Las herramientas de EDR, como los productos de análisis forense que los precedieron, se adaptan a muchos casos de uso donde el EPP no funciona. Sin embargo, una estrategia de seguridad de endpoint efectiva incorpora EDR y EPP independientes para que pueda responder a la amplia gama de incidentes comunes en cualquier entorno empresarial.
(Imagen: Macedo Media/Pixabay)
El mercado actual de seguridad de endpoint finales está lleno de soluciones de plataforma de protección de puntos finales (EPP) que hacen un poco de detección y respuesta de puntos finales (EDR), soluciones de EDR que hacen un poco de EPP y soluciones antivirus “heredadas” que avanzan para mantener su presencia y mantenerse al día con los nuevos competidores. Aunque el 70 % de las organizaciones planean aumentar el gasto en ciberseguridad (se abre en una nueva pestaña), con la seguridad de los endpoint como un área de enfoque, el flujo interminable de ataques recientemente publicados, junto con promesas audaces y agresivas de los proveedores, conducen a incertidumbre y frustración. Estos mismos factores también han inspirado muchos productos de seguridad que posiblemente hagan las concesiones incorrectas en diseño y capacidad para obtener el atractivo inicial entre las masas.
La carrera para simplificar la seguridad de los endpoint, y para adaptarse a las limitaciones arquitectónicas en muchas herramientas, ha llevado a una dependencia excesiva de la telemetría forense. Casi todos los productos en este espacio (incluido Tanium Threat Response) proporcionan una “caja negra” del lado del cliente que preserva continuamente los eventos a nivel del SO: ejecución de procesos, conexión de red, operaciones de archivos, etc. Esta forma de datos puede ser invaluable para investigar retroactivamente los ataques, así como para detectar y bloquear la actividad no deseada.
Sin embargo, los puntos finales también contienen innumerables otros artefactos, que quedan fuera del alcance de dicha telemetría, pero siguen siendo críticos para muchas técnicas comunes de detección y respuesta. Considere la necesidad de examinar los registros de aplicaciones descentralizadas (por ejemplo, los generados por servidores web) para un patrón específico de ataque o para realizar una búsqueda amplia en grandes volúmenes de datos, como archivos en reposo en disco. Las herramientas EDR efectivas combinan el acceso a la telemetría histórica en toda la empresa con evidencia sobre los estados actuales que se distribuyen entre los sistemas.
En la práctica, he visto varias limitaciones comunes en la funcionalidad de EDR proporcionadas por herramientas diseñadas principalmente para EPP. El primer manifiesto se manifiesta cuando se implementa una herramienta EPP en un nuevo entorno o conjunto de sistemas que ya se han visto comprometidos. Los flujos de trabajo basados en telemetría, alertas y prevención de punto final solo lo ayudan con eventos recurrentes o nuevos. Estas herramientas no ayudan con las fuentes de evidencia existentes que podrían ser preservadas de manera nativa por el sistema operativo y las aplicaciones. Es posible que deba buscar en registros de eventos del SO, artefactos como registros previos a la búsqueda o archivos en reposo creados hace mucho tiempo. En ausencia de esta capacidad, es probable que malinterprete el alcance de un incidente.
El segundo ejemplo ocurre cuando se investiga la actividad del endpoint que no desencadenó una regla de prevención o alerta. Muchas herramientas de EPP se centran en capturar el historial y el contexto en torno a un evento de detección, con la compensación de retener una telemetría menos verbal (o nada en absoluto) cuando todo parece ser normal. Esto es particularmente común para los productos que dependen de la centralización de toda la información en la nube, ya que afecta directamente sus gastos operativos. Sin embargo, también puede inhibir su capacidad de buscar o recopilar adecuadamente datos de endpoint de sistemas que no han generado una alerta, especialmente si necesita obtener respuestas a escala en minutos.
Las herramientas EDR tienen la flexibilidad de adaptarse a muchos casos de uso
Las herramientas EDR, como los productos de análisis forense que los precedieron, se adaptan a muchos casos de uso. Una herramienta flexible de seguridad de endpoint debe ayudarlo a responder a la amplia gama de incidentes comunes en cualquier entorno empresarial. Considere los siguientes escenarios:
- Casos de uso indebido o terminación del empleado: “¿Qué archivos copió Jane a unidades externas durante la última semana?”
- Filtraciones de datos no intencionales: “Alguien recibió una hoja de cálculo de salario y la ha estado transmitiendo. Encuentre todos los sistemas que tienen este archivo”.
- Ataques de capa de aplicación: “Este exploit de Struts deja un evento distintivo en los registros del servidor web. Encuentre todos los sistemas que contengan esa entrada”.
- Ataques a la cadena de suministro de software: “Un editor de texto utilizado por la mayoría de nuestros ingenieros acaba de verse afectado por una actualización maliciosa que no detectan productos antimalware. ¿Quién se vio afectado y ocurrió alguna actividad posterior a la infección?”
- Resolución de problemas: “El equipo de TI sospecha que una aplicación de terceros está causando BSOD. Encuentre todos los sistemas con artefactos de volcado de choque y establezca si hay una correlación”.
La mayoría de los productos EPP no se diseñaron con la flexibilidad para abordar estos tipos de incidentes. Están orientados a detener categorías específicas de exploits, binarios maliciosos o actividad posterior al compromiso de capa de SO.
Limitar la apertura de los datos que recopila y analiza también puede dejarlo ciego a las técnicas de ataque emergentes, que las herramientas centradas en la prevención aún no pueden bloquear de manera confiable. Es posible que sus socorristas de primer nivel necesiten trabajar con eventos de alta fidelidad, pero su equipo de respuesta a incidentes cibernéticos (CIRT) y su equipo de caza deben poder buscar y analizar datos completos desde un endpoint, no solo lo que se marca como sospechoso. Esto les permite establecer una referencia de la actividad entre conjuntos de computadoras y usuarios, descubrir nuevos tipos de anomalías y establecer nuevos mecanismos de detección que se pueden automatizar en el futuro.
Los intrusos continúan evolucionando su oficio
La evolución de los ataques basados en PowerShell sirve como un buen ejemplo. Los intrusos han evolucionado su técnica de ejecutar scripts maliciosos a varios métodos, incluidos comandos de “una sola línea” que pasan el código de script en argumentos, técnicas encubiertas que emplean el marco de automatización de PowerShell para evitar el shelling y la ofuscación para evadir la detección basada en palabras clave. Las omisiones de control de aplicaciones que aprovechan .NET y otros intérpretes de código nativo son otro ejemplo de un área de investigación de ataques de rápido desarrollo en la que las herramientas de EPP tienen dificultades para mantener el ritmo de manera confiable. Si su estrategia de seguridad de endpoint se basa en reglas de prevención de caja negra orientadas al denominador común más bajo, estará constantemente un paso detrás de las nuevas técnicas de ataque.
Finalmente, cualquier solución de seguridad centrada en la prevención es tan efectiva como su grado de cobertura, y la capacidad de mantener un estado operativo y una configuración saludables, en todo un entorno. Muchas organizaciones aún tienen dificultades para asegurarse de tener su pila completa de herramientas de endpoint completamente implementada en todos los sistemas. Tanium comúnmente encuentra que un promedio del 20 % de los sistemas no están bajo la gestión adecuada debido a problemas como herramientas faltantes o “rotas”.
Además, muchas organizaciones optan por “afinar” sus productos antimalware para gestionar falsos positivos. Por lo tanto, las características de prevención se convierten en características de detección que producen alertas que se ignoran de manera rutinaria y, por lo tanto, conducen a más puntos ciegos. Una solución efectiva de seguridad de endpoint debe proporcionar la visibilidad y el control básicos necesarios para maximizar la cobertura y la utilización de productos antimalware, así como otros controles como parches y ajustes de seguridad “reforzados”.
La evolución del sector de productos EPP desde el espacio más amplio de EDR es una consecuencia natural de los esfuerzos continuos por automatizar y simplificar las funciones de seguridad que anteriormente requerían conocimiento avanzado y especializado. Sin embargo, su aparición no elimina muchos de los problemas fundamentales de seguridad de los endpoint finales que aún afectan a la mayoría de las empresas, ni desplaza ni vuelve obsoleta a muchos de los casos de uso principales que generaron el mercado de EDR en primer lugar. A medida que las organizaciones continúan invirtiendo en tecnologías de endpoint, deben esforzarse por equilibrar su cartera con soluciones que cubran una amplia gama de desafíos de seguridad y, en última instancia, aborden la causa raíz de los incidentes que afectan su negocio.
¿Tiene preguntas? Tenemos respuestas. Únase a la conversación hoy mismo y conéctese con sus pares y expertos técnicos de Tanium en nuestra Comunidad de usuarios de Tanium.
¿Le interesa ver a Tanium en acción? Programe una demostración personalizada o asista a nuestro seminario web semanal. Hable con nuestros expertos de Tanium en nuestros próximos eventos.
Acerca del autor: En su rol como arquitecto jefe de seguridad de Tanium, Ryan Kazanciyan aporta más de 14 años de experiencia en respuesta a incidentes, análisis forense y pruebas de penetración. Ryan supervisa el diseño y la hoja de ruta para las ofertas de Threat Response de Tanium y lidera el equipo de Detección y respuesta de puntos finales (EDR) de Tanium. Antes de unirse a Tanium, Ryan supervisó los esfuerzos de investigación y corrección en Mandiant, asociándose con docenas de organizaciones Fortune 500 afectadas por ataques dirigidos. Ryan ha capacitado a cientos de responsables de respuesta a incidentes como instructor para Black Hat y el equipo cibernético del FBI. Es autor contribuyente de “Incident Response and Computer Forensics 3rd Edition” (McGraw-Hill, 2014). Ryan también trabaja como consultor técnico para la serie de televisión “Sr. Robot”, donde colabora con los escritores y el equipo de producción para diseñar los trucos representados en el programa.
