Se ha acelerado el ritmo de las directivas destinadas a reforzar las prácticas de ciberseguridad del Gobierno de EE. UU., que hasta ahora han sido poco rigurosas. Este mes, la Administración Biden ordenó a todas las agencias federales que subsanaran casi 300 vulnerabilidades informáticas que los piratas informáticos pueden aprovechar para infiltrarse en las redes informáticas del Gobierno y causar daños.
Sin embargo, fue una directiva anterior la que provocó inquietud entre los expertos en seguridad. El 8 de octubre, la Oficina de Gestión y Presupuesto de EE. UU. (OMB) comunicó a los organismos que disponían de tres meses para adoptar varias propuestas clave. Entre ellas: Adoptar medidas para integrar herramientas de detección y respuesta en los terminales (EDR) en las redes de las agencias.
Sin embargo, esas herramientas han sido objeto recientemente de un escrutinio por parte de « ». Esto se debe a que muchas organizaciones, tanto del sector público como del privado, dependen en exceso de ellas y no son conscientes de sus limitaciones. J.R. Cunningham, director de seguridad de Nuspire, un proveedor de servicios gestionados, advierte de que, si se instalan productos EDR de forma incorrecta o se cree que su alcance es mayor de lo que realmente es, las consecuencias pueden ser tan desastrosas para el funcionamiento de la red como un ciberataque.
Cunningham suele citar el caso de un hospital que intentó implantar un producto EDR.
«Querían el máximo nivel de protección posible y acabaron con toda su red», afirma. «Está manipulando mandos y reguladores que pueden afectar a la disponibilidad tanto como un ataque».
De hecho, los investigadores han planteado recientemente serias dudas sobre la eficacia de los EDR. Un estudio de « » , realizado en la Universidad del Pireo (Grecia), utilizó ataques simulados contra 11 productos EDR populares que suelen utilizar los organismos públicos y las empresas privadas. Los investigadores, que publicaron sus conclusiones en la revista « July 2021», descubrieron que el 50 % de los ciberataques simulados eludieron los sistemas EDR y no generaron ninguna alerta.
A pesar de estas preocupaciones, la Administración Biden está decidida a aprovechar la gran popularidad de los EDR entre las empresas privadas para trasladarla al sector público, con el fin de demostrar que los organismos gubernamentales están dando pasos importantes para reforzar su ciberdefensa. He aquí por qué el enfoque basado únicamente en el EDR puede resultar peligroso.
¿Por qué EDR?
Los desarrolladores han diseñado herramientas de EDR para detectar y responder ante actividades sospechosas en los dispositivos finales, como ordenadores portátiles y de sobremesa. Sin embargo, estas herramientas automatizadas suelen limitarse a detectar únicamente los tipos de ataques ya conocidos. Las organizaciones instalan estos productos con la convicción de que están obteniendo una gama mucho más amplia de servicios, como la detección de amenazas o la capacidad de supervisar de forma proactiva toda la red de la empresa.
«Querían el máximo nivel de protección posible y acabaron arruinando toda su red.»J.R. Cunningham, director de estrategia (CSO) de Nuspire
Puede resultar complicado evaluar la capacidad y la eficacia de un producto EDR. Esto se debe a que las funciones del EDR están sujetas a interpretación. Los productos suelen variar en cuanto a su eficacia y finalidad. Si le pide a un proveedor que le explique en qué consiste su solución EDR, es habitual que presente su propio producto como representativo de todo el mercado. Las empresas de asesoramiento y los consultores complican aún más las cosas al aplicar su propia terminología y sus propios criterios de selección a las capacidades de los productos, presentando sus conclusiones como si fueran hechos.
Matt Brown, director de seguridad de Involta, empresa proveedora de servicios en la nube y consultora, afirma que las empresas suelen afirmar que cuentan con un enfoque de EDR cuando, en realidad, solo utilizan protocolos de seguridad basados en firmas, que reconocen patrones como el malware en el tráfico de red. «Eso estaba bien hace 20 años», afirma. «No es lo que la gente necesita hoy en día».
Para hacer frente a los actuales ataques a la cadena de suministro, al ransomware de tipo « » y a las sofisticadas campañas de phishing, las organizaciones necesitan herramientas de seguridad modernas que puedan combatir la ciberdelincuencia en múltiples frentes y actuar de forma proactiva en la detección de posibles amenazas. Y eso no es lo que ofrecen los productos básicos de EDR, según los expertos.
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
«Hay mucha exageración» en torno a la funcionalidad y las ventajas del EDR, afirma Ben Goodman, director ejecutivo de 4A Security & Compliance. Para contrarrestar esto, un nuevo enfoque conocido como «detección y respuesta ampliadas de » (XDR) podría cubrir las lagunas que dejan los productos EDR. Pero también complica la tarea de la ciberseguridad. Como consecuencia, muchas empresas no saben cómo gestionar los productos y están empezando a sentirse abrumadas por ellos. «Acaban desactivando las alertas», afirma Brown, «lo cual va en contra del objetivo».
El EDR es un proceso, no una herramienta
Numerosos expertos sostienen que el EDR debería aplicarse como un proceso flexible, en lugar de como un producto preconfigurado. Las organizaciones deben tener en cuenta, en primer lugar, las deficiencias de los productos EDR. A menudo, están diseñados para detectar únicamente determinados tipos de actividad en los dispositivos finales. Por lo tanto, existen puntos ciegos en la red en los que los atacantes pueden ocultarse. Además, los productos EDR suelen limitar la actividad que registran, con el fin de proteger el ancho de banda y el consumo de almacenamiento.
«Tengo un cliente al que he acabado llamando Neo, de Matrix, porque ha esquivado tantas balas.»Ben Goodman, director ejecutivo de 4A Security & Compliance
Por otra parte, los procesos de EDR ( ) —y no los productos— resultan mucho más eficaces a la hora de garantizar la seguridad de una organización. supervisan los terminales y recorren todas las redes en busca de actividades sospechosas. Las organizaciones pueden incorporar estos procesos para detectar amenazas que no se hubieran identificado anteriormente. Asimismo, las estrategias de corrección —insistimos, no los productos— pueden adaptarse a la red de una empresa. De este modo, los equipos de seguridad pueden detener procesos maliciosos, eliminar claves del Registro y desinstalar servicios en varios sistemas al mismo tiempo.
El proceso EDR puede detectar mucho más que las herramientas EDR o el software antivirus tradicional. «Se trata de analizar los patrones de comportamiento», afirma Goodman. «Pero lo que realmente tiene valor es la parte de la respuesta. «Puede desconectar sistemas de la red» y a una velocidad que ninguna intervención manual podría igualar, afirma.
No solo es limitado el daño causado por un ataque perpetrado por un Estado-nación o por un código de ransomware, sino que, además, una organización no tiene que desactivar todo el sistema y volver a ponerlo en marcha pieza por pieza, lo que puede provocar interrupciones en el funcionamiento de la organización durante días. «Tengo un cliente al que he empezado a llamar Neo, por The Matrix , ya que ha esquivado tantas balas», afirma Goodman. «Todo este asunto de y el teletrabajo ha hecho que el proceso de EDR cobre mayor importancia».
Práctica de EDR
Para que sean eficaces, los procesos de EDR deben ser diseñados por profesionales cualificados en materia de seguridad. Deben incluir arquitecturas capaces de proteger contra todas las vulnerabilidades. Por lo general, los productos EDR no ofrecen estas funciones.
Los procesos de EDR tampoco son el tipo de plataforma que se puede activar y luego olvidarse de ella. El EDR tampoco debería constituir un pilar de la ciberdefensa de una organización que funcione de forma aislada del resto del software de seguridad. Los procesos de EDR deben complementarse con buenas prácticas de ciberseguridad , estrategias de ciberseguridad —como el inventario de activos , la gestión de activos , la configuración de la red y la gestión de parches —. El EDR no es una herramienta que se pueda configurar una vez y olvidarse de ella.
[Lea también: Exministro de Defensa: «Somos nuestro peor enemigo»]
«La tecnología EDR es solo una parte del conjunto que constituye el EDR», afirma Andrew Plato, pionero en el ámbito de la seguridad desde hace 25 años y actual director general de la empresa de servicios profesionales Zenaciti. «Si adquiere un programa de EDR, estupendo. «Pero si no cuenta con una práctica de EDR, es como si no lo hubiera comprado».
Ed Amoroso, antiguo director de seguridad de la información de AT&T y director ejecutivo de la consultora TAG Cyber, afirma que los procesos de EDR requieren actualizaciones periódicas para mantener su capacidad de detección de amenazas.
En cuanto al EDR, añade, «la idea de que el del terminal debe gestionarse no desaparece».
