Los ciberataques lanzados por naciones y Estados-nación contra empresas privadas —y entre ellos mismos— no son nada nuevo. Sin embargo, su audacia, frecuencia y sofisticación han ido aumentando de forma constante.
En este blog, analizaremos cómo el conector de Tanium para OpenCTI, desarrollado recientemente, proporciona a las organizaciones el tipo de inteligencia sobre amenazas que necesitan para identificar y solucionar con mayor rapidez las amenazas cibernéticas.
«En estos momentos, la ciberseguridad corre a cargo de empresas individuales», explica Jerome Warot, vicepresidente de gestión técnica de cuentas de Tanium. «Los proveedores están ofreciendo soluciones, pero la globalización de las amenazas implica que los países deben empezar a colaborar entre sí». «Y la mejor manera de lograrlo es mediante comunidades que traspasen fronteras y creen plataformas abiertas y flexibles de ciberseguridad e inteligencia sobre amenazas».
Warot establece una analogía con la forma en que el mundo ha forjado alianzas para luchar contra la pandemia de la COVID-19.
«La pandemia es un problema mundial», prosigue Warot. «Y los laboratorios de todo el mundo están empezando a colaborar para hacer frente a esta situación mediante el desarrollo de vacunas y pruebas, así como el intercambio de resultados de investigación». «En lo que respecta a la ciberseguridad, OpenCTI ofrece a las personas la oportunidad de compartir conocimientos para hacer frente a las amenazas».
¿Qué es OpenCTI?
OpenCTI (se abre en una nueva pestaña) (Open Cyber Threat Intelligence) es una plataforma de código abierto que permite a las organizaciones gestionar el conocimiento sobre inteligencia de amenazas cibernéticas. Se creó con el fin de estructurar, almacenar, organizar y visualizar información técnica y no técnica sobre las amenazas cibernéticas.
Su desarrollo tuvo su origen en la Agencia Nacional de Seguridad de la Información de Francia (ANSSI) (se abre en una nueva pestaña) y en el CERT-EU (Equipo de Respuesta a Emergencias Informáticas de la Unión Europea) (se abre en una nueva pestaña). Desde entonces, la plataforma se ha publicado como código abierto y se ha puesto a disposición de toda la comunidad dedicada a la inteligencia sobre amenazas cibernéticas.
Tanium and OpenCTI
Antes de incorporarse a Tanium como director de estrategia y operaciones de seguridad, Samuel Hassine fue responsable de inteligencia sobre amenazas cibernéticas en la ANSSI. Sabe perfectamente lo potente que puede llegar a ser la plataforma Tanium cuando se conecta a OpenCTI.
«Tanium es como un coche potente por todo lo que es capaz de hacer en materia de detección y respuesta ante ciberataques, así como por las capacidades forenses de su módulo de respuesta ante amenazas Threat Response (se abre en una nueva pestaña) », afirma Hassine. «Un coche necesita combustible. «Tanium ya ofrece firmas de comportamiento listas para usar, mientras que la integración con OpenCTI aporta otros tipos de indicadores para ampliar la cobertura global».
El conector recoge datos de inteligencia sobre amenazas de OpenCTI y los transmite a Tanium con el fin de realizar la búsqueda y detección de amenazas. OpenCTI también cuenta con conectores para recopilar datos de inteligencia sobre amenazas procedentes de fuentes abiertas o cerradas, como FireEye, FS-ISAC, AlienVault, Kaspersky, VirusTotal o MISP (Malware Information Sharing Platform).
«OpenCTI cuenta con integraciones con numerosos proveedores de ciberseguridad», explica Hassine. «Esto permite a las organizaciones recopilar información de diversas fuentes y disponer de ella en un único lugar. De este modo, resulta mucho más sencillo utilizar firmas o indicadores en las actividades de detección o de búsqueda de amenazas. «Y todos los conectores son abiertos y de libre uso».
Calidad de los datos, contexto y rapidez
El conector OpenCTI permite a las organizaciones seleccionar los datos sobre amenazas que resultan más relevantes para su sector y su situación de seguridad. Pueden configurar fuentes de datos con distintos niveles de confianza. Además, al investigar una alerta o un indicador de amenaza, los analistas pueden consultar OpenCTI para ver la firma de una amenaza y examinar el contexto relacionado con ella, como su atribución a los autores de la amenaza y las tácticas empleadas por los objetivos como respuesta.
Uno de los mayores retos a los que se enfrentan las organizaciones, además de disponer de datos de calidad, es reducir el tiempo que se tarda en determinar si un suceso constituye una actividad maliciosa. Para un analista, disponer de los datos y el contexto que proporciona OpenCTI puede reducir considerablemente el tiempo necesario para la validación.
La información sobre amenazas cibernéticas que proporciona OpenCTI puede utilizarse de diversas formas. Por ejemplo, podría utilizarse para buscar posibles amenazas en un lago de datos. Además, tal y como se ha mencionado, puede proporcionar información a una herramienta forense, de detección y corrección como el módulo « » de Tanium, «Threat Response» (se abre en una nueva pestaña) .
Los datos de OpenCTI también incluyen directrices de detección y corrección para diferentes tipos de amenazas. Por supuesto, los datos pueden servir de base para los informes dirigidos a la dirección y al consejo de administración sobre el estado de seguridad de una empresa y sus posibles vulnerabilidades.
Sin embargo, es importante recordar que OpenCTI no puede actuar por sí solo.
La plataforma OpenCTI está en constante evolución
A medida que la plataforma OpenCTI va madurando, su propio centro de datos va creciendo. OpenCTI también actualiza constantemente sus conectores de fuentes de datos y sigue un ritmo de lanzamiento mensual para la plataforma. La arquitectura abierta de Tanium hace que sea la opción ideal para una integración con OpenCTI.
«Tanium es único porque es bastante abierto», afirma Hassine. «Otros sistemas de detección en terminales resultan difíciles de integrar, ya que cuentan con sus propias fuentes de información sobre amenazas». «Sin embargo, con Tanium puede conectarse a otras fuentes de datos para mejorar sus capacidades de detección».
Esa flexibilidad también implica que las organizaciones pueden elegir las fuentes de datos de OpenCTI que mejor se adapten a su negocio. No tienen por qué llevarse todo lo que haya disponible. Pueden recopilar información relevante sobre un mercado, un sector específico o una amenaza concreta o un vector de amenaza.
Trends in threat hunting and vulnerability detection
«Cuando empecé a trabajar en OpenCTI, fue para satisfacer las necesidades internas de la Agencia Nacional de Ciberseguridad de Francia», recuerda Hassine. «Nos faltaba una herramienta como esa». Y no lo hemos podido encontrar en el mercado. «Así que nos pusimos manos a la obra con el desarrollo y nunca pensé que tendría tal repercusión ni que tanta gente querría utilizarlo».
Hassine feels that this is an indicator of how the field of threat hunting and vulnerability detection is changing. It’s becoming much more data driven, even among organizations that are relatively immature in terms of cybersecurity.
«Lo que estoy observando sobre el terreno es que la gente ha empezado a comprender en qué consiste la ciberseguridad y qué deben hacer», afirma Hassine. «Las organizaciones desean reforzar su capacidad en materia de ciberseguridad, pero cuentan con recursos limitados». «Por lo tanto, deben establecer prioridades».
Since it can take years to build a comprehensive detection capability, data can support the effort to prioritize and reduce an organization’s attack surface. Data provides a roadmap for prioritization, so organizations can address the most prominent threats.
“It’s like malicious, massive phishing,” Hassine muses. “You don’t try to spear every fish. You go after the most dangerous ones. Most of the teams in charge of developing detection capabilities understand this and they are using threat intelligence to prioritize their development and integrations. No system can address all tactics and procedures; you have to make choices.”
In their efforts, the usage of the MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) framework as a comprehensive matrix of tactics and techniques used by threat hunters, red teamers, and defenders to better classify attacks, could turn to be very helpful.
«Supongamos que estima que su cobertura es de casi el 60 % del marco», afirma Hassine. «Pronto se dará cuenta de que podría llevar años subsanar las deficiencias restantes». «El uso de datos pertinentes de inteligencia sobre amenazas cibernéticas puede, sin duda, ayudar a establecer las prioridades de las próximas medidas».
El conector Tanium-OpenCTI ya está listo para su uso en producción y a disposición de todos los clientes de Tanium.
«El conector aprovecha los últimos avances técnicos de la plataforma OpenCTI, que proporciona un flujo de eventos en tiempo real con datos de inteligencia sobre amenazas». «Por lo tanto, la plataforma Tanium recibe en tiempo real las firmas y los indicadores más recientes», afirma Hassine. «No es difícil de instalar. La configuración es sencilla. Lo complicado es saber exactamente qué tipo de conocimientos necesita. No puede importar todo a Tanium. «Tiene que elegir, y eso requiere ciertos conocimientos en materia de ciberseguridad».
Para obtener más información sobre el anuncio del conector OpenCTI , consulte el comunicado de prensa (se abre en una nueva pestaña).
Para obtener información más detallada y documentación sobre la configuración del conector, visite este sitio web:.
