Estar al tanto de la evolución de las ciberamenazas puede ser un desafío para los profesionales de la ciberseguridad. La rutina diaria deja poco tiempo para dominar las últimas amenazas y herramientas, pero los rangos cibernéticos ofrecen una manera de mantener tus habilidades al día y tal vez divertirte un poco al mismo tiempo.
Los gobiernos, las universidades y las organizaciones de formación en el lugar de trabajo han utilizado estos entornos de formación simulados durante más de dos décadas, que permiten a los usuarios practicar el uso de las redes, sistemas, herramientas y aplicaciones que encontrarán en el campo. Sin embargo, los rangos cibernéticos siguen siendo una herramienta esencial en el arsenal del profesional de la ciberseguridad que busca estar al tanto de las amenazas emergentes y las nuevas tecnologías.
Más recientemente, el mes pasado, la Universidad Nacional de Aviación de Ucrania lanzó Cyber Range UA, una plataforma virtual dedicada a simular ataques del mundo real, como parte de un esfuerzo por brindar Formación en ciberseguridad en Ucrania. Y el pasado mes de octubre, el Marina de los EE. UU. El Departamento de Defensa anunció la apertura del cuarto campo cibernético del Departamento de Defensa, el Campo Cibernético Nacional en la Estación Aeronaval del Río Patuxent, dedicado a iniciativas de prueba y entrenamiento para aeronaves, sus sistemas submarinos y tecnologías de apoyo. Sus otras instalaciones de terreno cibernético se centran en la Fuerza Aérea, submarinos y barcos, así como en el entrenamiento de fuerzas de misión.
“Además de ser la más capaz, la tecnología de defensa también debe ser ciberresiliente”, dijo en un comunicado de prensa John Ross, subdirector del National Cyber Range, parte de la División de Aeronáutica del Centro de Guerra Aérea Naval (NAWCAD). liberar. “Reforzamos los sistemas de combate realizando evaluaciones de vulnerabilidad y recomendando medidas de mitigación, evitando que los adversarios roben nuestros datos o neutralicen nuestra tecnología. »
Cyber Ranges como empresa
Pero no todos los campos de tiro cibernéticos son juegos de guerra. En el sector privado, el Instituto SANS ha organizado su competencia de campo de tiro cibernético NetWars para la comunidad de ciberseguridad en general desde 2009, y su Holiday Hack Challenge gratuito reúne a alrededor de 20.000 participantes cada año. SANS organiza una variedad de competencias de campos de tiro cibernéticos para individuos y equipos, todas enfocadas en garantizar que los profesionales de la ciberseguridad estén en la cima de su juego.
“¿Cómo se mantiene la preparación para la misión?” ¿Cómo te aseguras de estar siempre listo? Ahí es donde entran los campos de tiro”, dice Ed Skoudis, presidente del Instituto de Tecnología SANS, que dirige el equipo que desarrolla campos de tiro cibernéticos para SANS.
La organización diseña sus rangos para desarrollar habilidades del mundo real en un entorno de juego. Algunos rangos están diseñados para completarse en tres a seis horas, mientras que otros son accesibles durante un período de cuatro meses, dependiendo de la complejidad y el tiempo que los usuarios y las empresas necesitan. son capaces de dedicar. SANS también crea líneas personalizadas para clientes que buscan fortalecer habilidades específicas o experimentar simulaciones de capacitación relevantes para el negocio.
“A veces los clientes acuden a nosotros con una necesidad muy específica”, explica Skoudis. “Necesitan un producto con contenido específico, tal vez una combinación particular de proveedores de nube, una solución SIEM particular o desafíos particulares asociados con ciertas aplicaciones u ofertas SaaS. Vienen a nosotros y les creamos gamas personalizadas. »
Los miembros del equipo se aseguran de estar actualizados con las amenazas y los entornos tecnológicos actuales trabajando como consultores de ciberseguridad o diseñadores de línea.
“Aprendemos cosas del mundo real, las construimos en el rango, vemos a la gente atacarlas y diseccionarlas, y hacer todo tipo de cosas con ellas, y luego podemos tomar eso y aplicarlo en nuestros servicios de consultoría”, Skoudis. explica. “Se trata, por tanto, de un círculo virtuoso de asesoramiento y desarrollo de gamas. »
Al mismo tiempo, los diseñadores se esfuerzan por hacer que la participación sea tan divertida como conveniente, independientemente de su éxito, añade.
“Intentamos que nuestras competiciones sean divertidas”, dice Skoudis. “Quiero que la persona que quedó en el puesto 92… diga: ‘Realmente lo disfruté'”. Aprendí de esta experiencia. Lo pasé muy bien. Me convertí en un mejor profesional de la ciberseguridad después de participar en esta competencia, a pesar de que terminé en el puesto 92. »
La gamificación al servicio de la seguridad nacional
La agencia Home Team Science & Technology (HTX) de Singapur encargó recientemente una gama cibernética personalizada a SANS para ayudar fortalecer habilidades de sus practicantes de una manera atractiva.
“La gamificación de la ciberseguridad ayuda a crear conciencia sobre nuevas superficies de ataque de tecnologías emergentes, como la inteligencia artificial (IA), de una manera más atractiva”, dice Tay Sze Ying, Jefe de Inteligencia y Búsqueda de ciberamenazas en xCybersecurity en HTX. “También permite a los participantes comprender mejor cómo se utilizan estas tecnologías emergentes en la seguridad nacional y el impacto potencial que tienen en la vida diaria. También esperábamos que los equipos participantes pudieran, a través de esta iniciativa, explorar la utilidad de la IA para investigar incidentes cibernéticos en dispositivos IoT (Internet de las cosas), como drones y cámaras en red. »
El liderazgo de la agencia buscaba formas innovadoras de evaluar las habilidades de ciberseguridad del equipo, tanto a nivel local como internacional, y la alta dirección estaba entusiasmada con la idea de la gamificación cuando se trataba de casos de uso de seguridad nacional, dice Tay.
El mayor desafío del equipo fue encontrar una manera de completar el proyecto dentro del plazo ajustado.
“Durante este viaje, tuvimos que adaptarnos rápidamente a la dinámica de organizar un evento físico a gran escala, articular contextos de seguridad nacional para desafiar a los desarrolladores e incluso validar cada uno de los desafíos técnicos en el dominio cibernético”, explica Tay. “Fue una experiencia realmente enriquecedora y memorable. Ahora que hemos adquirido experiencia en esta área, exploraremos la posibilidad de crear formatos de competencia más innovadores en el futuro. »
Gamas cibernéticas integradas
Las empresas también están ideando nuevas formas de aprovechar el alcance cibernético para la capacitación y diferenciar sus ofertas de competencia. Por ejemplo, el proveedor de servicios gestionados de detección y respuesta Critical Start ha integrado una función de rango cibernético en su panel para que los clientes puedan practicar cómo responder a las alertas del sistema en tiempo real. La función Cyber Range está disponible de forma gratuita para todos los clientes de servicios gestionados de Critical Start, pero también es una valiosa herramienta de ventas e incorporación, afirma Chris Carlson, director de productos de Critical Start.
“A medida que los conectamos a herramientas de seguridad y los integramos con su servicio MDR, sus analistas ahora pueden comenzar a buscar alertas reales, seleccionadas y anónimas y comenzar de inmediato”, dice Carlson. “Ahora pueden empezar a entrenar y estar preparados cuando estas alertas empiecen a producirse”. »
La compañía espera que esta oferta sea lo más destacado para sus clientes, ya que proporciona una manera fácil de continuar capacitándose y aprendiendo cómo combatir las amenazas emergentes mientras está en el trabajo. La compañía continuará actualizando su línea a medida que se desarrollen amenazas.
“No hay mucha formación para los profesionales de la ciberseguridad, ¿verdad? Tienen ciertas calificaciones, consiguen el trabajo y trabajan 50 horas a la semana, sin tiempo para aprender”, dice Carlson. “Ahora es una capacidad integrada en la misma plataforma en la que realizan sus negocios todos los días. »