Este es una de las newsletters antiguas que se enviaron de forma exclusiva a los miembros del Club Negocios Seguros.
Si quieres recibir las actuales cada martes y jueves en tu bandeja de correo, hazte miembro ahora.
*******
Negocios Seguros
Muy pero que muy interesante la iniciativa que ha tenido Microsoft recientemente para con sus clientes de servidores exchange.
Básicamente, aquellos que no mantengan actualizados sus servidores, irán poco a poco perdiendo alcance, hasta que directamente no puedan comunicarse con terceros (EN).
El mecanismo es bastante simple: cuando Exchange Online recibe un correo de Exchange Server a través de un conector de entrada del tipo OnPremises, identifica la versión de compilación del servidor y evalúa si es seguro recibir correos de su parte (es decir, si la versión del servidor tiene soporte y existen parches de seguridad críticos). Si el servidor es vulnerable, Exchange Online anota la fecha de su primer encuentro y añade una notificación de servidor obsoleto al informe de flujo de correo, al que pueden acceder los administradores de Exchange Server.Si la situación no cambia en 30 días, Exchange Online comenzará a moderar (en otras palabras, retrasar) los mensajes del servidor vulnerable. La duración de la moderación del flujo aumenta progresivamente cada 10 días. Si nada cambia 60 días después de la detección, Exchange Online comienza a bloquear los correos electrónicos.
Este cambio empieza a aplicarse a los usuarios de servidores Exchange 2007, pero se irá propagando a cubrir todas las versiones de Exchange hasta las actuales.
UN CAMBIO DE PARADIGMA EN LA INDUSTRIA DEL CORREO
La noticia podría haber pasado desapercibida por muchos. De hecho, no he visto ningún medio generalista o especializado que lo haya cubierto a excepción del blog de Kaspersky (ES), pero es que en efecto me parece un cambio de paradigma en toda regla.
Atacando a sus clientes con la idea de que los correos que envíen desde servidores desactualizados, se corta de raíz la típica estrategia de muchos equipos de IT corporativos de que si algo funciona, no lo toques.
Esto es bien sabido que genera problemas a futuro. Y para colmo, en un entorno donde la bidireccionalidad es de por sí ya un riesgo (recordemos que el mail sigue siendo el principal canal de entrada de fraudes y ciberataques a instituciones), el no mantener actualizados los servidores supone, de facto, que no solo mermas la seguridad de la organización, sino que también generas un ecosistema más inseguro para terceros.
Al ir perdiendo poco a poco el alcance de los emails enviados desde servidores no actualizados, se fuerza al equipo de IT a estar al tanto de las actualizaciones, y para colmo, de no hacerlo se reduce el impacto de potenciales ataques provenientes precisamente de aquellos servidores más vulnerables.
Vamos, que sea por lo primero, sea por lo segundo, con este simple movimiento Microsoft se carga buena parte del riesgo corporativo.
AUNQUE TAMBIÉN TIENE SUS INCONVENIENTES
Por hacer de abogado del diablo, es cierto que el movimiento supone, de facto, aceptar dos premisas:
- La primera es que nuevamente se reduce el control que tiene la sociedad de lo que debería ser un protocolo abierto como es el mail: Algo de lo que ya hemos hablado largo y tendido en más de una ocasión. Este movimiento no podría haber tenido incidencia alguna sino fuera porque llevamos décadas delegando la responsabilidad y el control en manos de grandes agentes como son Microsoft, Google o Apple. Hoy en día, de hecho, aunque en la práctica cualquiera podríamos montarnos un servidor de correo propio, la realidad es que al no estar este firmado por una gran corporación, dichos emails no le llegarían a prácticamente nadie. De nuevo estamos, por tanto, ante una pérdida de control más.
- La segunda es que no siempre resulta sencillo actualizar en el entorno corporativo: Y es que recordemos que la infraestructura de red de una empresa mediana puede ser lo suficientemente compleja como para que una actualización continua de cada uno de sus elementos acabe por generar mayores problemas que el riesgo que se asume al mantenerlas desactualizadas. De ahí que, por ejemplo, sigamos viendo hoy en día cajeros automáticos con Windows 2007 e incluso versiones anteriores, todas obsoletas. ¿Es dejadez de los equipos IT de estos bancos? Pues no (o a veces sí, xD). Simplemente que parte de su sistema ya no es compatible con versiones modernas, y de ahí que haya un negocio la mar de lucrativo para corporaciones como Microsoft con eso de seguir ofreciendo actualizaciones de seguridad críticas a versiones obsoletas de sus sistemas operativos.
En fin, que una de cal, y otra de arena. Como suele ocurrir con cualquier movimiento tecnológico.
Aunque en este caso, y sin que sirva de precedente, me inclino a pensar que ganamos más de lo que perdemos.
________
Si quieres recibir contenido exclusivo como éste el día uno y directamente en tu bandeja de correo cada martes y jueves, hazte miembro del Club «NEGOCIOS SEGUROS».
