El día July 8, 2024, la secretaria de Interior de Australia, Stephanie Foster, emitió una serie de directrices formales en el marco del Marco de Política de Seguridad Protectora (PSPF) , en las que ordenaba a cada organismo del Gobierno federal que identificara y mitigara los posibles riesgos cibernéticos ante la creciente preocupación por la injerencia extranjera.
Las tres directivas obligatorias exigen a las entidades del Gobierno australiano que:
- Identificar los indicadores es del riesgo de propiedad, control o influencia extranjeros en lo que se refiere a la adquisición y el mantenimiento de activos tecnológicos, y gestionar y comunicar dichos riesgos de forma adecuada
- Realizar inventarios de activos tecnológicos de « » en todos los sistemas o servicios conectados a Internet para identificar y gestionar de forma activa los riesgos asociados a las tecnologías vulnerables que gestionan, incluidas aquellas que gestionan para otras entidades
- Participar en el Programa de Colaboración en Ciberseguridad de la Dirección Australiana de Señales y, para aquellos que utilicen plataformas de intercambio de inteligencia sobre amenazas, compartir información sobre amenazas cibernéticas con la Dirección Australiana de Señales
Cómo puede ayudarle Tanium
Tanium es una potente plataforma de gestión de terminales en tiempo real que ofrece visibilidad y control en tiempo real de los entornos informáticos. Tanium ofrece una amplia gama de capacidades, entre las que se incluyen las siguientes áreas funcionales, que guardan una relación directa con los objetivos de la Directriz 002-2024 de la PSPF.
- Identificación de activos: Se trata de una actividad fundamental y es imprescindible para que cualquier enfoque de gestión y seguridad resulte eficaz. Asimismo, es imprescindible determinar si existen activos y servicios de alto riesgo en su red interna y, en caso afirmativo, dónde se encuentran.
- Mejore los estándares de ciberhigiene de : La visibilidad y el control en tiempo real marcan la diferencia en este caso; es como encender una luz en su entorno. Esta actividad reviste una importancia fundamental, ya que reduce y, en última instancia, elimina la superficie de ataque que los adversarios buscan para acceder a su entorno.
- de detección y búsqueda: . Si un adversario ha logrado infiltrarse en su entorno, es importante localizarlo rápidamente antes de que se afiance aún más y ponga en marcha sus planes maliciosos.
- de respuesta ante incidentes: . Una vez identificada una brecha de seguridad, la prioridad pasa a ser la investigación para evaluar su alcance, la recopilación de todas las pruebas pertinentes, la puesta en cuarentena de los terminales afectados para su contención y, en última instancia, la corrección para expulsar al intruso y anular sus actividades hasta ese momento.
Los enfoques innovadores de Tanium respecto a la Directriz 002-2024 del PSPF
Descubra todos sus activos (conozca su patrimonio)
- Aproveche el escaneo distribuido y centralizado para localizar los activos recién conectados en cuestión de minutos
- Identificar y clasificar a los fabricantes de dispositivos (tanto extranjeros como de otro tipo)
- Incorpore aquellos activos bajo gestión que puedan gestionarse. Una vez que estén bajo gestión, podrá:
- Obtenga una visión centrada en los puntos finales de la red de procesos, puertos y conexiones (orígenes y destinos)
- Identifique todas las aplicaciones de software (proveedores, nombres, versiones y su uso)
- Utilice la Lista de materiales de software (SBOM) de para conocer los componentes de software subyacentes y gestionar así los riesgos de la cadena de suministro.
¿Por qué Tanium? Tanium incorpora una función de detección integrada que permite localizar todos los activos conectados a la red mediante IP de forma sumamente eficiente. A continuación, se puede consultar en tiempo real el estado de los activos gestionados en todo el parque informático, con el fin de garantizar que se disponga de una visión continua y actualizada de todas las facetas del hardware y el software. La consulta de los puntos finales gestionados para conocer sus conexiones de red actuales (e históricas) ofrece una perspectiva única sobre cómo los activos sospechosos o de interés pueden estar interactuando dentro del entorno y, en última instancia, ayuda a identificar y determinar su legitimidad.
Higiene (reducir la superficie de ataque para impedir que los atacantes logren acceder al sistema)
- Visibilidad y control en tiempo real de todo el entorno informático
- Normalización:
- No debería haber muchas versiones de la misma aplicación (por ejemplo, 15 versiones de Chrome o Firefox en todo el entorno).
- No debería haber valores atípicos aislados, como desviaciones respecto a una referencia conocida (por ejemplo, una versión concreta de Chrome o Firefox únicamente en un terminal).
- Elimine el software que no utilice
- Aplicación de parches al sistema operativo y a las aplicaciones de terceros de (además de detectar y solucionar vulnerabilidades)
- Vulnerabilidades de «día cero» (comprenda el grado de exposición en tiempo real y actúe de inmediato para aplicar medidas de mitigación)
- Comprender y poner de manifiesto las vulnerabilidades de la cadena de suministro de « »
¿Por qué Tanium? Tanium permite obtener una visión completa, actualizada y precisa del estado actual del entorno. Cualquier información que se pueda obtener de un único punto final puede consultarse en tiempo real en todo el entorno informático. De este modo, se hacen evidentes las desviaciones y los valores atípicos respecto a una referencia estándar. Una vez detectadas, las anomalías pueden subsanarse de inmediato en Tanium para garantizar el cumplimiento de las normas. Las funciones de aplicación de parches y gestión de vulnerabilidades también se benefician del acceso en tiempo real a los dispositivos finales, lo que permite maximizar el cumplimiento normativo y reducir significativamente la superficie de ataque.
Detección (busque indicios de que los atacantes ya se hayan infiltrado)
- Visualización en tiempo real de controladores, DLL, procesos, hash de archivos, conexiones de red, consultas DNS y cambios en el Registro (como la detección de la presencia de cualquier juego de caracteres internacional)
- Céntrese en las etapas de MITRE ATT&CK « »: persistencia, movimiento lateral y más (Tanium proporciona de forma nativa preguntas de búsqueda relacionadas con estos conceptos).
- Análisis de valores atípicos (por ejemplo, un hash o una DLL de «scvhost.exe» que se presente de forma aislada)
¿Por qué Tanium? El acceso en tiempo real de Tanium a los dispositivos finales permite a los cazadores de amenazas realizar búsquedas tanto a gran escala en todo el entorno para localizar elementos y actividades de interés, como en profundidad en los dispositivos finales para obtener detalles muy específicos. El nivel de visibilidad es muy elevado y garantiza que un adversario no tenga ningún lugar donde ocultar su presencia.
Detección (buscar a los atacantes que ya estén actuando)
- Detección basada en Intel: Tanium Signals/IOCs/Reglas YARA
- Aproveche las alertas de Tanium para detectar actividades en tiempo real (por ejemplo, la instalación y el uso de «web shells»).
¿Por qué Tanium? Las señales de Tanium constituyen un potente mecanismo de inteligencia que permite identificar de forma eficaz y en tiempo real la actividad que tiene lugar en los dispositivos finales. Aunque Tanium ha definido numerosas señales que se incorporan de forma nativa a la plataforma de Tanium, la capacidad de los operadores para ajustar y crear fácilmente nuevas señales permite a las organizaciones actuar con agilidad y adaptarse rápidamente a las nuevas amenazas.
Respuesta ante incidentes (detección, contención y neutralización)
- Analizar las alertas (historial completo del proceso, cronología y antecedentes)
- Recopilar pruebas (pruebas forenses, volcados de memoria y otros elementos)
- Terminales en cuarentena (sin perder las capacidades de gestión)
- Corregir (orientarse hacia medidas basadas en políticas y acciones puntuales)
¿Por qué Tanium? Tanium ofrece las mejores capacidades de respuesta ante incidentes del sector. Una vez identificadas las amenazas, Tanium ofrece la posibilidad de reaccionar de inmediato y formular preguntas de alcance en todo el entorno para confirmar si hay otros terminales afectados. Las pruebas forenses pueden recuperarse y almacenarse con facilidad, lo que permite llevar a cabo medidas de contención —como la cuarentena— sin obstaculizar las actividades de investigación. La capacidad de llevar a cabo acciones puntuales o basadas en políticas en todo el entorno garantiza que los operadores dispongan de los medios necesarios para adoptar medidas defensivas y contrarrestar una intrusión.
