El ritmo de las directivas destinadas a ajustar las prácticas laxas de ciberseguridad del gobierno de los EE. UU. se ha acelerado. Este mes, la administración de Biden ordenó a todas las agencias federales corregir casi 300 vulnerabilidades cibernéticas que los hackers pueden usar para infiltrarse y dañar las redes informáticas gubernamentales.
Pero fue una directiva anterior la que causó alarma entre los expertos en seguridad. El 8 de octubre, la Oficina de Administración y Presupuesto (Office of Management and Budget, OMB) de los EE. UU. les dijo a las agencias que tenían tres meses para adoptar varias propuestas clave. Entre ellos: Tome medidas para incorporar herramientas de detección y respuesta de endpoint (EDR) en las redes de la agencia.
Sin embargo, esas herramientas han pasado por un escrutinio reciente. Esto se debe a que muchas organizaciones, tanto en el sector público como en el privado, dependen demasiado de ellas y no se dan cuenta de sus limitaciones. J.R. Cunningham, director de seguridad de Nuspire, un proveedor de servicios administrados, advierte que si instala productos EDR incorrectamente o cree que su alcance es más grande de lo que es, el impacto puede ser tan desastroso para las operaciones de red como un ciberataque.
Cunningham a menudo cita el caso de un hospital que intentó implementar un producto EDR.
“Querían el máximo nivel de protección que podían obtener y activar toda su red”, dice. “Está arruinando con perillas y cuadrantes que pueden ser tan perjudiciales para la disponibilidad como un ataque”.
De hecho, los investigadores han planteado recientemente preguntas graves sobre la efectividad de EDR. Un estudio en la Universidad de Pireo en Grecia utilizó hackeos simulados contra 11 productos EDR populares que son implementados regularmente por agencias gubernamentales y empresas privadas. Los investigadores, que publicaron sus hallazgos en July 2021, encontraron que el 50 % de los ciberataques simulados pasaron por alto por las EDR y no generaron una alerta.
A pesar de tales inquietudes, la administración de Biden está ansiosa por mitigar la popularidad generalizada de las EDR entre las empresas privadas en el sector público, para mostrar que las agencias gubernamentales están haciendo progresos en fortalecer su ciberdefensa. Este es el motivo por el que el enfoque EDR solo puede ser peligroso.
¿Por qué EDR?
Los desarrolladores diseñaron herramientas EDR para detectar y responder a actividades sospechosas en puntos finales, como computadoras portátiles y computadoras. Pero estas herramientas automatizadas a menudo se limitan a detectar solo tipos de ataque conocidos anteriormente. Las organizaciones instalan los productos con la creencia de que están recibiendo una gama mucho más amplia de servicios, como la detección de amenazas o la capacidad de monitorear proactivamente toda una red empresarial.
“Querían el máximo nivel de protección que podían obtener y activar toda su red”.J.R. Cunningham, CSO, Nuspire
Puede ser difícil evaluar la capacidad y la efectividad de un producto EDR. Esto se debe a que las funciones de EDR están abiertas a la interpretación. Los productos a menudo varían en efectividad y propósito. Pídale a un proveedor que proporcione una definición de cuál se supone que es su EDR y a menudo representará su propio producto como representativo de todo el mercado. Las firmas asesoras y los consultores embargan aún más las aguas aplicando su propia terminología y filtros en las capacidades del producto, presentando sus hallazgos como hechos.
Matt Brown, director de Seguridad de Involta, proveedor y consultor en la nube, dice que las empresas a menudo dirán que tienen un enfoque de EDR cuando, de hecho, solo operan protocolos de seguridad basados en firmas, que reconocen patrones como malware en el tráfico de redes. “Eso estuvo bien hace 20 años”, dice. “No es lo que la gente necesita hoy”.
Para lidiar con los ataques actuales a la cadena de suministro, el ransomware y las sofisticadas expediciones de phishing, las organizaciones necesitan herramientas de seguridad modernas que puedan combatir el delito cibernético en múltiples frentes y ser proactivas en la detección de posibles amenazas. Y eso no es lo que ofrecen los productos básicos de EDR, digamos expertos.
[Leer también: Detección y respuesta de punto final 101—what EDR y dónde se queda corto]
“Hay mucha distensión” sobre la funcionalidad y los beneficios de EDR, dice Ben Goodman, director ejecutivo de 4A Security & Compliance. Para contrarrestar eso, un nuevo enfoque conocido como detección y respuesta extendidas (XDR) puede potencialmente tapar las brechas que dejan los productos EDR. Pero también complica la tarea de ciberseguridad. Como resultado, muchas empresas no saben cómo gestionar los productos y se están fatigando por ellos. “Terminan desactivando las alertas”, dice Brown, “lo que anula el propósito”.
EDR es un proceso, no una herramienta
Muchos expertos dicen que la EDR debe aplicarse como un proceso flexible, en lugar de un producto empaquetado. Las organizaciones primero deben considerar la debilidad de los productos EDR. Con frecuencia, están diseñados para ver solo tipos específicos de actividad en los puntos finales. Por lo tanto, hay puntos ciegos de red en los que los atacantes se esconden. Los EDR también a menudo limitan las actividades que registran, para proteger el ancho de banda y el consumo de almacenamiento.
“Tengo un cliente que he tomado para llamar a Neo de The Matrix porque ha esquivado tantas viñetas”.Ben Goodman, director ejecutivo de 4A Security & Compliance
Por otro lado, los procesos de EDR, no los productos, son mucho más efectivos para mantener segura una organización. Monitorean los puntos finales y se mueven a lo largo de redes completas en busca de actividad sospechosa. Las organizaciones pueden agregar estos procesos para localizar amenazas previamente no definidas. Además, las estrategias de corrección, una vez más, no los productos, pueden adaptarse a la red de una empresa. Luego, los equipos de seguridad pueden eliminar procesos fraudulentos, eliminar claves de registro y desinstalar servicios en varios sistemas simultáneamente.
El proceso EDR puede detectar mucho más que herramientas EDR o software antivirus tradicional. “Se trata de observar patrones de comportamiento”, dice Goodman. “Pero lo que es realmente valioso es la parte de respuesta. Puede sacar sistemas de la red” y a una velocidad la acción manual nunca coincidirá, dice.
Los daños causados por un ataque de estado-nación o un código de ransomware no solo son limitados, sino que una organización no tiene que eliminar todo y recuperarlo de a una parte por vez, lo que puede interrumpir una organización durante días. “Tengo un cliente que he tomado para llamar a Neo de The Matrix porque ha esquivado tantas viñetas”, dice Goodman. “Todo el trabajo desde casa ha hecho que el proceso de EDR sea más importante”.
Práctica de EDR
Para ser efectivos, los procesos de EDR deben ser diseñados por profesionales de seguridad calificados. Deben incluir arquitecturas que puedan proteger todas las vulnerabilidades. Dichas capacidades generalmente no son ofrecidas por los productos EDR.
El proceso EDR tampoco es la plataforma que se puede activar y luego olvidar. EDR tampoco debe ser un punto de partida de la ciberdefensa de una organización que se opera aislada de otro software de seguridad. Los procesos de EDR deben estar respaldados por buenas estrategias de higiene cibernética , como la gestión del inventario de activos , la configuración de red y la gestión de parches . EDR no es una herramienta para establecerlo y olvidarlo.
[Leer también: Exjefe de defensa: “Somos nuestro peor enemigo”]
“La tecnología EDR es solo una parte de la totalidad de lo que es EDR”, dice Andrew Plato, pionero en seguridad de 25 años y actualmente director ejecutivo de la firma de servicios profesionales Zenaciti. “Usted compra un programa EDR, eso es genial. Pero si no tiene una práctica de EDR, es posible que tampoco la haya comprado”.
Ed Amoroso, ex director de seguridad de la información de AT&T y director ejecutivo de la firma de analistas TAG Cyber, dice que los procesos de EDR requieren actualizaciones regulares para respaldar sus capacidades de detección de amenazas.
Con EDR, agrega: “la idea de que el endpoint debe gestionarse no desaparece”.
