No hace falta subrayar que las aplicaciones están en el centro mismo de los usos móviles. Salvo en casos muy específicos, los empleados en movilidad necesitan flexibilidad en el uso de sus aplicaciones y deben tener libertad para descargar, además del conjunto de aplicaciones corporativas facilitadas, cualquier otra aplicación que puedan necesitar. Además, no puede ser de otra manera con las configuraciones BYOD (Bring Your Own Device), cada vez más extendidas.
La eficacia de la política de seguridad móvil descansa entonces en la capacidad de la solución de análisis y control de las aplicaciones para detectar correctamente las actividades sospechosas y proteger la información de la empresa aplicando las medidas de seguridad adecuadas.
Entre la masa de información que ofrecen los informes de seguridad de las aplicaciones móviles, es crucial distinguir los verdaderos datos de seguridad de la información inútil. La cantidad no es garantía de calidad y un error habitual es no examinar en detalle la profundidad y la pertinencia de la información facilitada y, por tanto, la capacidad de la solución para extraer una conclusión eficaz sobre la criticidad de las aplicaciones.
Permisos, bibliotecas y comunicaciones, ¿y qué?
Si bien la lista detallada de los permisos, las bibliotecas y las comunicaciones es el buen punto de partida de un análisis, esta evaluación debe completarse con un estudio comportamental más profundo, a fin de ofrecer una comprensión clara de las amenazas inherentes a la aplicación.
En efecto, el examen de los permisos o de las bibliotecas describe las actividades que la aplicación está autorizada o es capaz de realizar, pero ¿en qué medida? Por ejemplo, dar acceso a los contactos a una aplicación social es lógico, pero enviar la lista de contactos del terminal es otra historia.
Tras identificar las conexiones efectuadas por la aplicación (¿son seguras y fiables?, ¿se trata de una conexión esperada dada la naturaleza de la aplicación?), la cuestión central es saber qué datos se intercambian a través de esa conexión.
Por consiguiente, más allá de la enumeración de los permisos, las bibliotecas y las comunicaciones, el objetivo principal es identificar qué hace la aplicación con los datos y si esas actividades son conformes con la política de seguridad de la empresa y, más ampliamente, con la legislación.
La normativa en materia de protección de datos precisa que las empresas son responsables del tratamiento de los datos efectuado por su sistema de información, y los terminales móviles forman parte integrante de él.
Por último, el software malicioso (malware) conocido y desconocido, así como las amenazas avanzadas o persistentes, deben identificarse claramente. El panorama de las amenazas móviles está en constante evolución, con ataques cada vez más avanzados y discretos. La detección de las firmas víricas y del malware estándar es necesaria, pero carece de interés por sí sola. Un mecanismo de detección eficaz debe captar las señales débiles para revelar las actividades malintencionadas.
Una verdadera herramienta de decisión
El control de las aplicaciones es un componente clave de la seguridad móvil y constituye una herramienta de decisión por derecho propio. Es imposible ceder en su precisión, so pena de numerosos falsos positivos y negativos que generan frustración en los usuarios finales, falta de visibilidad para los responsables de seguridad e incumplimiento de la normativa.
La tabla siguiente pretende guiar a las empresas en la evaluación del valor que aporta un informe de análisis de aplicaciones. Si está eligiendo una solución, una comparación paso a paso de los informes de un mismo conjunto de aplicaciones debería permitir identificar las divergencias y capacidades principales entre las soluciones.
Contenido del informe | Fuente | Utilidad a efectos de seguridad | Ejemplo |
Malware conocido | Base de datos | Decisional | Firmas víricas |
Malware desconocido | Análisis comportamental | Decisional | Keylogger, screenlogger, overlay… |
Lista de los permisos solicitados | Datos públicos | Informativa | Acceso a la geolocalización, a los contactos |
Desvíos de un permiso | Análisis comportamental | Decisional | Interceptación de un OTP, fuga de datos… |
Lista de las bibliotecas | Datos públicos | Informativa | Marketing, conexión, desarrollo… |
Bibliotecas que exfiltran los datos | Análisis comportamental | Decisional | Biblioteca de marketing que recupera la información de los usuarios |
Vulnerabilidades de código y de las bibliotecas | Base de datos | Decisional |
|
Manipulación de los datos | Análisis comportamental | Decisional | Envío del registro de llamadas del terminal… |
Tratamiento de datos que pone en riesgo la normativa de protección de datos | Análisis comportamental | Decisional | Datos del usuario (información sobre el usuario y sus contactos, vídeo, archivos…) |
Lista de las comunicaciones | Datos públicos | Informativa |
|
Análisis de las comunicaciones | Análisis comportamental | Decisional | Conexión fiable y segura, phishing… |
Comunicaciones combinadas con el envío de datos | Análisis comportamental | Decisional | Datos exfiltrados hacia destinos inesperados |
En resumen, si piensa desplegar análisis y control de aplicaciones en el marco de una solución de protección de flotas móviles (Mobile Threat Defense) o mediante una solución autónoma, puede fiarse de esta tabla para evaluar el verdadero valor que obtendrá de esa solución. Asegúrese de invertir en una herramienta con un auténtico valor añadido y no simplemente en una solución fantasiosa que agrupa, a un precio abusivo, elementos de información pública.
