Una breve historia
Si echamos la vista atrás al año 2015, resulta difícil negar que el sector de la seguridad se ha visto inundado de productos de detección y respuesta en puntos finales (EDR) de . Si recorre la zona de expositores de cualquier conferencia o echa un vistazo a los informes técnicos y los argumentos de venta en la página web de cualquier proveedor, observará que se repiten hasta la saciedad las mismas afirmaciones: «Prevenir, detectar y responder» a «escala empresarial» y en «tiempo real». Y, por si fuera poco, añada las referencias de rigor a la «detección de anomalías», la «inteligencia sobre amenazas» y las «APT».
No es de extrañar que a tantas organizaciones les resulte tan difícil preseleccionar y evaluar a los proveedores. Las convocatorias de propuestas dan lugar a respuestas imprecisas o exageradas. Las demostraciones y los pequeños laboratorios de prueba de concepto con escenarios de intrusión simulados pueden hacer que cualquier producto parezca eficaz. Al igual que cualquier solución empresarial, las herramientas de EDR revelan inevitablemente sus verdaderas fortalezas y debilidades con el paso del tiempo, y solo una vez que se han implantado por completo en redes reales, complejas y desordenadas.
Mi cargo en Tanium podría impedirme afirmar que mantengo un punto de vista verdaderamente independiente de los proveedores; sin embargo, tras haber trabajado durante más de una década como consultor realizando evaluaciones de seguridad, investigaciones de respuesta a incidentes y medidas correctivas, intento constantemente tener en cuenta los criterios que más me habrían importado a mí mismo como profesional.
Me gustaría centrarme aquí en tres características fundamentales que influyen en la eficacia de cualquier solución de EDR: el alcance de los datos que proporciona, el rendimiento y la escalabilidad, y la flexibilidad.
¿Qué tipo de datos ofrece la solución?
El alcance y la actualidad de los datos que un producto de punto final puede buscar, analizar o recopilar constituyen el núcleo absoluto de sus capacidades. Hoy en día, casi todos los productos de EDR afirman ofrecer una «búsqueda en toda la empresa», pero la pregunta clave es: «¿De qué información?». Muchas soluciones implican importantes concesiones en cuanto al alcance de los datos disponibles para mejorar la escalabilidad o el rendimiento. ¿Se imagina si Google solo permitiera a los usuarios buscar en el contenido de los sitios web que ha indexado en los últimos 30 días; o, por el contrario, si ofreciera un periodo de búsqueda ilimitado, pero solo en la etiqueta de título de las páginas web más populares?
Los datos de los puntos finales pueden dividirse, a grandes rasgos, en dos ámbitos: los históricos y los relativos al estado actual. ¿Por qué son importantes ambas cosas? Los productos que registran de forma continua datos de telemetría de los terminales —como las operaciones de entrada y salida de archivos, las conexiones de red, la ejecución de procesos, los eventos de inicio de sesión o los cambios en el Registro— han ganado cada vez más popularidad para la detección y la respuesta ante incidentes. Como ya mencioné en mi blog con motivo del lanzamiento de Tanium Trace, esta funcionalidad puede agilizar y simplificar el trabajo necesario para clasificar una pista, generar alertas o investigar un sistema. Permite conservar y enriquecer los datos que, de otro modo, podrían perderse debido a lagunas en las pruebas forenses, y reduce la frecuencia con la que es necesario recuperar datos para identificar y conservar eventos de corta duración.
Sin embargo, basarse exclusivamente en una ventana móvil de datos históricos conlleva importantes limitaciones, sobre todo cuando se trata de la caza a gran escala. Dichas soluciones limitan tanto el periodo de tiempo durante el cual se conservan los datos como la variedad de datos disponibles para la generación de alertas y el análisis. Si no está registrado, no se puede encontrar.
Para complementar este ámbito de información más limitado, una detección y respuesta eficaces ante incidentes también requieren un acceso bajo demanda a los datos sobre el estado actual de todos los sistemas. Esto significa tener la capacidad de buscar o recopilar artefactos volátiles que se estén produciendo en este mismo momento. Hay innumerables ejemplos con los que me he encontrado en mis investigaciones: ¿En qué sistema está conectada actualmente una cuenta de administrador local comprometida? ¿Qué sistemas tienen actualmente una DLL maliciosa cargada en memoria?
Los datos sobre el estado actual también incluyen artefactos latentes que no han sufrido cambios recientes o que quedaban fuera del ámbito de la conservación histórica, pero que pueden resultar cruciales a la hora de delimitar el alcance de un incidente. Considere la necesidad de realizar búsquedas en todo el entorno para localizar cualquier tipo de archivo «en reposo» por nombre o hash; un valor del Registro que no se haya modificado en un año; o un artefacto forense más específico, como los datos del repositorio WMI. ¿Qué ocurre si necesita instalar la solución después de que los sistemas ya hayan sido vulnerados? Trabajar con un alcance limitado de datos conduce inevitablemente a puntos ciegos y a callejones sin salida en la investigación.
¿Cuál es el rendimiento y la escalabilidad de la solución?
Casi todos los proveedores de EDR prometen alguna variante de velocidad «en tiempo real» que se adapta a «decenas de miles» de terminales. En la práctica, lamentablemente resulta fácil que unos argumentos engañosos enmascaren las verdaderas limitaciones de rendimiento y escalabilidad de un producto, sobre todo si el proceso de evaluación se limita a pequeños laboratorios de pruebas. ¿Cómo puede una organización asegurarse de que un producto EDR sea lo suficientemente eficaz como para satisfacer sus necesidades concretas? La clave reside en adoptar un enfoque más integral a la hora de evaluar la rapidez y la envergadura.
En primer lugar, analice las modalidades de interacción que ofrece la solución. Los flujos de trabajo pasivos incluyen búsquedas puntuales («¿Dónde se encuentra este hash?»), la detección y la emisión de alertas («¿Se ha producido una coincidencia con un IOC o se ha activado una regla?»), y la recopilación de datos para el análisis de anomalías («Obtenga todos los procesos de ejecución automática y ordénelos por frecuencia de aparición»). Los flujos de trabajo activos implican la modificación de los sistemas, ya sea para aplicar una cuarentena, detener un proceso, eliminar malware o corregir una vulnerabilidad de configuración.
A continuación, superponga el alcance de los datos a los que se tiene acceso en cada uno de estos modos de interacción. ¿Incluye el historial de actividad? ¿En qué está trabajando actualmente? ¿Archivos latentes u otros artefactos en reposo? Por último, evalúe el rendimiento y la escalabilidad de la solución en función de cada uno de estos conjuntos de criterios. Es posible que algunas soluciones ofrezcan acceso a nivel de toda la empresa a un conjunto de datos históricos, pero no sean capaces de gestionar con facilidad los datos actuales o latentes a gran escala (y viceversa). ¿Las consultas o acciones tardan unos segundos en algunas tareas y horas en otras?
Las organizaciones también deberían evaluar el impacto de la infraestructura y los costes que conlleva el funcionamiento de la solución al nivel deseado de rendimiento y escala. En el caso de las soluciones locales que se amplían horizontalmente, los costes de mantenimiento aumentan y la eficacia disminuye con el paso del tiempo. Un mayor número de servidores implica más puntos de fallo, así como la necesidad de rediseñar la arquitectura y equilibrar la utilización de los recursos a medida que los entornos crecen.
Por el contrario, las soluciones basadas en la nube deben gestionar el volumen de datos que se transmiten a través de Internet. Esto da lugar a que se recurra a mecanismos de filtrado y activación del lado del cliente que pueden limitar el alcance de los datos de los terminales disponibles bajo demanda o de forma retroactiva. En función de los casos de uso de su organización, es posible que esas concesiones resulten inaceptables.
¿Qué grado de flexibilidad ofrece la plataforma?
Ya hemos destacado que la investigación interna (IR) requiere un acceso rápido y escalable a un amplio conjunto de datos de los terminales. Todas las herramientas de EDR son capaces de trabajar con pruebas forenses «fundamentales»: actividad de los procesos, metadatos del sistema de archivos, conexiones de red, actividad de las cuentas, elementos específicos del sistema operativo —como el Registro de Windows— y demás. Pero, al igual que las técnicas de los atacantes evolucionan rápidamente, también lo hacen las fuentes de pruebas que aportan las nuevas actualizaciones de los sistemas operativos, las aplicaciones o los descubrimientos de los investigadores. La flexibilidad de una solución EDR influye directamente en la rapidez con la que puede incorporar estos nuevos hallazgos.
A la hora de comparar productos, muchas organizaciones se limitan a solicitar una lista de características y funcionalidades. Le sugeriría que profundizara un poco más para comprender cómo se ha actualizado el producto en el pasado y cómo está llamado a seguir madurando. Esto puede incluir la evaluación de los siguientes aspectos:
- Solicite que le faciliten el registro de cambios del producto correspondiente al último año para evaluar el ritmo de desarrollo. ¿Qué tipo de nuevas funciones se han añadido — y con qué rapidez?
- Analice cómo está diseñado el software y si su diseño permite integrar fácilmente nuevas fuentes de datos o interactuar con los dispositivos finales de nuevas formas. ¿Qué grado de control tienen los clientes? ¿En qué casos es necesario que el proveedor proporcione una actualización del agente?
- ¿Cuál es la situación de la comunidad de usuarios? ¿Hay otros clientes que compartan funcionalidades que vayan más allá de lo que ofrece el producto «tal y como viene de fábrica»?
Por último, analice en qué medida el producto aborda de forma exhaustiva el aspecto de «Respuesta» del «EDR». Las funciones de corrección táctica, como la interrupción de un proceso o el aislamiento de un equipo en la red, son habituales en la mayoría de las herramientas de este ámbito (aunque pueden diferir en cuanto a su alcance o a su capacidad para coordinar dichas acciones). Pero igual de importante —y a menudo pasado por alto— es si la solución puede realmente proteger los sistemas, complementar otros controles preventivos y reducir la superficie de ataque de los terminales. Entre las capacidades clave en este ámbito se incluyen el control de lo que se permite ejecutar o comunicar a través de la red, la evaluación y el refuerzo de los ajustes de configuración de seguridad, y el mantenimiento de los niveles de parches para el sistema operativo y las aplicaciones de terceros. En pocas palabras, si una solución EDR solo le permite detectar y responder con mayor rapidez a los ataques, en realidad no está aumentando la resiliencia de su organización —no le está ayudando a romper el ciclo de nuevas vulnerabilidades—.
Probar, adquirir e integrar cualquier software empresarial nunca es una tarea fácil. Además, cada proceso de sustitución total de un producto que no ha cumplido las expectativas conlleva importantes riesgos operativos y gastos. A la hora de plantearse la adopción de una solución EDR, espero que algunos de los puntos expuestos en esta entrada del blog puedan ayudar a su organización a establecer los criterios de evaluación adecuados para identificar el producto que mejor se adapte a sus necesidades.
Ryan Kazanciyan, arquitecto jefe de seguridad
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
