La investigación de una alerta de seguridad siempre ha exigido a los analistas actuar con rapidez y, al mismo tiempo, tener en cuenta una gran cantidad de información contextual: comprender qué hace un comando codificado de PowerShell, por qué se ha activado una alerta, qué significa el árbol de procesos que la rodea y qué pasos seguir a continuación. En el caso de los analistas noveles, se tarda años en adquirir esa perspectiva. En el caso de los analistas sénior, ni siquiera una amplia experiencia permite prever todos los casos extremos. El resultado, tal y como señalan muchos equipos de seguridad, es una ralentización de las investigaciones, una menor confianza de los analistas y una capacidad limitada de los equipos. Las funciones de enriquecimiento y análisis basadas en inteligencia artificial de « » (Análisis de datos de seguridad) integradas en Tanium Threat Response están diseñadas para subsanar esa carencia directamente dentro del flujo de trabajo, allí donde se llevan a cabo realmente las investigaciones.
Duncan explica dos nuevas funciones de Threat Response: el enriquecimiento mediante la línea de comandos y el análisis de alertas. La función de enriquecimiento descodifica los comandos codificados y desglosa cada componente de una línea de comandos, explicando la función de cada parámetro y señalando las implicaciones de seguridad en un lenguaje sencillo. La función «Analizar» va más allá, ya que toma como contexto la alerta completa y ofrece un resumen estructurado que incluye el motivo por el que se activó la alerta, las conclusiones principales, una evaluación del impacto y las medidas recomendadas.
Si alguna vez ha perdido el hilo de su investigación al cambiar de ventana para consultar el significado de una línea de comandos, o le ha costado explicar a un analista novato por qué una alerta concreta debería preocuparle, este episodio aborda precisamente las funciones que resuelven esos problemas. Vea el tutorial completo en el vídeo que aparece a continuación.
Conclusiones clave
- «Enrich» descodifica y explica: El botón «Enrich» que aparece dentro de una alerta no se limita a descodificar un comando de PowerShell codificado. Desglosa cada componente de la línea de comandos, explica la función de cada parámetro y pone de relieve las implicaciones de seguridad, como, por ejemplo: «Se utiliza con frecuencia en contextos maliciosos para eludir los controles basados en políticas».
- Los cmdlets no estándar se marcan: . Cuando el proceso de enriquecimiento detecta algo como
get-uac, identifica que no se trata de un cmdlet integrado, sino probablemente de una función personalizada, y recomienda investigar el origen y la actividad previa en busca de posibles preparativos. - Alert Analyze ofrece un contexto completo: La función Analyze toma como contexto la alerta completa, incluyendo el árbol de procesos, las líneas de comando y los detalles de inteligencia, y ofrece una visión general inicial de la alerta en la que se explica exactamente por qué se activó, se presentan las conclusiones clave que destacan los elementos inusuales, se realiza una evaluación del impacto y se recomiendan medidas a tomar.
«» Porque si tengo que salir de aquí e ir a preguntarle a un LLM, o buscar en Google qué significa esta línea de comandos en concreto, al salir de aquí aumento las posibilidades de perder el contexto cuando vuelva, ¿verdad? Entonces, ¿qué estaba mirando? ¿Qué había antes de esto? ¿Qué cosas tenía previsto hacer después de esto? Estoy intentando tenerlo todo bien claro mientras me alejo de la consola para ir a otro sitio. Mantener el contexto dentro de la consola le permite mantener la concentración y no tener que volver a recordar lo que estaba intentando hacer antes, por lo que me resulta increíblemente útil.”Tanium HuntIQ: el cazador Duncan Miller
- Las medidas recomendadas deben considerarse en su contexto ambiental: . Duncan señala que, si bien las medidas recomendadas son sensatas —como aislar el terminal, eliminar y poner en cuarentena la consulta SQL en «Users splunkd» y bloquear el tráfico saliente hacia el dominio asociado—, deben contextualizarse dentro del entorno. Aislar un controlador de dominio clave o un equipo que genera ingresos sin tener en cuenta ese contexto podría acarrear graves problemas.
- El enriquecimiento se extiende a las conexiones directas y a las cuadrículas de datos: La misma capacidad de enriquecimiento disponible en las alertas también está presente en las conexiones directas y en la cuadrícula de datos. Allí donde aparezcan los símbolos brillantes, los analistas pueden ampliar la línea de comandos para obtener contexto adicional, incluidas las líneas de comandos de los navegadores Chrome o Edge, que de otro modo resultarían difíciles de interpretar.
«. Yo diría que busque los destellos y, si los ve, podrá obtener más contexto al respecto.»Tanium HuntIQ: el cazador Duncan Miller
- Para poder disponer de esta función, es necesario que las funciones de Threat Response, la nube y la IA estén activadas: . Actualmente, estas funciones están disponibles sin coste adicional para los clientes que cuenten con una licencia de Threat Response, sean clientes de la nube y tengan activadas las funciones de IA de en su entorno.
Recursos adicionales
- Cómo Tanium HuntIQ ofrece servicios de detección de amenazas dirigidos por expertos para los equipos de seguridad: Descubra cómo los especialistas de HuntIQ de Tanium trabajan de forma práctica en los entornos de los clientes para detectar de forma proactiva amenazas sofisticadas y mejorar el nivel de seguridad.
- Descripción general de la guía del usuario de Tanium Threat Response en la nube: Página de descripción general de la guía del usuario de Tanium Threat Response en la nube, que constituye el punto de acceso a la documentación del producto para los clientes de la nube.
