Las herramientas EDR —al igual que los productos de análisis forense que las precedieron— se adaptan a numerosos casos de uso en los que las soluciones EPP no dan la talla. Sin embargo, una estrategia de seguridad de puntos finales eficaz, como la que ofrece (), incorpora soluciones independientes de EDR y EPP para que pueda responder a la amplia variedad de incidentes habituales en cualquier entorno empresarial.
(Imagen: Macedo Media/Pixabay)
El mercado actual de la seguridad de terminales está repleto de soluciones de plataforma de protección de terminales (EPP) que incorporan algunas funciones de detección y respuesta en terminales (EDR), soluciones EDR que incorporan algunas funciones de EPP y soluciones antivirus «heredadas» que compiten por mantener su posición en el mercado y seguir el ritmo de los nuevos competidores. Si bien el 70 % de las organizaciones tiene previsto aumentar el gasto en ciberseguridad (se abre en una nueva pestaña), siendo la seguridad de los terminales un área prioritaria, el flujo incesante de nuevos ataques que salen a la luz, junto con las promesas audaces y agresivas de los proveedores, genera incertidumbre y frustración. Estos mismos factores también han inspirado la creación de numerosos productos de seguridad que, podría decirse, hacen concesiones erróneas en cuanto a diseño y prestaciones con el fin de captar el interés inicial del gran público.
La carrera por simplificar la seguridad de los puntos finales —y por adaptarse a las limitaciones arquitectónicas de muchas herramientas— ha dado lugar a una dependencia excesiva de la telemetría forense. Casi todos los productos de este sector (incluido Tanium Threat Response) ofrecen una «caja negra» del lado del cliente que registra de forma continua los eventos a nivel del sistema operativo: ejecución de procesos, conexiones de red, operaciones con archivos, etc. Este tipo de datos puede resultar de un valor incalculable tanto para investigar ataques de forma retrospectiva como para detectar y bloquear actividades no deseadas.
Sin embargo, los puntos finales también contienen innumerables artefactos adicionales, que quedan fuera del alcance de dicha telemetría, pero que siguen siendo fundamentales para muchas técnicas habituales de detección y respuesta. Considere la necesidad de examinar los registros de aplicaciones descentralizadas (por ejemplo, los generados por servidores web) en busca de un patrón de ataque específico, o de realizar una búsqueda exhaustiva en grandes volúmenes de datos, como los archivos almacenados en el disco. Las herramientas de EDR eficaces combinan el acceso a nivel de toda la empresa a los datos históricos de telemetría con información sobre los estados actuales que se distribuyen por los distintos sistemas.
En la práctica, he observado varias limitaciones habituales en la funcionalidad de EDR que ofrecen las herramientas diseñadas principalmente para EPP. El primero se manifiesta cuando se implementa una herramienta EPP en un nuevo entorno o en un conjunto de sistemas que ya han sido objeto de un ataque. La telemetría de terminales, las alertas y los flujos de trabajo basados en la prevención solo le ayudan en el caso de incidentes recurrentes o nuevos. Estas herramientas no son de ayuda en el caso de las fuentes de pruebas existentes que el sistema operativo y las aplicaciones puedan conservar de forma nativa. Es posible que tenga que realizar búsquedas en los registros de eventos del sistema operativo, en elementos como los registros de Prefetch o en archivos inactivos creados hace mucho tiempo. Sin esta capacidad, es probable que evalúe erróneamente el alcance de un incidente.
El segundo ejemplo se da cuando se analiza la actividad de un terminal que no ha activado ninguna regla de prevención ni de alerta. Muchas herramientas de EPP se centran en registrar el historial y el contexto de un evento de detección, a cambio de conservar menos datos de telemetría detallados (o ninguno en absoluto) cuando todo parece estar en orden. Esto es especialmente habitual en el caso de los productos que se basan en la centralización de todos los datos en la nube, ya que tiene un impacto directo en sus costes operativos. Sin embargo, también puede limitar su capacidad para buscar o recopilar adecuadamente datos de los terminales procedentes de sistemas que no hayan generado ninguna alerta, especialmente si necesita obtener respuestas a gran escala en cuestión de minutos.
Las herramientas EDR ofrecen la flexibilidad necesaria para adaptarse a numerosos casos de uso
Las herramientas EDR —al igual que los productos de análisis forense que las precedieron— se adaptan a numerosos casos de uso. Una herramienta flexible de seguridad para dispositivos finales debería ayudarle a hacer frente a la amplia variedad de incidentes habituales en cualquier entorno empresarial. Considere los siguientes casos:
- Casos de uso indebido o despido de empleados: «¿Qué archivos copió Jane a unidades externas durante la última semana?»
- Fugas de datos involuntarias: «Alguien ha conseguido una hoja de cálculo con los salarios y la ha estado difundiendo». «Busque todos los sistemas que contengan este archivo».
- Ataques en la capa de aplicación: «Esta vulnerabilidad de Struts deja constancia de un evento característico en los registros del servidor web». «Busque todos los sistemas que contengan esa entrada».
- Ataques a la cadena de suministro de software: «Un editor de texto que utilizan la mayoría de nuestros ingenieros acaba de sufrir una actualización maliciosa que ningún producto antimalware detecta». «¿Quiénes se vieron afectados y se produjo alguna actividad tras la infección?»
- Solución de problemas: «El equipo de TI sospecha que una aplicación de terceros está provocando pantallas azules de la muerte (BSOD)». «Identifique todos los sistemas que presenten archivos de volcado de memoria y determine si existe alguna correlación».
La mayoría de los productos de EPP no se diseñaron con la flexibilidad necesaria para hacer frente a este tipo de incidentes. Están diseñados para bloquear categorías específicas de exploits, archivos binarios maliciosos o actividades posteriores a la intrusión a nivel del sistema operativo.
Limitar el alcance de los datos que recopila y analiza también puede impedirle detectar técnicas de ataque emergentes, que las herramientas centradas en la prevención aún no pueden bloquear de forma fiable. Es posible que sus equipos de respuesta de primera línea tengan que trabajar con eventos de alta fidelidad, pero su equipo de respuesta a incidentes cibernéticos (CIRT) y su equipo de detección proactiva deben poder buscar y analizar todos los datos de un terminal, y no solo aquellos que se hayan marcado como sospechosos. Esto les permite establecer un patrón de referencia de la actividad entre conjuntos de ordenadores y usuarios, detectar nuevos tipos de anomalías y establecer nuevos mecanismos de detección que puedan automatizarse en el futuro.
Los intrusos siguen perfeccionando sus técnicas de infiltración
La evolución de los ataques basados en PowerShell constituye un buen ejemplo. Los intrusos han perfeccionado sus técnicas, pasando de la ejecución de scripts maliciosos a diversos métodos, entre los que se incluyen comandos de «una sola línea» que pasan código de script en los argumentos, técnicas encubiertas que utilizan el marco de automatización de PowerShell para evitar la ejecución de comandos en el shell y la ofuscación para eludir la detección basada en palabras clave. La elusión de los controles de aplicaciones mediante el uso de .NET y otros intérpretes de código nativo constituye otro ejemplo de un ámbito de investigación sobre ataques en rápido desarrollo, en el que las herramientas de protección de puntos finales (EPP) tienen dificultades para seguir el ritmo de forma fiable . Si su estrategia de seguridad de terminales se basa en reglas de prevención de tipo «caja negra» orientadas al mínimo común denominador, siempre irá un paso por detrás de las nuevas técnicas de ataque.
Por último, la eficacia de cualquier solución de seguridad centrada en la prevención depende de su grado de cobertura —y de su capacidad para mantener un estado operativo y una configuración óptimos— en todo el entorno. Muchas organizaciones siguen teniendo dificultades para garantizar que su conjunto completo de herramientas para terminales esté plenamente implantado en todos los sistemas. Tanium suele constatar que, de media, el 20 % de los sistemas no están gestionados adecuadamente debido a problemas como la falta de herramientas o el mal funcionamiento de estas.
Además, muchas organizaciones optan por «atenuar» sus productos antimalware para controlar los falsos positivos. De este modo, las funciones de prevención se convierten en funciones de detección que generan alertas que se ignoran sistemáticamente y que, por lo tanto, dan lugar a más puntos ciegos. Una solución eficaz de seguridad para terminales debe proporcionar la visibilidad y el control básicos necesarios para maximizar la cobertura y la utilización de los productos antimalware, así como de otros controles, como los parches y las configuraciones de seguridad «reforzadas».
La evolución del sector de productos EPP a partir del ámbito más amplio de las soluciones EDR es una consecuencia natural de los continuos esfuerzos por automatizar y simplificar las funciones de seguridad que antes requerían conocimientos avanzados y especializados. Sin embargo, su aparición no elimina muchos de los problemas fundamentales de seguridad de los terminales que siguen afectando a la mayoría de las empresas, ni sustituye ni deja obsoletos muchos de los casos de uso fundamentales que dieron origen al mercado de EDR en primer lugar. A medida que las organizaciones siguen invirtiendo en tecnologías para dispositivos finales, deben esforzarse por equilibrar su cartera con soluciones que abarcen una amplia gama de retos de seguridad y que, en última instancia, aborden la causa raíz de los incidentes que afectan a su negocio.
¿Tiene alguna pregunta? Tenemos las respuestas. Únase hoy mismo a la conversación y póngase en contacto con sus compañeros y con los expertos técnicos de Tanium en nuestro foro « » () y en la comunidad de usuarios de Tanium ().
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
Acerca del autor,: En su cargo de arquitecto jefe de seguridad de Tanium, Ryan Kazanciyan aporta más de 14 años de experiencia en respuesta a incidentes, análisis forense y pruebas de penetración. Ryan supervisa el diseño y la hoja de ruta de las soluciones de respuesta ante amenazas de Tanium y dirige el equipo de detección y respuesta en terminales (EDR) de Tanium. Antes de incorporarse a Tanium, Ryan supervisó las labores de investigación y corrección en Mandiant, colaborando con decenas de organizaciones de la lista «Fortune 500 » que se habían visto afectadas por ataques selectivos. Ryan ha formado a cientos de especialistas en gestión de incidentes en su calidad de formador para Black Hat y la unidad cibernética del FBI. Es uno de los autores que han colaborado en la obra «Incident Response and Computer Forensics, 3.ª edición» (McGraw-Hill, 2014). Ryan también trabaja como asesor técnico de la serie de televisión «Mr. Robot», donde colabora con los guionistas y el equipo de producción para diseñar los ataques informáticos que se muestran en la serie.
