La búsqueda de amenazas es una de las actividades que más recursos consume en el flujo de trabajo de las operaciones de seguridad. Requiere analistas cualificados que sean capaces de formular hipótesis, buscar indicios en un entorno amplio, filtrar la información irrelevante y documentar los resultados de manera que otros puedan actuar en consecuencia. El equipo HuntIQ de Tanium trabaja de forma práctica en los entornos de los clientes, y Threat Navigator se ha diseñado directamente a partir de esos flujos de trabajo del mundo real, trasladándolos a la consola de Tanium para que el proceso resulte más rápido, más colaborativo y más repetible.
Duncan repasa cada uno de los tres componentes fundamentales de Threat Navigator: búsquedas, hipótesis y técnicas MITRE. Demuestra cómo las búsquedas utilizan la sintaxis de IOC o Signal para consultar el entorno en tiempo real sin necesidad de distribuir previamente la información ni de esperar a que se realice la agregación de registros. Asimismo, explica cómo las iteraciones permiten a los cazadores filtrar progresivamente los resultados para destacar lo que realmente importa, y cómo las búsquedas completadas pueden convertirse directamente en señales para la detección continua.
Si gestiona las operaciones de detección de amenazas de o desea comprender cómo Tanium está haciendo que la seguridad proactiva sea más accesible a escala empresarial, este episodio aborda los mecanismos específicos del funcionamiento de Threat Navigator, desde la fijación de hallazgos individuales hasta la exportación de hipótesis para su uso en otras herramientas de seguimiento. Vea el episodio completo a continuación.
Conclusiones clave
- Diseñado a partir de flujos de trabajo reales de HuntIQ: Threat Navigator se ha desarrollado en colaboración con los «cazadores» de HuntIQ de Tanium ( ), tomando los flujos de trabajo que utilizan en los entornos de los clientes —a menudo fuera de la consola— y trasladándolos a la consola de Tanium.
«. Se trata de tomar los flujos de trabajo que utilizamos en los entornos de los clientes —a menudo fuera de la consola— e intentar trasladarlos a la consola de Tanium.»Duncan Miller, cazador de amenazas sénior de Tanium
- Las búsquedas se ejecutan en todo el entorno sin necesidad de distribuir previamente la información: . Mediante el uso de la sintaxis IOC o Signal, las búsquedas se ejecutan en todo el entorno sin necesidad de distribuir previamente la información, sin recopilar registros y sin generar alertas, lo que las hace idóneas para la búsqueda de amenazas más que para la generación de alertas.
«. Puede utilizar la sintaxis de IOC o la sintaxis de Signal para crear una búsqueda que abarque todo su entorno sin necesidad de distribuir información previamente, sin recopilar registros ni esperar a que estos se agreguen.»Duncan Miller, cazador de amenazas sénior de Tanium
- Las iteraciones reducen progresivamente los resultados: Cada búsqueda activa guarda hasta cinco iteraciones de datos, lo que permite a los usuarios excluir los resultados que ya se sabe que son correctos y volver a ejecutar la búsqueda para obtener lo que realmente importa, con un límite máximo de 10,000 resultados en total y hasta 100 resultados por host.
- La función de «fijar» permite conservar los hallazgos en un momento determinado: Los usuarios pueden fijar elementos específicos de los resultados de búsqueda para guardarlos, incluso cuando dichos datos se borren, conservando así una referencia en un momento determinado de los hallazgos significativos que requieran una investigación más exhaustiva o que se hayan confirmado como maliciosos. Al fijar un elemento, dicha versión también se guarda automáticamente.
- Búsquedas agrupadas en «Hypotheses» y posibilidad de exportación: Las «Hypotheses» actúan como contenedores de varias búsquedas relacionadas y pueden exportarse como un archivo Markdown, lo que proporciona a los buscadores un resumen que pueden pegar directamente en otras herramientas de seguimiento. También está prevista la exportación a PDF.
- La búsqueda colaborativa fomenta el conocimiento institucional: Dado que la consola de Tanium almacena el historial de búsquedas y las iteraciones, los miembros del equipo pueden retomar el trabajo donde lo dejaron otros, creando así un entorno de búsqueda colaborativa más en el que todos los miembros del equipo pueden ver lo que se ha hecho, encontrar elementos de interés o refinar las búsquedas con mucha mayor rapidez.
- Las búsquedas se convierten rápidamente en detección: . Una vez que una búsqueda detecta algo malicioso, la búsqueda puede transformarse en una señal mediante el botón «Crear señal», lo que convierte una búsqueda puntual en una detección automatizada y repetible sin necesidad de que una persona revise los datos cada vez.
«La caza es, en esencia, una actividad costosa. Es necesario que haya una persona encargada de revisar los datos. Debe comprender lo que está viendo. Una vez que haya completado una búsqueda y haya encontrado algún elemento malicioso en ella, es posible que vuelva a ejecutarla, pero no debería ser así como encuentre lo que ya había encontrado anteriormente, ¿verdad?”Duncan Miller, cazador de amenazas sénior de Tanium
Recursos adicionales
- Tanium Threat Response para la detección, investigación y corrección de amenazas en los terminales: Descubra cómo Tanium Threat Response permite a los equipos de seguridad detectar, investigar y responder a las amenazas en todos los terminales del entorno.
- Cómo HuntIQ ofrece una búsqueda de amenazas dirigida por expertos: Un análisis de cómo el servicio HuntIQ de Tanium refuerza las operaciones de seguridad mediante una búsqueda de amenazas dirigida por expertos, diseñada para detectar amenazas avanzadas antes de que causen daños.
- Casos prácticos de detección en el mundo real con Tanium Threat Response: El primero de una serie de tres partes que aborda cómo los clientes utilizan Tanium para detectar incidentes, filtraciones e infracciones de seguridad, desde la búsqueda de amenazas basada en el comportamiento y el análisis de indicadores de compromiso (IOC) hasta el aprovechamiento de múltiples fuentes de inteligencia sobre amenazas en toda la empresa.
Las declaraciones y el contenido de Tanium relativos a sus planes, orientaciones e intenciones están sujetos a cambios sin previo aviso, a la entera discreción de Tanium. La información sobre posibles productos o funcionalidades futuras tiene como objetivo describir la dirección general de los productos de Tanium y no debe utilizarse como base para tomar una decisión de compra, ni está incorporada en ningún contrato. No constituye un compromiso, promesa ni obligación legal. El desarrollo, lanzamiento y calendario de cualquier producto o funcionalidad futura queda a la entera discreción de Tanium.
