus només pensa en «ciberseguretat» entesa com a sistemes, s'oblidarà del full de nòmines imprès damunt la taula i de la dada que el Rubén dicta per telèfon a qui diu ser l'administrador d'una clínica. Aquest mòdul se centra en l'adversari; el paper i el telèfon també hi apareixen, perquè l'adversari els fa servir.

La disciplina es divideix en dominis: àrees de treball amb tècniques, eines i perfils professionals propis. En una empresa gran cada domini és un equip; a Nimbus, amb 38 persones, cada domini és una responsabilitat assignada a algú que a més fa altres coses. Aquesta és la traducció realista, i és la que fem a l'última columna.

Tres lectures d'aquesta taula que importen més que la taula:

1. Tots els noms es repeteixen. La Lucía apareix en cinc dominis. Això no és un defecte de l'exemple: és la realitat d'una pime i és en si mateix un risc —el que ja vas identificar com a A-21, «coneixement operatiu de la Lucía»—. La resposta no és contractar deu especialistes, sinó prioritzar, automatitzar i documentar perquè el coneixement no visqui en un sol cap.
2. Cap domini no pot estar buit. Si ningú no té assignat el factor humà, ningú no dissenya la defensa contra el vector pel qual entren la majoria dels incidents. Un domini sense propietari és un domini sense defensa; és l'aplicació de la regla del propietari de l'inventari de 01-04, ara a les funcions i no als actius.
3. Els dominis se solapen i aquest solapament és on es perden les coses. Qui revisa els permisos IAM del bucket d'adjunts: la persona de núvol o la d'identitats? A Nimbus són la mateixa, però així que creixi caldrà decidir-ho explícitament. Les bretxes solen passar a les costures entre dominis, no al centre de cap.

Un marc de referència és una estructura que organitza la feina de seguretat perquè puguis respondre a dues preguntes incòmodes: què ens falta? i per on comencem? Sense marc, la seguretat avança per impulsos: es compra el que un comercial ha venut bé o el que ha espantat en una notícia.

El NIST Cybersecurity Framework (CSF), en la seva versió 2.0, és el més útil per començar perquè no és una llista de productes ni una certificació: és una descripció de funcions que qualsevol organització ha de cobrir, de la mida que sigui.

Les sis funcions, amb la pregunta que respon cadascuna i el seu estat real a Nimbus:

Per què aquest marc és tan valuós per a una pime: la taula anterior, feta en una hora en una pissarra, ja és un diagnòstic. Nimbus descobreix que la seva debilitat no és on creia —«ens falta un tallafoc millor», que seria Protegir— sinó a Detectar, Respondre i Governar. I són precisament les funcions que gairebé cap producte no et ven, perquè no es compren: s'organitzen.

L'error de repartiment més comú. Les organitzacions concentren el 90 % de l'esforç a Protegir perquè és el que té forma de producte. Però el principi «assumeix la bretxa» de 01-03 diu que la protecció fallarà alguna vegada; quan falli, l'única cosa que redueix el dany és com de bé detectes, respons i recuperes. Un equip que detecta en 20 minuts i conté en una hora pateix un incident. Un que detecta al cap de tres mesos pateix una bretxa.

Nota: la versió 2.0 del CSF va afegir la funció Governar precisament perquè l'experiència va mostrar que les fallades rarament són tècniques en la seva arrel: són fallades de decisió, d'assignació de responsabilitat o de supervisió de tercers. Els detalls normatius i de certificació es tracten a 06-02; aquí ens quedem amb el mapa.

No hi ha un marc únic, i no competeixen entre si: responen a preguntes diferents. Saber quin serveix per a què evita perdre mesos aplicant l'equivocat.

Com es combinen a la pràctica, que és el que gairebé mai no s'explica:

• El CSF et diu quines funcions cobrir → és l'índex.
• Els CIS Controls et diuen què fer primer → és la llista de tasques. El seu «Grup d'Implementació 1» (IG1) està pensat exactament per a organitzacions de la mida de Nimbus, amb recursos limitats.
• ATT&CK et diu contra què comprovar-ho → és l'examen. Cada tècnica del catàleg és una pregunta: «si això passés aquí, ho veuríem?».
• ISO 27001 et diu com demostrar-ho → és el certificat que ensenyes a un client.

Per a Nimbus avui, la resposta raonable és: diagnòstic amb CSF, execució amb CIS IG1, verificació amb ATT&CK i ISO quan el mercat ho demani. Perseguir la certificació abans de tenir els bàsics és construir la teulada abans que els fonaments — i a més surt car.

El vocabulari d'equips ve de l'àmbit militar i apareix constantment a la literatura i a les ofertes de feina. Convé entendre'l, i convé sobretot entendre com es tradueix quan no tens equips.

Dos matisos que sovint es confonen:

• Red Team ≠ prova de penetració. Una prova de penetració busca trobar tantes vulnerabilitats com sigui possible en un abast acotat i amb l'organització avisada. Un exercici d'equip vermell busca assolir un objectiu concret («arribar a la base de dades de clients») imitant un adversari real, i avalua tant les defenses com la capacitat de detecció. Es desenvolupa a 05-03.
• SOC ≠ CSIRT. El SOC vigila i detecta; el CSIRT respon quan ja hi ha incident confirmat. En una empresa petita són la mateixa persona, però la distinció de funcions continua sent útil, perquè vigilar i respondre requereixen estats mentals oposats: un és rutina sostinguda, l'altre és crisi.

Nimbus no té ni tindrà un SOC. I no el necessita. El que sí que necessita és que cap de les cinc funcions no estigui a zero. La traducció realista:

La regla de l'equip petit: amb recursos limitats, la prioritat no és fer moltes coses malament, sinó triar-ne poques i fer-les de debò. Deu alertes que ningú no mira valen menys que dues que algú atén sempre. Cinc polítiques sense aplicar valen menys que una d'aplicada.

Aquest apartat és el més important de la lliçó, perquè estructura tot el mòdul. Un atac real no és un esdeveniment instantani: és una seqüència de fases, i aquesta seqüència és una bona notícia per al defensor. Si l'atacant ha d'encadenar set passos i tu en trenques un, l'atac no completa el seu objectiu.

La Cyber Kill Chain, formulada per Lockheed Martin, descriu set fases:

Quina defensa correspon a cada fase, que és per al que serveix el model:

Les tres idees que cal endur-se'n:

1. La defensa no ha de ser perfecta en totes les fases; ha de funcionar en una. Això és exactament la defensa en profunditat de 01-03, ara vista sobre l'eix del temps en lloc de l'eix de les capes.
2. Com abans trenquis la cadena, més barat surt. Tancar un port (fase 3) costa cinc minuts. Respondre a una exfiltració (fase 7) costa mesos, diners i clients.
3. La detecció importa en totes les fases, no només a l'última. Cada fase deixa senyals. El problema de Nimbus no és que no hi hagi senyals: és que ningú no els mira.

La Kill Chain és un model lineal i senzill, ideal per explicar. Té dues limitacions: els atacs reals no són estrictament lineals (es torna enrere, s'itera) i el model es queda curt en tot el que passa un cop a dins. Aquí entra MITRE ATT&CK, un catàleg de tàctiques (el per a què) i tècniques (el com) observades en incidents reals.

Fixa't en el desequilibri: l'última fase de la Kill Chain s'expandeix en sis tàctiques d'ATT&CK. Això reflecteix la realitat: la major part de la feina d'un atacant passa després d'entrar —descobrir la xarxa, robar credencials, moure's lateralment, recol·lectar dades— i sol durar dies o setmanes. És precisament la finestra en què un defensor amb bona detecció encara pot guanyar.

L'ús pràctic d'ATT&CK per a Nimbus no és memoritzar-lo, sinó fer-lo servir com a llista de comprovació de detecció: agafar deu tècniques rellevants per al seu entorn i preguntar-se, una per una, «si això passés avui, ho veuríem en algun registre?». Es desenvolupa a 05-02.

Els mites no són innocents: cadascun es tradueix en una decisió concreta que deixa un forat concret.

Per què és fals. Repassa el mòdul 1: la classificació de la informació la decideix qui coneix el negoci, no qui administra el servidor. La verificació d'una transferència la fa la Sara. Qui detecta un correu estrany és qualsevol dels 38. Qui decideix si s'accepta un risc és la Marta.

Conseqüència de creure-ho. Si la Lucía és «la responsable de seguretat», la Sara no se sent responsable de verificar un compte bancari per telèfon, i l'Iván no se sent responsable de validar entrades. La seguretat queda a càrrec d'una persona que no controla la majoria dels punts de fallada.

Formulació correcta: IT i seguretat són facilitadors i coordinadors; la responsabilitat és distribuïda i la rendició de comptes és de la direcció. Aquesta és la funció Governar del CSF.

Per què és fals. Tots dos són controls útils, i cap no cobreix el que més passa:

Conseqüència de creure-ho. Es compra producte i es declara resolt el problema. Però les tres funcions que més li falten a Nimbus —Governar, Detectar, Respondre— no es compren.

Formulació correcta: les eines són necessàries i no suficients. La proporció sana en una pime és aproximadament un terç eines, un terç configuració i procés, un terç persones.

Aquest ja el vam desmuntar a 01-04 amb la cadena de l'atac oportunista. Hi afegim aquí els quatre arguments que el tanquen definitivament:

1. L'escaneig és massiu, barat i continu. Escanejar l'espai complet d'adreces IPv4 buscant un port concret és qüestió d'hores i d'un cost ridícul. Una IP pública acabada d'assignar comença a rebre sondejos automatitzats en qüestió de minuts. Ningú no va decidir atacar Nimbus: un programa va trobar un port.
2. La rendibilitat afavoreix els petits. Una gran empresa té equip de seguretat, pressupost i detecció. Una pime té dades valuoses, dependència total dels seus sistemes i moltes menys defenses. Per a un grup de ransomware que actua a escala, cent víctimes petites i mal defensades són millor negoci que una de gran i ben defensada.
3. Les pimes són la porta d'entrada a les grans. Nimbus dona servei a clíniques i acadèmies, i té accés remot d'una consultora. Un atacant que vulgui arribar a un client concret pot entrar pel proveïdor. És el patró de la cadena de subministrament que analitzarem a 02-06 amb casos reals.
4. L'impacte relatiu és més gran. Una gran empresa absorbeix una aturada de tres dies. Nimbus, amb un SaaS del qual depenen agendes de clíniques en marxa, no pot: cada hora d'aturada són clíniques que no poden atendre i contractes que no es renoven.

Conclusió del mite 3: la pregunta correcta no és «som interessants?», sinó «som abastables i explotables?». La primera pregunta la respon l'ego; la segona, un escàner.

Amb el vocabulari i els models ja col·locats, aquest és el recorregut de les cinc lliçons que vénen, articulat sobre la Kill Chain:

• 02-02 recorre els atacs tècnics ordenats per fase de la cadena.
• 02-03 s'atura en l'enginyeria social, que és la fase de lliurament dominant en incidents reals.
• 02-04 presenta el catàleg de defenses que contraresta l'anterior, capa a capa.
• 02-05 aprofundeix en identitat i control d'accés, perquè quan el perímetre es difumina la identitat és el nou perímetre.
• 02-06 analitza incidents reals i tanca amb un cas complet de Nimbus.

Errors comuns:

• Adoptar un marc sencer de cop. Intentar implantar els 18 controls de CIS o certificar-se en ISO 27001 en un trimestre garanteix l'abandonament. Els marcs es fan servir per parts i de forma iterativa.
• Confondre marc amb producte. Cap fabricant no «et dona» el NIST CSF. El marc organitza la teva feina; les eines cobreixen parts concretes.
• Concentrar tot l'esforç a Protegir. És el repartiment més comú i el més desequilibrat. Detectar i Respondre són les funcions que decideixen la mida del dany.
• Copiar l'organigrama d'una empresa gran. Nimbus no necessita un SOC ni un CISO a temps complet; necessita que les funcions tinguin propietari, encara que el propietari faci tres coses més.
• Fer servir la Kill Chain com si fos lineal i estricta. Els atacants iteren, retrocedeixen i salten fases. El model és una eina de raonament, no una descripció literal.
• Creure que ATT&CK s'ha d'aprendre de memòria. És un catàleg de consulta. Es fa servir per tècniques concretes i rellevants per al teu entorn, no de memòria.
• Tractar els mites com un problema d'ignorància aliena. Els mites sobreviuen perquè són còmodes: permeten no gastar, no canviar processos i no assumir responsabilitat.

Consells:

• Fes la taula de l'apartat 3 per a la teva organització real, amb les sis funcions i una columna de «situació honesta». És el millor diagnòstic per hora invertida que existeix.
• Assigna un propietari nominal a cada domini de l'apartat 2, encara que sigui la mateixa persona en diversos. Un domini sense nom propi és un domini sense defensa.
• Quan avaluïs una mesura nova, pregunta't en quina fase de la cadena actua. Si totes les teves mesures actuen en la mateixa fase, tens una defensa gruixuda i fràgil.
• Reserva temps de seguretat al calendari, no a les intencions. El que no està agendat no passa en una empresa de 38 persones.
• Comença a llegir ATT&CK per una sola tàctica —Initial Access— i compara-la amb la superfície d'atac que vas mesurar a 01-04.

Amb la informació acumulada al mòdul 1 (inventari A-01…A-22, troballes del descobriment, modelatge STRIDE), situa cadascun d'aquests set fets a la funció del CSF que resulta afectada, indica si és una mancança o un punt fort, i proposa una acció concreta de millora.

1. El python -m http.server feia 94 dies que corria i ningú no se n'havia adonat.
2. El rol nimbus_api no té permís de DELETE ni accés a la taula de nòmines.
3. Existeixen còpies de seguretat del bucket nimbus-backups-prod, però mai no s'ha provat una restauració completa.
4. Ningú no sap a qui caldria trucar si a les 3 de la matinada es xifressin els servidors.
5. La consultora externa té accés remot administratiu permanent, sense data de caducitat i sense contracte que detalli què pot fer.
6. Els adjunts se serveixen mitjançant URL signades que caduquen als 120 segons.
7. El grup de seguretat tenia el port 22 obert a 0.0.0.0/0 i es va descobrir per casualitat en revisar l'inventari.

La Marta et demana que li proposis un repartiment formal de responsabilitats de seguretat entre les cinc persones de l'equip directiu i tècnic (Marta, Iván, Lucía, Rubén i Sara), sabent que ningú no pot dedicar més d'un 10 % del seu temps a seguretat. Per a cadascun dels deu dominis de l'apartat 2, indica: responsable principal, què faria concretament en el seu 10 % i què s'externalitza.

Justifica a més una decisió difícil: qui hauria de ser el responsable últim de seguretat de Nimbus i per què?

Un atacant executa la seqüència següent contra Nimbus:

1. Troba en un repositori públic de GitHub un fitxer de configuració antic pujat per error, amb el nom del subdomini intern admin-old.nimbusreservas.example.
2. Comprova que aquest subdomini continua resolent i que serveix un tauler d'administració obsolet sense MFA.
3. Hi prova una llista de contrasenyes filtrades d'altres bretxes amb els correus de l'equip, trobats en perfils professionals públics.
4. Entra amb un compte antic d'un empleat que se'n va anar fa un any i que ningú no va desactivar.
5. Des d'aquest tauler, extreu un token d'API amb permisos amplis.
6. Fa servir el token contra l'API de producció per exportar dades de clients durant tres setmanes, en lots petits.

Es demana: (a) assigna cada pas a la seva fase de la Kill Chain; (b) per a cada pas, indica una mesura que l'hauria trencat; (c) assenyala en quin pas hauria estat més barat trencar-lo i en quin hauria estat més probable detectar-lo.

Solució 1

Lectura del conjunt: els dos punts forts són tots dos a Protegir, i les mancances greus a Detectar, Respondre i Governar. Nimbus és un cas de manual del desequilibri descrit a l'apartat 3: sap construir defenses, però no sap si funcionen ni què fer quan fallin.

Solució 2

La decisió difícil. El responsable últim ha de ser la Marta (CTO), i no la Lucía, per tres raons: (a) la seguretat implica acceptar riscos, i acceptar un risc és una decisió de negoci que requereix autoritat, no coneixement tècnic; (b) si el responsable és qui administra els sistemes, es jutja a si mateix —es trenca la separació de funcions de 01-03—; (c) les decisions més importants pendents (contracte de la consultora, pressupost, política, comunicació a clients) no són tècniques. La Lucía és la responsable operativa; la Marta, la responsable última. I convé escriure-ho, perquè una responsabilitat que no està escrita es dilueix així que hi ha pressió de lliurament.

Solució 3

(c) On trencar-lo:

• Més barat: el pas 2. Esborrar un registre DNS obsolet costa un minut i no requereix cap eina. Sense aquest subdomini, els passos 3 a 6 no existeixen. És la il·lustració perfecta de per què reduir superfície és la inversió més rendible.
• Més probable de detectar: el pas 3 i el pas 6. Una ràfega d'intents d'autenticació fallits contra un tauler és un senyal molt visible en qualsevol registre; una exportació sostinguda i anòmala durant tres setmanes també ho és, si algú ho mira. Que l'atac durés tres setmanes no indica sofisticació de l'atacant: indica absència de la funció Detectar.

Observació final: cap dels sis passos no requereix una vulnerabilitat de programari ni un exploit. Tot l'atac es recolza en higiene: un fitxer pujat per error, un subdomini oblidat, contrasenyes reutilitzades, una baixa mal executada i un token permanent. És la forma habitual dels incidents reals, i la raó per la qual els bàsics rendeixen desproporcionadament.

Ja saps quin terreny trepitges. La ciberseguretat es distingeix pel seu objecte: un adversari que s'adapta, i d'aquí que sigui una disciplina antagònica i evolutiva en lloc d'un estat que s'assoleix. Has vist que s'organitza en dominis —xarxes, aplicacions, dada, identitat, operacions, núvol, física, factor humà, continuïtat i govern— i que en una empresa de 38 persones cada domini no és un equip sinó una responsabilitat amb nom propi; el que no pot passar és que un domini es quedi sense propietari. El NIST Cybersecurity Framework t'ha donat l'índex amb les seves sis funcions —Governar, Identificar, Protegir, Detectar, Respondre i Recuperar— i, aplicat a Nimbus, ha produït un diagnòstic incòmode però útil: el que falta no són millors defenses, sinó la capacitat de saber si funcionen i de reaccionar quan fallin. Al seu costat hi has col·locat CIS Controls com a llista de tasques, ATT&CK com a examen de detecció i ISO 27001 com a prova davant de tercers.

Has après el vocabulari d'equips —Blue, Red, Purple, SOC i CSIRT— i, més important, la seva traducció realista: no cal un centre d'operacions, cal que cap d'aquestes funcions no estigui a zero. I has incorporat el model que estructura tot el que ve: el cicle de vida d'un atac, amb les seves set fases de la Kill Chain i la seva equivalència amb les tàctiques d'ATT&CK, juntament amb la idea que el fa valuós per al defensor: no necessites guanyar en totes les fases, n'hi ha prou de trencar-ne una, i com abans la trenquis, més barat surt. Finalment has desmuntat els tres mites que deixen forats concrets: que la seguretat és cosa d'IT, que n'hi ha prou amb un antivirus i un tallafoc, i que una empresa petita no l'ataca ningú —quan la pregunta correcta no és si ets interessant, sinó si ets abastable.

Amb el mapa complet, toca mirar de prop l'adversari. A la lliçó següent, Tipus d'Atacs Cibernètics (02-02), recorrerem els atacs tècnics ordenats per les fases de la cadena que acabes d'aprendre: reconeixement, atacs a la xarxa, atacs a credencials, les deu fallades més freqüents d'aplicacions web —inclòs l'IDOR que ja vas corregir a 01-01—, ransomware amb doble extorsió, cadena de subministrament i abús d'API. Cadascun amb el seu exemple mínim sobre l'arquitectura de Nimbus, el seu senyal de detecció i la defensa que el neutralitza.