Durante más de una década, me he dedicado a una combinación de tareas que incluyen el diseño de redes seguras, la comprobación de controles de seguridad y la investigación de incidentes de seguridad complejos. En cada uno de estos puestos, me costó mucho encontrar herramientas que ofrecieran la visibilidad y el control de todos los terminales necesarios para prevenir, detectar y resolver mejor los incidentes de seguridad. Por eso me sentí ilusionado —y, al principio, escéptico— cuando un antiguo cliente me habló de Tanium. Tras ver la demostración, enseguida me di cuenta del potencial de la plataforma y de las nuevas aplicaciones que ofrecía, algo que resultaba imposible con las soluciones existentes. Y desde que asumí el cargo de director de seguridad en Tanium, he podido comprobar de primera mano las capacidades revolucionarias que Tanium ofrece a sus clientes, y me complace enormemente compartir con ustedes nuestra última ampliación de esta tecnología.
Tanium Trace (Trace) es nuestro módulo más reciente, que lleva la velocidad y la escalabilidad de la plataforma Tanium a un nivel aún mayor. It enables the agility to conduct immediate and in-depth forensic investigations on a single endpoint, as well as perform accurate enterprise-wide searches based on captured artifacts across millions of endpoints in 15-seconds — what previously took days or weeks. Las organizaciones que sigan dependiendo de tecnologías obsoletas, incapaces de alcanzar este nivel de rapidez y visibilidad, se encontrarán muy por detrás de los atacantes y correrán un mayor riesgo de convertirse en el próximo titular de los medios.
¿Cómo es posible? Trace registra de forma continua la actividad de los terminales, incluidos los datos del sistema que no quedan registrados mediante los mecanismos habituales de registro, como los detalles de conexiones de red de corta duración, los hash de los procesos ejecutados y la creación, eliminación o modificación de archivos y claves del Registro. Trace también lleva a cabo una supervisión fiable a nivel del núcleo y es capaz de detectar rootkits u otras técnicas antianalíticas avanzadas que emplean los atacantes para ocultar su actividad. Gracias a esta información, los equipos de seguridad disponen de acceso directo a un historial completo de la actividad maliciosa, algo que no existiría en circunstancias normales.
Cómo beneficia Tanium Trace a las organizaciones
Teniendo en cuenta mis experiencias anteriores en la gestión de grandes incidentes de seguridad, resulta evidente que mis equipos de respuesta a incidentes se habrían beneficiado enormemente de las capacidades que ofrece Trace de tres maneras distintas.
Trace ofrece a los clientes la posibilidad de detectar actividades maliciosas.
En mi anterior puesto, al frente de proyectos de respuesta a incidentes, recibíamos continuamente nueva información, a la que a menudo se hace referencia como «indicadores de compromiso» (IOC). Del mismo modo, la mayoría de las organizaciones reciben indicadores de amenazas (IOC) procedentes de diversas fuentes y los buscan utilizando distintas herramientas. En la mayoría de los casos, los IOC son sencillos (por ejemplo, MD5, IP, nombre de archivo) y las búsquedas pueden llevar horas o días, si es que se dispone realmente de dicha información. Trace transforma este modelo al permitir a las organizaciones buscar datos registrados en todos los terminales en cuestión de segundos. El módulo también puede supervisar de forma continua cualquier combinación de indicadores registrados por Trace. Mediante la plataforma Tanium, las alertas generadas por Tanium Trace pueden utilizarse para automatizar acciones concretas, como subir un archivo a VirusTotal, reenviar información a un SIEM u obtener una instantánea de la base de datos de Trace para su posterior análisis.
Trace puede ayudar a las organizaciones a evaluar el alcance de los incidentes con mayor precisión y rapidez.
Las organizaciones suelen verse desbordadas por las alertas de seguridad. En consecuencia, las organizaciones deben dedicar una cantidad considerable de esfuerzo a analizar las alertas o bien optar por reconstruir, sencillamente, todos los sistemas que puedan haber resultado comprometidos. Ambas son opciones poco recomendables. Analizar todos los incidentes mediante métodos forenses tradicionales puede suponer una carga excesiva para los equipos de seguridad, que ya están muy ocupados, y no permite obtener el mismo nivel de detalle que registra Trace. La reconstrucción de los sistemas sin realizar un análisis suele generar costes innecesarios cuando la alerta inicial resulta ser un falso positivo, o bien impide que los analistas detecten una brecha de seguridad mucho más grave. Trace ofrece a los analistas acceso a una gran cantidad de sucesos relevantes desde el punto de vista forense, de modo que las organizaciones puedan evaluar adecuadamente cada incidente de forma rápida y exhaustiva.
Trace también puede ayudar a las organizaciones a resolver incidentes con mayor precisión y eficiencia.
Una vez que se ha determinado adecuadamente el alcance de un incidente, los analistas pueden utilizar la plataforma principal de Tanium para poner en marcha medidas correctivas que limpien los sistemas afectados y eliminen los rastros de la actividad de los atacantes. Esto permite integrar el proceso de investigación y corrección, lo que limita el impacto en sus usuarios finales y el tiempo necesario para resolver un incidente.
Trace se rige por los mismos principios fundamentales que el resto de la plataforma Tanium, incluida la capacidad de obtener visibilidad inmediata de cientos de miles de sistemas a gran escala. Por lo tanto, no es necesario implementar hardware ni almacenamiento adicionales, independientemente del número de terminales. Del mismo modo, los usuarios de Trace siguen pudiendo aprovechar todo el potencial de la plataforma Tanium para acceder y buscar, en cuestión de segundos, los datos registrados por el módulo.
El hecho de disponer de datos tan detallados, gestionados por esta herramienta, junto con la capacidad de buscar la información contenida en ellos de forma rápida y a gran escala, podría haberme ahorrado —y a los equipos que he dirigido— miles de horas de investigación. Durante las próximas semanas ofreceremos más novedades sobre este módulo, a medida que nuestros clientes sigan implementando y utilizando Trace de formas nuevas e interesantes.
Si está interesado en obtener más información sobre Trace o en ver una demostración de la plataforma Tanium Endpoint, haga clic aquí.
David Damato, director de seguridad
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
