Se pide a los equipos de operaciones de seguridad que actúen con mayor rapidez que nunca. Los adversarios están recurriendo a la automatización y a cambios en la infraestructura que se producen a cada minuto, mientras que el número de alertas, casos de exposición y líneas de investigación no deja de aumentar. Sin embargo, son aún demasiados los flujos de trabajo del SOC que dependen del tiempo de los expertos, que es un recurso escaso. Un analista sénior redacta la consulta, traduce la hipótesis, alterna entre distintas herramientas, valida el resultado y, a continuación, transmite la conclusión para que se tomen las medidas oportunas.
La embarcación funciona. Simplemente lleva tiempo, y nunca hay suficientes expertos para todos.
Agentic SecOps transforma el modelo operativo. Con Tanium Atlas, los equipos de seguridad pueden dirigir el trabajo utilizando lenguaje natural, analizar datos en tiempo real de los terminales y garantizar que sean las personas quienes mantengan el control mediante aprobaciones y mecanismos de gobernanza. En lugar de pedir a los analistas que recojan manualmente cada paso, Atlas ayuda a los equipos a pasar de la pregunta a la evidencia y, de ahí, a la acción, basándose en lo que realmente ocurre en todo el parque de dispositivos en este momento.
¿Por qué Agentic SecOps? ¿Por qué ahora?
El mercado de la seguridad ha pasado rápidamente de los copilotos a los agentes. Casi todos los principales proveedores de seguridad cuentan una versión de la misma historia. La inteligencia artificial puede ayudar a los analistas a detectar, clasificar y responder con mayor rapidez.
Sin embargo, la eficacia de la seguridad operativa depende en gran medida de la calidad de los datos y de las técnicas operativas en las que se basa.
La mayoría de los sistemas AI-SOC realizan análisis a partir de datos que ya se han recopilado, normalizado y almacenado en otro lugar. Esto puede resultar útil para el análisis histórico, pero plantea un problema cuando la cuestión es de carácter operativo y urgente. ¿Se está ejecutando esto en este momento? ¿Dónde? ¿En cuántos dispositivos? ¿Podemos verificarlo antes de actuar?
Ahí es donde Tanium marca la diferencia. Tanium Atlas se basa en datos reales y actualizados de los terminales, en una visibilidad en tiempo real de todo el entorno, y combina esa base de datos con los flujos de trabajo de SecOps, la experiencia de HuntIQ y la inteligencia sobre amenazas de alta fidelidad. El resultado es una experiencia de SecOps proactiva, diseñada no solo para explicar lo que ha ocurrido, sino también para ayudar a los equipos a detectar, validar y actuar ante lo que está ocurriendo en este momento.
Búsqueda de amenazas guiada por agentes en Atlas
La primera iniciativa importante de Agentic SecOps es la búsqueda de amenazas guiada por agentes en Atlas.
La detección proactiva de amenazas es una de las actividades de mayor valor que puede llevar a cabo un SOC, pero también es una de las más difíciles de ampliar. Un cazador debe formular una hipótesis, traducirla en las consultas adecuadas, analizar toda la flota, interpretar los resultados, relacionar los hallazgos con los comportamientos conocidos de los adversarios y decidir qué debe convertirse en una cobertura de detección duradera. Esa labor suele requerir la experiencia de personal con mayor antigüedad, lo que implica que muchos equipos realizan búsquedas con menos frecuencia de la que deberían.
Gracias a la búsqueda de amenazas guiada por agentes, un equipo de seguridad puede describir una hipótesis de búsqueda en lenguaje sencillo. Atlas es capaz de analizar datos en tiempo real de los terminales, coordinar las capacidades de búsqueda de Tanium —como Threat Navigator— y ayudar al equipo a llevar a cabo la búsqueda sin que cada analista tenga que redactar manualmente las consultas subyacentes.
El objetivo no es eliminar el factor humano del proceso. Su objetivo es potenciar lo humano. Los analistas mantienen el control, revisan los razonamientos y las pruebas, y recurren a los procesos de aprobación para regular las acciones delicadas o destructivas. Sin embargo, el trabajo repetitivo de traducción y coordinación puede realizarse con mayor rapidez, lo que permite a los equipos llevar a cabo más operaciones de búsqueda, involucrar a más analistas y convertir los hallazgos contrastados en una cobertura de detección más sólida.
Para los clientes que ya utilizan HuntIQ, esta función resulta especialmente útil. La búsqueda de amenazas guiada por agentes está diseñada para ampliar las técnicas de los expertos, no para sustituirlas, ayudando a los expertos en la búsqueda de amenazas a trabajar de forma más eficiente y permitiendo a los equipos de los clientes beneficiarse de patrones de búsqueda repetibles y guiados.
La información en tiempo real sobre los dispositivos finales es el factor diferenciador
El enfoque «Agentic SecOps» se basa en una premisa sencilla. Un agente no puede tomar buenas decisiones operativas si basa su razonamiento en un contexto obsoleto o incompleto.
La ventaja de Tanium radica en que Atlas analiza el estado en tiempo real de los terminales. Cuando un cazador pregunta si se observa algún comportamiento sospechoso en toda la flota, Atlas puede responder basándose en lo que se está ejecutando en ese momento, y no solo en lo que se introdujo hace horas.
Esto es importante porque muchas de las cuestiones relacionadas con la seguridad operativa (SecOps) se refieren a la situación actual.
- ¿Sigue en marcha este proceso?
- ¿Qué terminales cuentan actualmente con este mecanismo de persistencia?
- ¿En qué parte del recinto se encuentra ese archivo binario sospechoso?
- ¿Se encuentran estos indicadores en los activos críticos?
- ¿Podemos validar esta información antes de convertirla en una lógica de detección?
Los datos históricos siguen siendo importantes. Los sistemas SIEM y los lagos de datos siguen siendo componentes importantes del SOC. Sin embargo, en el caso de las operaciones de tipo «agente», la información de referencia en tiempo real de los puntos finales ofrece a los defensores un tipo de ventaja diferente. Pueden confirmar lo que es cierto en este momento y actuar mientras aún sea relevante.
Información de alta fidelidad como motor del SOC autónomo
Las operaciones de seguridad basadas en agentes (SecOps) también necesitan puntos de partida más sólidos. Si se pide a un agente que busque a partir de indicadores poco fiables o con ruido, los resultados lo reflejarán. La información sobre amenazas de alta calidad se convierte en el motor que ayuda a los flujos de trabajo autónomos a dar prioridad a lo que realmente importa.
Por eso, Tanium está incorporando Google Threat Intelligence (GTI) al flujo de trabajo en tiempo real de los terminales. El valor estratégico no radica simplemente en el acceso a otra fuente de información. Se trata de la puesta en práctica, que combina la inteligencia propia de Google con la capacidad de Tanium para determinar si un indicador, un comportamiento o una señal de amenaza está presente en el entorno operativo del cliente.
En Black Hat, esta historia comienza con las campañas de búsqueda ofrecidas por HuntIQ y respaldadas por Google Threat Intelligence, que ya están a disposición de los clientes. Tanium está estudiando formas de integrar cada vez más GTI en los flujos de trabajo de SecOps y Atlas con el paso del tiempo, de modo que los analistas puedan partir de puntos de referencia más sólidos, reducir la clasificación de falsos positivos y proporcionar a los flujos de trabajo basados en agentes señales de mayor fiabilidad sobre las que basar sus razonamientos.
En otras palabras, la inteligencia sobre amenazas le indica qué es lo que supone un riesgo. Tanium le indica si está presente en su entorno en este momento y ayuda a su equipo a decidir qué medidas tomar a continuación.
Autonomía controlada, no automatización ciega
Los equipos de seguridad hacen bien en actuar con cautela ante los agentes de IA. Un SOC no puede permitirse una automatización de tipo «caja negra» que actúe sin contexto, sin pruebas ni sin supervisión.
El enfoque de Tanium respecto a las operaciones de seguridad basadas en agentes (Agentic SecOps) se rige por normas y está dirigido por personas. Atlas está diseñado para mostrar su razonamiento, basar su trabajo en datos en tiempo real y utilizar un sistema de aprobaciones, de modo que los equipos puedan decidir, con el paso del tiempo, en qué punto del espectro se sitúan, desde la asistencia guiada hasta una mayor autonomía.
Eso es importante para la confianza. Un equipo puede comenzar con flujos de trabajo de bajo riesgo y verificables. Plantee una pregunta, lleve a cabo una investigación, revise las pruebas y valide el resultado. A medida que aumenta la confianza, el equipo puede delegar más tareas, al tiempo que se garantiza que las acciones de mayor importancia sigan estando sujetas a revisión humana.
La propuesta de Agentic SecOps no consiste en «sustituir al analista». Se trata de «proporcionar influencia al analista». Permita que los cazadores expertos dediquen menos tiempo a plasmar sus intenciones en herramientas y más tiempo a tomar decisiones. Permita que los analistas con menos experiencia ejecuten flujos de trabajo que antes requerían conocimientos especializados en consultas. Permita que los responsables del SOC mejoren la cobertura y la capacidad sin que todos los procesos tengan que pasar necesariamente por el mismo reducido grupo de expertos.
Qué implica esto para los equipos de operaciones de seguridad
Agentic SecOps reúne tres elementos que los responsables de la seguridad necesitan.
- Información de referencia en tiempo real sobre los terminales: Atlas es capaz de analizar lo que está ocurriendo realmente en los terminales en este mismo momento, lo que ayuda a los equipos a contrastar sus conclusiones con la situación actual.
- Flujos de trabajo de búsqueda de amenazas y operaciones de seguridad (SecOps) guiados por expertos: La búsqueda de amenazas guiada por agentes ayuda a los equipos a formular hipótesis en lenguaje natural, llevar a cabo búsquedas repetibles, relacionar los hallazgos con el marco MITRE ATT&CK y pasar de una investigación puntual a una cobertura duradera.
- Información sobre amenazas de alta fiabilidad: . La información sobre amenazas de Google y las técnicas de HuntIQ proporcionan a los analistas y agentes puntos de partida más sólidos, lo que contribuye a reducir el ruido y a mejorar la confianza en las operaciones de búsqueda y en la clasificación de amenazas.
En conjunto, estas capacidades ayudan a los equipos de seguridad a pasar de una gestión reactiva de las alertas a una defensa proactiva y continua. Ayudan a que un mayor número de miembros del equipo participe en flujos de trabajo avanzados. Además, ofrecen a los líderes una vía práctica para adoptar la IA autónoma sin renunciar al control.
El próximo capítulo para SecOps
El «Agentic SecOps» no es un momento de lanzamiento puntual. Se trata de una orientación de la plataforma.
Atlas ya está disponible de forma generalizada para los clientes de la nube comercial, lo que aporta a Tanium operaciones en lenguaje natural, agentes en segundo plano y la ejecución controlada de flujos de trabajo. La solución Agentic SecOps se basa en esos fundamentos y ofrece flujos de trabajo específicos para la seguridad. Incluye la detección de amenazas guiada por agentes, la validación de datos en tiempo real, la inteligencia basada en GTI, la experiencia de HuntIQ y una hoja de ruta que se extiende hasta Black Hat y Converge.
El futuro SOC no vendrá determinado por otro panel de control ni por otro lago de datos. Esto vendrá determinado por la rapidez con la que los defensores puedan pasar de la señal a la comprensión y, de ahí, a la acción, con confianza, un marco de gobernanza y datos de referencia actualizados.
Esa es la oportunidad que se le presenta a Agentic SecOps. Convierta la información en tiempo real sobre terminales de Tanium en operaciones de seguridad guiadas y de nivel experto que avancen al ritmo de la amenaza.
