Las organizaciones no pueden permitirse seguir dependiendo por completo de una única fuente de datos genérica para detectar ataques. Ryan Kazanciyan, arquitecto jefe de seguridad de Tanium, ofrece orientación sobre cómo encontrar los mejores datos sobre amenazas para dar respuesta a las necesidades específicas de su organización.
Pregunte a cualquier responsable de seguridad de la información (CISO) cuáles son sus principales prioridades y siempre oirá que hay un aspecto que encabeza la lista: aprovechar mejor los datos sobre amenazas. De hecho, la inteligencia sobre amenazas se ha convertido en un segmento del sector de la ciberseguridad valorado en miles de millones de dólares y en un eje central de numerosas iniciativas legislativas y de política en materia de ciberseguridad, como la Ley de Intercambio de Información sobre Ciberseguridad « » de 2015.
Sin embargo, a menudo se pasa por alto una cuestión fundamental: con recursos limitados y una gran cantidad de indicadores de amenazas, ¿dónde pueden las organizaciones encontrar la mejor información sobre sus redes? La semana pasada hablé sobre este tema, « », en la cumbre «Cyber Disrupt Summit» del Centro de Estudios Estratégicos e Internacionales (CSIS), celebrada en Washington, D.C.
El intercambio de datos sobre amenazas tiene sus ventajas y sus limitaciones, y es importante que las organizaciones y los responsables políticos comprendan cuáles son, cómo tenerlas en cuenta y qué estrategias adicionales deben priorizarse.
Los límites de los datos sobre amenazas
Los datos sobre amenazas que se comparten entre organizaciones presentan tres limitaciones fundamentales e interrelacionadas:
- A los atacantes les resulta fácil modificar sus «huellas» digitales. Los indicadores de amenazas que suelen compartirse entre organizaciones —direcciones de red, hash de archivos, nombres DNS y URL— son frágiles y pueden modificarse rápidamente. La información más valiosa, como los patrones de ataque y las técnicas de espionaje, suele estar confinada en «jardines amurallados» por parte de los proveedores de seguridad, y se mantiene en formatos que, a menudo, no son compatibles entre organizaciones o tecnologías diferentes.
- Resulta difícil verificar la calidad de los datos sobre amenazas. Los programas de intercambio de información sobre amenazas se centran en hacer llegar los indicadores a los destinatarios pertinentes lo antes posible, en lugar de validarlos. Sin embargo, son pocas las organizaciones que cuentan con la capacidad o los recursos necesarios para llevar a cabo evaluaciones cualitativas continuas de los datos sobre amenazas que recopilan, o de la forma en que sus herramientas de supervisión de redes y terminales los procesan y analizan. Esto da lugar a mayores índices de falsos negativos y falsos positivos, a una falta de contexto suficiente para tomar decisiones fundamentadas a gran escala y al riesgo de atribuir erróneamente las amenazas. Esto supone un reto especial, ya que los atacantes recurren cada vez más a recursos legítimos de la red y de los terminales para encubrir sus actividades.
- Siempre va usted a la zaga,. Es posible que aprenda nuevas técnicas y métodos de detección, pero siempre es después de que los atacantes ya hayan puesto en práctica sus tácticas.
Complementar los datos sobre amenazas externas mediante un análisis interno
La base de las medidas de seguridad de cualquier organización debe consistir en conocer su propia red y distinguir con facilidad entre lo «normal» y las anomalías verdaderamente maliciosas. En la práctica, el ruido de fondo de la mayoría de las redes grandes y heterogéneas puede hacer que esto resulte extremadamente complicado. El primer paso para hacer frente al problema consiste en aplicar tecnología y procesos que permitan identificar de forma continua todos los activos que está protegiendo. El siguiente paso consiste en enumerar y agrupar automáticamente estos activos en función de las docenas de atributos críticos que definen su superficie de ataque.
Muchas organizaciones siguen teniendo dificultades con la primera parte de este proceso. Por ejemplo, en el ámbito federal, varias agencias que se encuentran en la Fase 1 del programa de Diagnóstico y Mitigación Continuos (CDM) han descubierto que han subestimado el número de dispositivos que poseen en un 200 %-300 %. Tanto en el sector público como en el privado, es habitual observar que se recurre a inventarios de sistemas obsoletos y a bases de datos de gestión de cambios que contienen datos desactualizados. Estos sistemas y bases de datos obsoletos no proporcionan el contexto sistémico suficiente para evaluar y supervisar adecuadamente el riesgo.
Entre las características que influyen en la vulnerabilidad de un sistema se incluyen: las aplicaciones y los servicios instalados; los usuarios que se autentican en él y desde él; sus interfaces de red; los datos que almacena; y la configuración y los ajustes clave de seguridad. La clasificación automática de grupos de sistemas en función de atributos en constante evolución constituye la base de un inventario dinámico que puede servir verdaderamente de fundamento para las iniciativas de detección y respuesta.
Un enfoque combinado para la detección de amenazas
La detección de amenazas en la actualidad requiere un enfoque equilibrado. A pesar de todas sus limitaciones, los datos sobre amenazas procedentes de fuentes externas —si se aplican con el alcance y la visibilidad suficientes en todo un entorno— pueden identificar y contextualizar automáticamente un subconjunto de actividades maliciosas. Las herramientas especializadas de supervisión de la seguridad de los terminales y de la red pueden aportar mecanismos de detección adicionales para detectar patrones de ataque más amplios. Estas herramientas sirven como complemento a las prácticas destinadas a obtener información de su propio entorno y a detectar automáticamente los cambios que provocan anomalías o afectan al perfil de riesgo de sus activos.
Ya no podemos seguir por el camino que hemos recorrido durante los últimos 20 años, dependiendo por completo de una única fuente de datos genérica proporcionada por los proveedores de seguridad para detectar ataques. Afortunadamente, tanto los responsables políticos como las empresas están empezando a darse cuenta de ello y están apostando por procesos y tecnologías que permiten a las organizaciones comprender y proteger verdaderamente sus propios activos.
Si le interesa obtener más información sobre este tema, puede consultar aquí mi intervención completa en la cumbre «Cyber Disrupt Summit» del Centro de Estudios Estratégicos e Internacionales (CSIS), celebrada en Washington : (desde el minuto 6:28 hasta el minuto6:48 ).
Acerca del autor,: En su cargo de arquitecto jefe de seguridad de Tanium, Ryan Kazanciyan aporta más de 14 años de experiencia en respuesta a incidentes, análisis forense y pruebas de penetración. Ryan supervisa el diseño y la hoja de ruta de las soluciones de respuesta ante amenazas de Tanium, y dirige el equipo de detección y respuesta en terminales (EDR) de Tanium. Antes de incorporarse a Tanium, Ryan supervisó las labores de investigación y corrección en Mandiant, colaborando con decenas de organizaciones de la lista «Fortune 500 » que se habían visto afectadas por ataques selectivos. Ryan ha formado a cientos de especialistas en gestión de incidentes en su calidad de formador para Black Hat y la unidad cibernética del FBI. Es uno de los autores que han colaborado en la obra «Incident Response and Computer Forensics, 3.ª edición» (McGraw-Hill, 2014). Ryan también trabaja como asesor técnico de la serie de televisión «Mr. Robot», donde colabora con los guionistas y el equipo de producción para diseñar los ataques informáticos que se muestran en la serie.
