No se puede detener lo que no se ve.
En la actualidad, muchos ciberataques pasan desapercibidos durante días, semanas o incluso meses.
Durante ese tiempo, se propagan por la red de su víctima, comprometen tantos sistemas y tantos datos como les sea posible, y se afianzan lo suficiente como para exigir un rescate exorbitante y causar un perjuicio considerable a su víctima.
Cuanto antes detecte estos ataques, antes podrá detenerlos y menor será el perjuicio que sufrirá. Sin embargo, muchas organizaciones tienen dificultades para obtener la visión global de su entorno que necesitan para detectar, investigar y resolver los ataques con rapidez.
En este artículo, analizaremos por qué ocurre esto y qué se puede hacer al respecto.
Para ello, vamos a repasar lo siguiente:
- Por qué las organizaciones tienen dificultades con la visibilidad de la seguridad
- Cómo el Marco de Esquemas Abiertos de Ciberseguridad (OCSF) está estandarizando los conjuntos de datos de seguridad
- Cómo utiliza Amazon Security Lake OCSF
- Cómo Tanium aporta visibilidad de los terminales a OCSF y Amazon Security Lake
Por qué las organizaciones no detectan los ataques con la suficiente rapidez
Hoy en día, todas las organizaciones saben que deben detectar los ataques con rapidez.
Saben que deben crear una visión unificada y precisa de su entorno para poder detectar, investigar y resolver los ataques antes de que causen daños.
Incluso han invertido en docenas de herramientas que recopilan datos de seguridad procedentes de múltiples fuentes de su entorno y han creado equipos de seguridad completos que trabajan las 24 horas del día para supervisar sus datos de seguridad y detectar posibles incidentes.
Y, sin embargo, muchas organizaciones siguen sin detectar los ataques antes de que se produzcan.
He aquí el motivo.
Cada herramienta de seguridad define y organiza sus datos de seguridad según su propio esquema y, a menudo, utiliza nombres y convenciones diferentes para referirse a los mismos conceptos. Esto significa que todos los datos de seguridad que recopilan las organizaciones no pueden integrarse entre sí de forma inmediata, y no se combinan de manera natural para ofrecer una visión global y unificada de su entorno.
Para combinar todos los datos en una visión completa y útil —en la que cada conjunto de datos pueda utilizarse conjuntamente para detectar, investigar y resolver ataques con rapidez—, los equipos de seguridad deben normalizar manualmente cada fragmento de datos en un único formato estándar.
El proceso es lento, complicado y propenso a errores, y da lugar a:
- Los equipos de seguridad dedican más tiempo a gestionar los datos de seguridad que a analizarlos
- Los operadores que trabajan partiendo de una visión fragmentada e inexacta de su entorno
- Los delincuentes encuentran numerosos puntos ciegos en los que esconderse a medida que avanzan en sus ataques
- Los ataques pasan desapercibidos, no se investigan y quedan sin resolver hasta que es demasiado tarde
Todo ello se debe a que las organizaciones y los proveedores se basan en sus propios esquemas a la hora de definir y organizar los datos de seguridad. Afortunadamente, un nuevo proyecto, una nueva plataforma y muchos de los principales proveedores del sector se están uniendo para resolver este problema.
Cómo resuelve OCSF el problema de la estandarización
El Marco Abierto de Esquemas de Ciberseguridad (OCSF) (se abre en una nueva pestaña) resuelve el enorme problema que supone la falta de datos estandarizados sobre ciberseguridad entre los distintos proveedores y organizaciones.
La OCSF se creó para resolver este problema. Se trata de un lenguaje común para la detección e investigación de amenazas que puede utilizar cualquier equipo de ciberseguridad, en cualquier organización y para cualquier incidente. Para ello, la OCSF proporciona un conjunto estándar de nombres, definiciones y taxonomías para los datos fundamentales en materia de ciberseguridad. Este esquema es sencillo, independiente del proveedor y fácil de ampliar con datos de ciberseguridad específicos del ámbito de aplicación.
En pocas palabras: todos los proveedores y organizaciones que adopten el OCSF utilizarán el mismo marco para describir y organizar sus datos de ciberseguridad. De este modo, pueden recopilar, combinar y analizar rápidamente los datos de cada uno. Esto facilita la detección rápida, la evaluación del alcance y, en última instancia, la resolución de los incidentes de ciberseguridad.
Al adoptar el OCSF —y utilizar herramientas que cumplan con sus requisitos—, los equipos de seguridad:
- Reduzca el tiempo y el esfuerzo necesarios para combinar los datos de seguridad
- Elimine los silos de datos en materia de ciberseguridad y mejore la precisión de los datos
- Crear una visión global de los datos de ciberseguridad procedentes de distintas herramientas y fuentes
- Optimice y agilice las operaciones de seguridad para resolver los incidentes con mayor rapidez
Cualquiera puede adoptar y colaborar con la OCSF. Se trata de un proyecto de código abierto que ofrece un estándar abierto compatible con cualquier entorno, aplicación o solución, y que se adapta a los estándares y procesos de seguridad existentes. A medida que más organizaciones y proveedores adopten el OCSF, el proceso de combinar datos de seguridad será cada vez más sencillo.
Y ya estamos viendo surgir algunos proyectos importantes que adoptan OCSF, entre ellos la reciente solución de lago de datos de seguridad de AWS, Amazon Security Lake.
Cómo utiliza Amazon Security Lake OCSF
La OCSF fue fundada conjuntamente por Amazon Web Services (AWS) y Splunk, con la participación de tan solo un puñado de empresas más, entre ellas Tanium.
Amazon Security Lake, lanzado recientemente, es un lago de datos de seguridad que agrupa fuentes de datos integradas tanto en la nube como en las instalaciones, así como de sus aplicaciones privadas, y que utiliza el esquema OCSF en formato Parquet. Security Lake reduce la complejidad y los costes que supone para los clientes hacer que los datos de sus soluciones de seguridad sean accesibles, con el fin de dar respuesta a diversos casos de uso en materia de seguridad, tales como la detección de amenazas, la investigación y la respuesta ante incidentes. Security Lake ayuda a las organizaciones a recopilar, gestionar y extraer valor de los datos de registros y eventos, tanto en la nube como en las instalaciones, con el fin de proporcionar a los equipos de seguridad una mayor visibilidad en toda su organización. Con Security Lake, los clientes pueden utilizar las soluciones de seguridad y análisis que prefieran para consultar fácilmente esos datos in situ o incorporar los datos conformes con la norma OCSF con el fin de abordar otros casos de uso. Security Lake ayuda a los clientes a optimizar la retención de datos de registros de seguridad mediante la optimización de la partición de los datos, con el fin de mejorar el rendimiento y reducir los costes. Ahora, los analistas y los ingenieros pueden crear y utilizar fácilmente un «data lake» de seguridad centralizado para mejorar la protección de las cargas de trabajo, las aplicaciones y los datos.
En esencia, Amazon Security Lake crea un único repositorio para todos sus datos de seguridad mediante un esquema de código abierto; garantiza que todos sus datos se integren perfectamente entre sí y facilita la creación de una visión única, unificada y práctica de cualquier incidente que pueda sufrir.
Al utilizar Amazon Security Lake, los equipos de seguridad podrán:
- Recopile registros de múltiples cuentas, regiones, redes y herramientas en un único lago de datos
- Simplifique el proceso de realizar correlaciones y análisis en diversos conjuntos de datos
- Almacenar y consultar de forma más eficiente grandes volúmenes de fuentes de registros de seguridad
Amazon Security Lake recopila una amplia variedad de datos sobre ciberseguridad procedentes de múltiples fuentes, que pueden utilizarse durante los incidentes de seguridad. Y en Tanium, nos enorgullece haber aportado nuestra experiencia y nuestros conocimientos especializados en conjuntos de datos de terminales tanto a OCSF como a Amazon Security Lake.
Cómo Tanium aporta visibilidad de los terminales a OCSF y Amazon Security Lake
Tanium es la única plataforma de gestión convergente de terminales (XEM) « » (se abre en una nueva pestaña) y ofrece visibilidad, control y corrección a través de una única solución ligera y distribuida.
Tanium genera datos completos, precisos y en tiempo real para cada terminal —ya sea gestionada o no— en entornos de cualquier tamaño y nivel de complejidad.
Gracias a los datos de los terminales de Tanium, las organizaciones pueden:
- Cree un inventario completo y preciso de todos los dispositivos finales en cuestión de minutos
- Descubra los puntos finales ocultos y difíciles de localizar que las CMDB y otras herramientas pasan por alto
- Identifique en cuestión de minutos las vulnerabilidades, las deficiencias de cumplimiento normativo, los parches y actualizaciones pendientes, o las configuraciones erróneas en todos los terminales del entorno
- Identifique los cambios en los campos de datos confidenciales, las configuraciones, los derechos de acceso o los indicadores de compromiso (IoC)
- Supervise los datos confidenciales y configure alertas que se activen ante posibles incidentes
- Amplíe los catálogos de activos y haga que los flujos de trabajo de seguridad sean más inteligentes y sólidos
- Subsanar algunas de las carencias más habituales en las bases de datos de seguridad de muchas organizaciones
- Impulsar una detección, investigación y corrección más exhaustivas de las amenazas
En resumen: Tanium recopila todos los datos clave de los terminales que los equipos de seguridad y operaciones necesitan para detectar, investigar y resolver incidentes. Y ahora, gracias a las nuevas colaboraciones con OCSF y Amazon Security Lake, las organizaciones pueden aprovechar fácilmente la experiencia, los conocimientos y los conjuntos de datos de Tanium para obtener una visión integral de sus riesgos de seguridad.
A continuación se explica cómo Tanium ha establecido una colaboración para dar soporte a OCSF y Amazon Security Lake.
- Tanium y OCSF: Tanium fue uno de los colaboradores fundadores de OCSF. OCSF se unió a Tanium para aportar nuestra experiencia y conocimientos especializados en todo lo relacionado con los terminales, y desempeñamos un papel fundamental en el establecimiento de su taxonomía completa y estandarizada para los datos de seguridad de los terminales de . Como es lógico, nuestros datos de puntos finales se ajustan al esquema de la OCSF.
- de Tanium y Amazon Security Lake: Llevamos muchos años manteniendo una sólida colaboración con AWS y ofrecemos una integración técnica oficial con Amazon Security Lake. Gracias a esta integración, resulta sencillo y fácil incorporar nuestra amplia visibilidad a su lago de datos y combinar nuestros datos de terminales, actualizados y precisos, con otras fuentes de datos para llevar a cabo investigaciones de incidentes más completas y eficaces.
Al unir fuerzas con la iniciativa OCSF y Amazon Security Lake, estamos contribuyendo a crear un amplio ecosistema de ciberseguridad en el que colaboran numerosos actores diferentes. Al combinar nuestros conjuntos de datos, podemos ofrecer a los equipos de seguridad la visión única y unificada de su entorno que necesitan para detectar, investigar y detener rápidamente sus incidentes.
Pero no podemos hacerlo solos.
Únase a la causa: adopte OCSF y trabaje con Amazon Security Lake y Tanium
OCSF es una iniciativa reciente, pero ya ha recibido un gran apoyo por parte de algunas figuras destacadas.
Los dos socios que están detrás del proyecto —AWS y Splunk— son dos de los mayores proveedores de datos del mercado. Muchos de los colaboradores iniciales de la OCSF —como Salesforce y Palo Alto Networks— se encuentran entre los mayores proveedores de software del mundo.
Nos comprometemos a trabajar en un esquema de código abierto que ayude a los clientes a resolver los retos a los que se enfrentan en materia de interoperabilidad y normalización de datos entre productos de seguridad.
La conclusión es clara. Infórmese más sobre el OCSF y considere seriamente la posibilidad de implantarlo en su organización. Hacerlo le ayudará a simplificar y optimizar un aspecto de gran complejidad en las operaciones de seguridad, le permitirá colaborar sin problemas con los principales proveedores de ciberseguridad y, probablemente, garantizará que su función de seguridad esté preparada para el futuro.
Para ello, siga el siguiente paso:
- Obtenga más información sobre OCSF: Consulte los detalles técnicos aquí (se abre en una nueva pestaña). También puede obtener más información en nuestro artículo de la comunidad de Tanium « » (): (se abre en una nueva pestaña).
- Obtenga más información sobre Amazon Security Lake: Pruebe Amazon Security Lake aquí (se abre en una nueva pestaña).
- Obtenga más información sobre Tanium: consulte los detalles o programe una charla y una demostración aquí (se abre en una nueva pestaña).
