Las organizaciones no pueden permitirse seguir dependiendo completamente de una línea de vida de fuentes de datos únicas para detectar ataques. El arquitecto jefe de seguridad de Tanium, Ryan Kazanciyan, ofrece orientación sobre cómo encontrar los mejores datos de amenazas para abordar las necesidades únicas de su organización.
Pídale a cualquier CISO que identifique sus prioridades principales y escuchará constantemente un elemento en la parte superior de la lista: hacer un mejor uso de los datos de amenazas. De hecho, la inteligencia de amenazas ha evolucionado hasta convertirse en una parte multimillonaria de la industria de la ciberseguridad, y un punto focal de numerosas políticas de ciberseguridad y esfuerzos legislativos, como la Ley de Intercambio de Información de Ciberseguridad de 2015.
Pero a menudo se pasa por alto un problema crítico: con recursos limitados y una multitud de indicadores de amenazas, ¿dónde pueden las organizaciones encontrar la mejor inteligencia sobre sus redes? Hablé sobre este tema en la Cumbre de interrupción cibernética del Centro de Estudios Estratégicos e Internacionales en Washington, DC, la semana pasada.
Compartir información sobre amenazas tiene valor y limitaciones, y es importante que las organizaciones y los responsables de formular políticas comprendan cuáles son, cómo tener en cuenta ellas y qué estrategias adicionales priorizar.
Los límites de los datos de amenazas
Los datos de amenazas compartidos entre organizaciones tienen tres límites clave interconectados:
- Es fácil para los atacantes cambiar sus “huellas” digitales. Los indicadores de amenaza generalmente compartidos entre las organizaciones, como direcciones de red, hashes de archivos, nombres DNS y direcciones URL, son quebradizos y se pueden cambiar rápidamente. La información más valiosa, como los patrones de ataque y la técnica, a menudo se mantiene en “huertos murales” por parte de proveedores de seguridad, mantenidos en formatos que a menudo no son intercambiables entre organizaciones o tecnologías dispares.
- Es difícil validar la calidad de los datos de amenazas. Los programas de intercambio de amenazas se centran en llevar indicadores a los consumidores relevantes lo más rápido posible, en lugar de validarlos. Sin embargo, pocas organizaciones tienen la capacidad o los recursos para realizar evaluaciones cualitativas continuas de los datos de amenazas que están ingiriendo, o la manera en que sus herramientas de monitoreo de red y endpoint los consumen y analizan. Esto conduce a tasas más altas de falsos negativos y falsos positivos, contexto insuficiente para tomar decisiones informadas a escala y el riesgo de atribuir amenazas erróneamente. Esto es particularmente difícil a medida que los atacantes cooptan cada vez más recursos legítimos de red y endpoint para ocultar sus actividades.
- Siempre está jugando a ponerse al día. Es posible que aprenda nuevas técnicas y métodos de detección, pero siempre es después de que los atacantes ya hayan introducido sus tácticas en el campo.
Complementar los datos de amenazas externas mirando hacia adentro
La base de los esfuerzos de seguridad de cualquier organización debe ser comprender su propia red y distinguir fácilmente “normal” de anomalías verdaderamente maliciosas. En la práctica, el ruido de fondo de la mayoría de las redes grandes y heterogéneas puede hacer que esto sea extremadamente difícil. El primer paso para controlar el problema es aplicar tecnología y procesos que puedan identificar continuamente todos los activos que está defendiendo. El siguiente paso es enumerar y agrupar automáticamente estos activos en función de las docenas de atributos críticos que definen su superficie de ataque.
Muchas organizaciones aún tienen dificultades con la primera mitad de este esfuerzo. Por ejemplo, en el espacio federal, varias agencias que se someten a la fase 1 del programa de Diagnóstico y mitigación continuos (Continuous Diagnostics and Mitigation, CMD) han descubierto que han subestimado su número de dispositivos entre un 200 % y un 300 %. En todo el sector público y privado, es común ver la dependencia de inventarios de sistemas desactualizados y bases de datos de gestión de cambios completadas con datos obsoletos. Dichos sistemas y bases de datos desactualizados no proporcionan suficiente contexto del sistema para evaluar y monitorear adecuadamente el riesgo.
Las características que afectan la susceptibilidad de un sistema a comprometer incluyen: sus aplicaciones y servicios instalados; los usuarios que se autentican ante él y desde él; sus interfaces de red; los datos que almacena; y los ajustes de configuración y seguridad clave. Categorizar automáticamente grupos de sistemas basados en atributos en constante cambio constituye la base para un inventario dinámico que realmente puede servir como base para los esfuerzos de detección y respuesta.
Un enfoque combinado para la detección de amenazas
La detección de amenazas moderna requiere un enfoque equilibrado. Para todas sus limitaciones, los datos de amenazas de origen externo, si se aplican con el alcance y la visibilidad suficientes en un entorno, pueden identificar y contextualizar automáticamente un subconjunto de actividad maliciosa. Las herramientas especializadas de monitoreo de seguridad de red y endpoint pueden agregar mecanismos de detección adicionales para patrones de ataque más amplios. Dichas herramientas sirven como complemento de las prácticas de derivar inteligencia de su propio entorno y detectar automáticamente cambios que introducen anomalías o afectan el perfil de riesgo de sus activos.
Ya no podemos continuar a lo largo del camino en el que hemos estado durante los últimos 20 años, lo que depende totalmente de una línea de vida de fuentes de datos únicas de proveedores de seguridad para detectar ataques. Afortunadamente, tanto los responsables de la formulación de políticas como las empresas están comenzando a darse cuenta de esto y a buscar procesos y tecnologías que permitan a las organizaciones comprender y defender realmente sus propios activos.
Si está interesado en obtener más información sobre este tema, consulte mis comentarios completos en la Cumbre sobre interrupción cibernética del Centro de Estudios Estratégicos e Internacionales en Washington aquí (desde la marca de las 6:286:48 ).
Acerca del autor: En su rol como arquitecto jefe de seguridad de Tanium, Ryan Kazanciyan aporta más de 14 años de experiencia en respuesta a incidentes, análisis forense y pruebas de penetración. Ryan supervisa el diseño y la hoja de ruta para las ofertas de Threat Response de Tanium y lidera el equipo de Detección y respuesta de puntos finales (EDR) de Tanium. Antes de unirse a Tanium, Ryan supervisó los esfuerzos de investigación y corrección en Mandiant, asociándose con docenas de organizaciones Fortune 500 afectadas por ataques dirigidos. Ryan ha capacitado a cientos de responsables de respuesta a incidentes como instructor para Black Hat y el equipo cibernético del FBI. Es autor contribuyente de “Incident Response and Computer Forensics 3rd Edition” (McGraw-Hill, 2014). Ryan también trabaja como consultor técnico para la serie de televisión “Sr. Robot”, donde colabora con los escritores y el equipo de producción para diseñar los trucos representados en el programa.
