Los equipos de operaciones de seguridad se enfrentan a un reto constante: cuentan con las herramientas necesarias y las alertas no dejan de llegar, pero a menudo carecen de los conocimientos especializados y los recursos necesarios para actuar en función de lo que revelan los datos.
HuntIQ es la respuesta de Tanium a esa carencia: una opción de soporte avanzado compuesta por tres partes que combina los paneles de control de investigación avanzada de Guardian, las capacidades de operaciones de seguridad de Tanium y cazadores de amenazas con amplia experiencia práctica que trabajan directamente en los entornos de los clientes durante 12 meses.
Michael Bailey, director de búsqueda de amenazas de Tanium, aporta más de 20 años de experiencia (incluido el análisis de malware y paquetes a nivel nacional para el Departamento de Defensa) para liderar esta iniciativa y definir cómo se lleva a cabo la búsqueda proactiva de amenazas en entornos empresariales a gran escala.
En este episodio, Michael explica qué es HuntIQ, cómo funcionan conjuntamente sus tres componentes y cómo se aplica en la práctica el modelo de colaboración. Explica cómo los cazadores de amenazas elaboran hipótesis utilizando enfoques basados en datos, en inteligencia, en entidades y en TTP, y por qué el modelo de colaboración de 12 meses es fundamental para aportar un valor que muchos proyectos de seguridad a corto plazo quizá no ofrezcan. Asimismo, aborda una duda que se plantean muchos profesionales de la seguridad cuando oyen hablar por primera vez de HuntIQ: ¿sustituirá este equipo a mi personal actual?
Michael también muestra cómo las capacidades de recopilación de datos en tiempo real de Tanium y las herramientas de búsqueda de amenazas basadas en Jupyter Notebook respaldan todo el flujo de trabajo de búsqueda de amenazas, desde la formulación de hipótesis hasta el análisis y la detección documentada y repetible.
Si su equipo de seguridad tiene dificultades para sacar el máximo partido a su inversión en Tanium o para subsanar las carencias de visibilidad en todo su entorno, este episodio es de visionado imprescindible. Vea el episodio completo a continuación.
Conclusiones clave
- Los tres componentes de HuntIQ: HuntIQ se compone del equipo de investigación avanzada «Guardian» de (que elabora paneles de control «Guardian» que proporcionan a los directivos y a los equipos de seguridad información relevante sobre su infraestructura), el producto de operaciones de seguridad de Tanium (Direct Response, el producto de respuesta a incidentes, que está evolucionando hacia «Security Operations») y cazadores de amenazas con amplia experiencia práctica que llevan 12 meses integrados en los entornos de los clientes.
- El modelo de colaboración de 12 meses: A diferencia de los proyectos a corto plazo basados en análisis y elaboración de informes, los «hunters» de HuntIQ dedican 12 meses a conocer los casos de uso empresariales, los puntos débiles y las capacidades de cada cliente; estos suelen señalar el apoyo a la capacitación como una fuente clave de valor del servicio.
«. Una de las cosas que no me gustan del sector de la seguridad es esa actitud de: “Oiga, págueme”. «Voy a pasarme por aquí, voy a hacer unas cuantas comprobaciones, le entregaré un producto y luego me marcharé, ¿verdad?»«Se trata de un compromiso a muy corto plazo; lo que hacemos es muy diferente».”Michael Bailey, director de búsqueda de amenazas de Tanium
- Resultados reales de clientes de la versión preliminar privada: Las primeras implementaciones de los clientes demostraron la capacidad de HuntIQ para detectar actividades maliciosas de controladores —incluida la minería de criptomonedas— en entornos en los que las herramientas de seguridad tradicionales presentaban puntos ciegos.
«. Analizamos 46,000 controladores de este cliente en concreto y detectamos 16 controladores potencialmente maliciosos». Parte de ello consistía concretamente en la minería de criptomonedas que se llevaba a cabo dentro de su entorno.»Michael Bailey, director de búsqueda de amenazas de Tanium
- Potenciar a los equipos, no sustituirlos: Los «hunters» de HuntIQ trabajan directamente con el personal de seguridad existente, enseñándoles a utilizar la API y las herramientas avanzadas de Tanium, y proporcionando a los clientes las herramientas de «hunting» que desarrolla el equipo, de modo que el valor de la colaboración va mucho más allá de las operaciones de «hunting» individuales.
«. No estamos ahí para quitarles el trabajo». Estamos ahí para apoyarles como parte de su equipo.»Michael Bailey, director de búsqueda de amenazas de Tanium
- Categorías de hipótesis para la búsqueda de amenazas: Las búsquedas se basan en observaciones basadas en datos, fuentes de inteligencia, conocimientos específicos de la entidad sobre lo que resulta más importante para la organización, TTP de amenazas persistentes avanzadas (APT) o combinaciones híbridas de todos estos elementos, destacando las búsquedas basadas en la entidad como un factor diferenciador clave, ya que requieren un profundo conocimiento del entorno del cliente.
- Tanium as a central source of visibility: Tanium can help organizations investigate gaps in endpoint visibility across their security stack, validating data, answering questions raised by other tools, and in some cases collecting data that may not have been surfaced elsewhere, including one 2023 customer example involving a malicious shortcut that had not been identified by existing controls.
- Los cuadernos de Jupyter como herramientas de detección: El equipo de HuntIQ utiliza los cuadernos de Jupyter y Python para el análisis de datos, creando procesos de detección repetibles y documentados que pueden entregarse directamente a los clientes y transmitirse al equipo de ingeniería de Tanium para su posible incorporación al propio producto.
Recursos adicionales
- Capacidades de detección y respuesta en terminales de Tanium Threat Response: Descubra el producto de Tanium que constituye el núcleo del componente de operaciones de seguridad de HuntIQ, incluyendo cómo facilita la detección, la investigación y la respuesta en todo su parque de terminales.
- Cómo Tanium HuntIQ ofrece servicios de detección de amenazas dirigidos por expertos para los equipos de seguridad de las empresas: Un análisis detallado de HuntIQ y de cómo los expertos en detección de amenazas de Tanium colaboran con los equipos de seguridad para detectar de forma proactiva amenazas avanzadas y reforzar las operaciones de seguridad.
- Guía del usuario de Tanium Threat Response 4.12 para la detección, investigación y respuesta ante incidentes: Documentación técnica que explica cómo configurar y utilizar Tanium Threat Response para la gestión de alertas, la detección y la investigación de terminales.
