Las medidas clásicas de ciberseguridad, como los cortafuegos, los protocolos de contraseñas seguras y la autenticación multifactorial, siguen siendo esenciales; sin embargo, en un mundo en el que los ciberataques están automatizados y potenciados por la inteligencia artificial, los defensores deben combatir el fuego con fuego. Las herramientas de supervisión de amenazas basadas en inteligencia artificial, las estrategias automatizadas de operaciones de seguridad (SecOps) y la visibilidad en tiempo real de los terminales son esenciales.
«Las amenazas a la ciberseguridad han evolucionado al mismo ritmo que la tecnología», señala Lee Myers, director sénior de operaciones de seguridad del Centro para la Seguridad en Internet (CIS). El abrumador número de dispositivos que existen en las redes corporativas exige soluciones de seguridad y gestión que vayan más allá del concepto tradicional de perímetro. «Hace diez años, un cortafuegos de red y un sistema de detección de intrusiones ofrecían un nivel básico de protección frente a la mayoría de las amenazas más conocidas en materia de ciberseguridad y las relacionadas con Internet.» «Hoy en día, si no dispone de visibilidad, detección y prevención a nivel de terminal, se encuentra muy rezagado».
No es de extrañar, pues, que, según Markets and Markets, se prevea que el mercado de las soluciones de seguridad para dispositivos finales crezca de 27.46 000 millones de dólares en 2025 a más de 38.28 000 millones de dólares en 2030.
«Hoy en día, si no dispone de visibilidad, detección y prevención a nivel de terminal, se encuentra muy rezagado».»Lee Myers, director sénior de Operaciones de Seguridad del Centro para la Seguridad en Internet (CIS)
En términos sencillos, la visibilidad de los puntos finales en tiempo real significa disponer de una visión inmediata y constantemente actualizada de lo que ocurre en cada dispositivo de su ecosistema digital: desde servidores hasta ordenadores portátiles, dispositivos móviles y mucho más. Esto también implica saber, prácticamente en cualquier momento, qué software está instalado, qué procesos se están ejecutando, qué conexiones están activas y en qué medida las configuraciones se ajustan a los criterios de referencia de la política de seguridad.
La idea puede parecer obvia, pero lograr ese tipo de conocimiento a gran escala ha resultado extraordinariamente difícil para la mayoría de las organizaciones. Hay demasiados dispositivos conectados.
«Los dispositivos finales se han convertido en la vía de acceso más fácil a las redes corporativas y a los activos digitales», señala Rob Enderle, presidente y analista principal de Enderle Group. «La mala gestión de los privilegios y la falta de atención a los intentos de piratería han convertido a los terminales en uno de los principales puntos vulnerables de una empresa moderna».
Si a este problema persistente le sumamos la nueva rapidez, magnitud y sofisticación de los ataques impulsados por la inteligencia artificial, la necesidad de disponer de visibilidad en tiempo real de los puntos finales se convierte en un imperativo estratégico. Las organizaciones no solo necesitan visibilidad en tiempo real de todas las redes y aplicaciones, sino también la capacidad de responder a las amenazas en cuestión de segundos, y no en horas o días.
Cerrar la ventana de vulnerabilidad
En épocas anteriores, la seguridad de los terminales solía funcionar, en general, siguiendo un ciclo de detección y respuesta ante amenazas que, según los estándares actuales, resulta bastante lento:
- Se ha notificado una vulnerabilidad.
- Los equipos de seguridad realizan análisis del entorno informático.
- Los hallazgos se clasifican por orden de prioridad y se abordan en la siguiente ventana de parches programada.
- Los informes periódicos ayudan a evaluar el cumplimiento normativo y los riesgos.
Este enfoque parte de la base de que las organizaciones disponen de tiempo suficiente para detectar los problemas, de más tiempo para responder a ellos y de aún más tiempo para subsanarlos. Sin embargo, los ciberdelincuentes de hoy en día actúan con una rapidez considerablemente mayor que la de los ciclos mensuales de parches. En la actualidad, los adversarios informáticos modernos se aprovechan de las vulnerabilidades informáticas en tiempo real y utilizan técnicas sofisticadas para eludir los umbrales de detección tradicionales.
De hecho, entre los análisis programados y los ciclos de corrección de amenazas, existe un vacío de visibilidad en el que los atacantes pueden actuar sin ser detectados. Una vez dentro de la red, pueden comprometer a los usuarios, ampliar sus privilegios y extender su alcance por entornos en línea y redes informáticas en cuestión de horas o incluso minutos.
«Cuando la actividad de los dispositivos finales se puede visualizar de forma inmediata, los equipos de seguridad detectan los ataques antes y responden con mayor rapidez», afirma Chiranjeev «CJ» Bordoloi, cofundador y director de la Sociedad Nacional de Ciberseguridad. «Las acciones automatizadas pueden detener las amenazas antes de que se propaguen. Una respuesta más rápida reduce el tiempo de inactividad, los costes de recuperación y la pérdida de datos. La IA generativa aumenta el volumen de ataques, pero también puede ayudar a los analistas a comprender rápidamente los incidentes al resumir la actividad y las cronologías. «El resultado es un menor número de incidentes graves y un impacto global menor».
Reducir la ventana de ataque no solo limita el impacto potencial en una organización, sino que además hace que la postura defensiva de una empresa pase de ser reactiva a proactiva. Con estas herramientas a su disposición, los equipos de TI ya no tienen que esforzarse por ponerse al día. En cambio, pueden ir un paso por delante de los demás.
Además, la visión continua del entorno operativo que proporciona la visibilidad en tiempo real de los terminales permite a los responsables de la seguridad mejorar de forma constante el nivel de seguridad de toda la organización.
«Sin duda, la visibilidad en tiempo real ayuda a identificar más rápidamente las vulnerabilidades y los errores de configuración, lo que puede reducir el tiempo de permanencia de los atacantes», afirma Greg Van Der Gaast, experto en ciberseguridad y ponente de Sequioa Consulting. «Pero el valor aún mayor reside en utilizar esos conocimientos para eliminar por completo las vulnerabilidades...»Esto significa utilizar los datos de los puntos finales para resolver problemas sistémicos, y no solo para reaccionar con mayor rapidez. «El objetivo debería ser reducir el número de situaciones que requieran una alerta».
«. Pero el valor aún mayor reside en utilizar esos conocimientos para eliminar por completo las vulnerabilidades...Esto significa utilizar los datos de los puntos finales para resolver problemas sistémicos, y no solo para reaccionar con mayor rapidez. El objetivo debería ser reducir el número de situaciones que requieren el envío de alertas.»Greg Van Der Gaast, experto en ciberseguridad y ponente, Sequioa Consulting
Definición de la visibilidad de los terminales en tiempo real: qué significa en la práctica
La visibilidad de los terminales va mucho más allá de la simple realización de análisis frecuentes. Se trata de una inversión en una supervisión continua e inteligente que proporciona a los responsables de la seguridad de la organización información actualizada al segundo sobre el estado, el comportamiento y los posibles riesgos de los terminales.
«Las herramientas tradicionales de ciberseguridad funcionan con demasiada lentitud», afirma Bordoloi. «Para cuando aparecen las alertas, los atacantes a menudo ya se han desplazado o han causado daños». La supervisión de los terminales en tiempo real es necesaria porque permite observar lo que realmente se ejecuta en los dispositivos, y no solo los registros que aparecen posteriormente. «Esta tecnología detecta comportamientos sospechosos en el momento en que se producen, como procesos inusuales, robo de credenciales o cambios rápidos en los archivos».
Según él, gracias a los sistemas de visibilidad de los terminales en tiempo real, los equipos de seguridad pueden ahora aislar dispositivos o detener procesos de forma inmediata, frustrando los ataques en el momento en que se producen. «Observar la actividad en varios dispositivos a la vez ayuda a detectar ataques coordinados». «La ventaja principal es el tiempo: una detección más rápida implica que los atacantes pierden la oportunidad de propagarse por los sistemas o de cifrarlos».
Así es como se traduce en la práctica la visibilidad en tiempo real de los terminales:
1. Conocimiento y visibilidad continuos de los puntos finales
En lugar de esperar a la próxima comprobación programada, los equipos de seguridad pueden detectar al instante cuándo se instala o se desinstala un programa, cuándo las configuraciones se desvían de los valores de referencia de las políticas o cuándo comienzan a ejecutarse servicios no autorizados. Esta vigilancia constante elimina los puntos ciegos y proporciona a los defensores la información que necesitan para actuar en el momento oportuno.
Cuando se da a conocer una vulnerabilidad crítica, una organización puede saber en cuestión de minutos qué terminales son vulnerables y dónde podrían aplicarse controles compensatorios. No tendrá que esperar a que se realice un análisis nocturno ni a una auditoría semanal; sabrá qué está ocurriendo y qué hay que hacer, y podrá tomar medidas de inmediato.
2. Información sobre el comportamiento en una amplia variedad de dispositivos móviles y remotos
La visibilidad en tiempo real no consiste tanto en realizar un inventario como en comprender el comportamiento de los sistemas, las aplicaciones y los usuarios. Pregunta:
- ¿Qué procesos están activos?
- ¿Qué conexiones de red se están estableciendo?
- ¿Existen patrones de comportamiento anómalos por parte de los usuarios, los dispositivos, los sistemas o las aplicaciones que no se ajusten a la línea de referencia operativa habitual?
Este tipo de información es fundamental para la detección temprana de amenazas. Un ciberdelincuente que intente introducirse en sus sistemas suele mostrar ligeras desviaciones en sus patrones de comportamiento, como la ejecución de procesos informáticos extraños, el establecimiento de conexiones de red inesperadas o el uso inusual de credenciales. Gracias a las herramientas de visibilidad en tiempo real, podrá realizar análisis de comportamiento que revelen patrones a medida que surgen, lo que permite detectar las amenazas con mayor rapidez antes de que un incidente se agrave.
3. Detección rápida y establecimiento de prioridades
Por supuesto, detectar un problema es una cosa, pero ser capaz de actuar con rapidez ante él es otra muy distinta. Las soluciones inteligentes y basadas en inteligencia artificial priorizan los incidentes en función del contexto de riesgo, de modo que los equipos puedan centrarse en los problemas más críticos, como los intentos activos de explotación, el acceso remoto no autorizado o las desviaciones respecto a la política de seguridad en sistemas de alto riesgo. Al facilitar la establecimiento de prioridades, las soluciones informáticas ayudan a los responsables de la seguridad a superar la fatiga por alertas y proporcionan a los equipos de seguridad una visión clara que permite actuar.
4. Respuesta y corrección automatizadas
En entornos con amenazas de rápida evolución, la respuesta manual a las amenazas suele ser demasiado lenta. La visibilidad en tiempo real allana el camino para las defensas automatizadas que utilizan el aprendizaje automático para poner en cuarentena los terminales afectados, revertir los cambios maliciosos y aplicar parches o correcciones de configuración con una intervención humana mínima. La respuesta automatizada no consiste en sustituir el criterio humano, sino en potenciarlo, permitiendo que las herramientas se encarguen de las tareas repetitivas y que requieren mucho tiempo, mientras que los analistas humanos se centran en la investigación de incidentes de alto nivel y en la estrategia.
5. Colaboración entre equipos
La visibilidad en tiempo real de los dispositivos finales no es exclusiva de los equipos de seguridad. Cabe destacar que los equipos de operaciones de TI, de cumplimiento normativo y de gestión de riesgos, e incluso los equipos directivos, se benefician de una visión común sobre el estado y los riesgos de los terminales. Este nivel de conocimiento operativo de los entornos informáticos de una organización crea, en la práctica, una única fuente de información fiable, lo que elimina los compartimentos estancos y permite una actuación más rápida y coordinada entre los distintos equipos. Además de una respuesta más rápida ante incidentes, las ventajas de la supervisión de terminales en tiempo real incluyen:
- Reducción estratégica de riesgos: Conocer el perfil de riesgo de cada terminal permite a los responsables de TI abordar de forma más eficaz las configuraciones de alto riesgo y dar prioridad a la aplicación de parches, el refuerzo de la seguridad y la supervisión del sistema allí donde más importa.
- Mayor cumplimiento normativo y mejor preparación para las auditorías: . La visibilidad en tiempo real de los terminales simplifica el proceso de elaboración de informes de cumplimiento, ya que proporciona a los auditores pruebas actualizadas del estado de cumplimiento en toda la empresa.
- Ahorro global de costes: La inversión inicial en una gestión integral de los dispositivos finales suele reducir los costes globales al disminuir el trabajo manual, mejorar la toma de decisiones y prevenir infracciones que podrían acarrear pérdidas económicas considerables, sanciones normativas y daños a la reputación.
Mejorar la seguridad cibernética mediante un análisis continuo
En general, la visibilidad en tiempo real de los puntos finales contribuye a mejorar el nivel general de ciberseguridad en múltiples frentes. Heather Engel, consultora de ciberseguridad y socia de Strategic Cyber Partners, afirma que la visibilidad en tiempo real de los terminales es fundamental para su estrategia de protección de entornos informáticos cada vez más complejos.
«La visibilidad de los puntos finales suele ser una de las primeras capacidades que implemento como CISO, ya que proporciona una visión fiable de los activos que realmente existen», afirma. «Muchas organizaciones se basan en inventarios incompletos o en hojas de cálculo, pero cada terminal no gestionada constituye un posible punto de entrada». «Da igual que un edificio tenga dos puertas o cien: basta con que una esté abierta para que sea vulnerable».
«Las vulnerabilidades de seguridad son síntomas; la visibilidad de los puntos finales ayuda a descubrir sus verdaderas causas y permite a las organizaciones dejar de limitarse a reaccionar constantemente.»Heather Engel, consultora de ciberseguridad y socia de Strategic Cyber Partners
Una vez que se ha logrado una visibilidad completa de las operaciones de una empresa, afirma, los problemas en los terminales suelen poner de manifiesto fallos más profundos en los sistemas informáticos y los procesos: «Las vulnerabilidades de seguridad son síntomas; la visibilidad de los terminales ayuda a descubrir sus verdaderas causas y permite a las organizaciones dejar atrás la reactividad constante».
