¿No sería estupendo poder agrupar todos sus riesgos de ciberseguridad y diseñar una «caja negra» de trucos para neutralizarlos? Eso le facilitaría mucho la vida.
Para muchas organizaciones, las plataformas de detección y respuesta en terminales (EDR) parecen cumplir precisamente esa función. Ofrecen una defensa de primera línea sencilla al recopilar, almacenar y analizar datos procedentes de los dispositivos de los empleados y otros terminales para detectar indicios de una brecha de seguridad digital. Sin embargo, eso no significa necesariamente que su red sea más segura.
Investigadores de la Universidad del Pireo, en Grecia, han demostrado recientemente que. En un experimento, lanzaron ataques simulados contra 11 productos EDR populares que suelen utilizar los organismos públicos y las empresas privadas.
Mediante técnicas de phishing «spear-» y herramientas de distribución de malware, así como herramientas para desplazarse lateralmente por la red de una organización, los investigadores trataron de responder a cuatro preguntas fundamentales: ¿Puede el EDR detectar el ataque? ¿Cuáles son sus puntos ciegos? ¿Qué tipo de datos utiliza para generar alertas? ¿Y es posible reducir el ruido general en la telemetría —o en la recopilación de datos— para detectar las amenazas de forma más eficaz?
Con demasiada frecuencia, el resultado era un fracaso en todos los frentes. De los 20 ataques que llevó a cabo el equipo, la mitad tuvieron éxito y no generaron ninguna alerta.
«Resulta bastante preocupante que ninguno de los EDR haya logrado detectar todos los ataques», concluye el estudio. «Más concretamente, 10 ataques tuvieron éxito total… y no se emitió ninguna alerta; tres ataques tuvieron éxito, pero se emitió una alerta de baja importancia; un ataque no tuvo éxito, pero no se emitió ninguna alerta; y seis ataques fueron detectados y notificados correctamente por los EDR».
Entre los equipos de operaciones de seguridad informática, los productos EDR han ganado popularidad, gracias a su facilidad de uso y a la convicción de que los terminales « » pueden proporcionar los datos más completos sobre posibles intrusos. Sin embargo, a medida que han ido evolucionando las amenazas a la seguridad, también lo ha hecho la superficie de ataque. No son solo los ordenadores portátiles y los teléfonos móviles los que están en el punto de mira. Se trata de servidores locales, aplicaciones en la nube y plataformas heredadas. Para complicar aún más las cosas, los EDR solo pueden detectar tipos específicos de acciones sospechosas, o actividades maliciosas «conocidas», en una red.
Por ello, los organismos públicos y las empresas de cualquier tamaño ya no pueden confiar únicamente en las soluciones EDR para protegerse frente a estas amenazas. Necesitan más.
Cuando los EDR no son suficientes
El secreto está en adaptarse a las nuevas herramientas, cuando sea necesario, y en adoptar una nueva forma de pensar.
«El EDR no es un dispositivo que se saque de la estantería y se enchufe», afirma Matt Marsden, vicepresidente de gestión técnica de cuentas para el sector público de Tanium. «El EDR es una combinación de herramientas, equipos y procesos. «Se trata de un proceso matizado: comprender la información sobre amenazas y actuar con mayor rapidez que los delincuentes».
«: va más allá de la protección de los dispositivos finales». Se trata de datos atípicos y anomalías, y de detectar desviaciones respecto a la norma.»Matt Marsden, vicepresidente de gestión técnica de cuentas para el sector público de Tanium
Dave Gruber, analista sénior de ciberseguridad de ESG, afirma que las organizaciones se ven sometidas a una presión cada vez mayor para desarrollar estrategias de seguridad informática que les permitan abarcar un abanico más amplio de redes y dispositivos informáticos. «La prevención no va a impedirlo todo», afirma.
Se espera que un enfoque conocido como «detección y respuesta ampliadas» (XDR) subsane algunas carencias. XDR es un conjunto de herramientas integrado que abarca arquitecturas de TI híbridas y permite a las organizaciones unificar los puntos de control, los datos de telemetría de seguridad y los análisis operativos en un único sistema.
Piense en el proceso, no solo en el producto
Si bien adoptar el enfoque XDR supone un paso en la dirección correcta, es fundamental considerarlo como una estrategia o un proceso flexible que puede actualizarse, en lugar de como un producto rígido. Además, debería utilizar herramientas que no solo detecten las intrusiones, sino que también rastreen activamente las redes para localizar dónde se ocultan los intrusos.
«Se trata de algo más que la protección de los dispositivos finales», afirma Marsden. «Se trata, además, de una búsqueda activa o proactiva, que permite identificar inconsistencias y aplicar soluciones escalables». «Se trata de datos atípicos y anomalías, y de detectar desviaciones respecto a la norma».
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
La detección proactiva de amenazas es una herramienta clave para la ciberseguridad. Ayuda a los equipos de operaciones de TI a cambiar su enfoque, pasando de una gestión reactiva de los daños a una prevención proactiva de los mismos. Requiere creatividad e ingenio, y sin ellos, los riesgos para su red no siempre son fáciles de detectar. Para cuando una solución EDR de terceros le avise de una filtración de datos, o reciba una demanda de rescate de , es posible que el daño a su sistema ya se haya producido y que el coste de la reparación sea elevado.
A medida que cada vez más organizaciones pasan de una mentalidad centrada exclusivamente en prevenir las intrusiones cibernéticas a otra que incluye la detección de vulnerabilidades en la red y la mitigación del impacto de los ataques, resulta fundamental que elaboren estrategias que sean adaptables, capaces de detectar amenazas potenciales, aplicar medidas correctivas y supervisar la presencia de brechas de seguridad.
Los investigadores griegos concluyeron su informe con algunos sabios consejos. Según afirman, para prevenir los ciberataques, las organizaciones deberían adoptar una «visión global», implementar una amplia gama de herramientas de seguridad y «no depender exclusivamente de una única solución».
