Un indicador que se menciona con frecuencia al analizar la situación actual de la detección y la respuesta ante incidentes es el «tiempo de permanencia». Los estudios ponen de manifiesto de forma sistemática una brecha significativa —que a menudo se mide en meses— entre el momento en que se produce la intrusión y el momento en que la víctima finalmente la detecta.
Todos estamos de acuerdo en que esta brecha constituye un barómetro útil para medir el éxito de un programa de seguridad y en que acortar este plazo es fundamental para reducir el impacto potencial de los ataques en la empresa y la infraestructura. Pero, en primer lugar, debemos redefinir el marco temporal del «tiempo de permanencia», ampliando sus límites más allá del momento en que se detecta un incidente. De hecho, el tiempo de tramitación abarca todo el proceso de la investigación posterior y se prolonga, en última instancia, hasta que se lleve a cabo con éxito la medida correctiva correspondiente.
¿En qué consiste una investigación satisfactoria?
Una investigación debe determinar el impacto real que ha tenido la filtración en la empresa y «relatar lo sucedido». Los investigadores comienzan por identificar todos los sistemas y dispositivos afectados en un entorno y por determinar el alcance de la actividad de los atacantes en cada uno de ellos. Sin embargo, la importancia de la evaluación del alcance va más allá de la mera recopilación de muestras únicas de malware, equipos infectados o credenciales robadas. Las conclusiones de una investigación constituyen datos fundamentales para el plan de remediación a corto y largo plazo, que, en el mejor de los casos, debería elaborarse en paralelo a la investigación desde el primer día. Si se pasa por alto un solo sistema infectado, una dirección de comando y control de una puerta trasera o un conjunto de credenciales de usuario comprometidas, un atacante podría recuperar fácilmente el acceso y echar por tierra todo el esfuerzo de corrección. Del mismo modo, si no se identifican ni se subsanan las vulnerabilidades más fundamentales que se han aprovechado durante un incidente, la víctima no experimentará ninguna mejora neta en su nivel de seguridad.
Lamentablemente, muchas organizaciones tienen dificultades para superar con éxito esta etapa crucial del ciclo de vida de un incidente. Como consultor, dediqué seis años a dirigir labores de investigación y corrección en organizaciones que necesitaban ayuda externa, especialmente cuando se les exigía actuar en plazos muy breves. Hay mucho en juego en una investigación, pero el camino hacia la reparación sigue siendo arduo. Con tanto en juego, ¿por qué siguen teniendo dificultades los investigadores? La respuesta suele encontrarse en los ámbitos clásicos de las personas, los procesos y la tecnología:
- People: La informática forense requiere importantes conocimientos técnicos y una formación específica, sobre todo cuando a ello se suma la necesidad de comprender las redes empresariales, tecnologías habituales como Active Directory y los patrones y características de las técnicas de intrusión más comunes. Estas competencias han sido, y probablemente seguirán siendo, escasas en un futuro previsible.
- Proceso: Muchas organizaciones no establecen nunca procedimientos definidos para hacer frente a una intrusión selectiva hasta que se ven afectadas por una.
- Tecnología: La gran mayoría de las herramientas utilizadas para llevar a cabo investigaciones, en particular la «búsqueda» en terminales y el análisis forense, son lentas, excesivamente complejas e incapaces de adaptarse a entornos grandes y distribuidos (o de seguir el ritmo de una intrusión en curso). Además, muchos productos surgen de soluciones puntuales destinadas únicamente a abordar un pequeño subconjunto de tareas de detección o respuesta ante incidentes y, por lo tanto, su rendimiento se deteriora rápidamente cuando se adaptan a otros casos de uso de la respuesta ante incidentes a escala empresarial.
Me apasiona la oportunidad de dotar a las empresas de tecnología que pueda actuar como un multiplicador de fuerzas, potenciando las competencias y los recursos de los equipos de seguridad existentes para hacer frente a ataques de cualquier envergadura. Por ello, me complace compartir la última funcionalidad de Tanium, Tanium Trace, y ayudar a los equipos de seguridad y de respuesta ante incidentes a reducir drásticamente el tiempo y el esfuerzo necesarios para detectar, investigar y responder ante intrusiones.
Un análisis más detallado de Tanium Trace
Tanium Trace (Trace) se suma a una serie de capacidades de detección y respuesta ante incidentes ya incluidas en la plataforma Tanium Endpoint Platform, entre las que se encuentran la capacidad de consultar y recopilar rápidamente datos sobre el «estado actual» de todos los terminales, buscar indicadores de compromiso estructurados y adquirir artefactos forenses de mayor tamaño —como una imagen de memoria o un volcado de metadatos del sistema de archivos— de los sistemas afectados. Trace amplía estas capacidades con tres funciones clave: el Trace Collector, el Trace Workbench y los Trace Sensors.
Trace Collector
Trace Collector se encarga de registrar de forma continua las pruebas forenses clave en cada terminal. Funciona supervisando el núcleo de Windows y otros subsistemas de bajo nivel para registrar diversos eventos, entre los que se incluyen: la ejecución de procesos, la actividad del sistema de archivos, los cambios en el Registro, las conexiones de red, la carga de controladores y la autenticación de usuarios. Estos datos pueden acumularse rápidamente —incluso un sistema inactivo genera actividad constante—, por lo que Trace agrupa de forma inteligente los eventos similares y los almacena de manera eficiente en una base de datos local. Gracias a estas optimizaciones, la configuración predeterminada permite conservar hasta varias semanas de datos históricos. Los administradores de Tanium pueden personalizar aún más la cantidad de almacenamiento local que consume Trace, así como filtrar los tipos de pruebas registradas, para adaptarlos a los casos de uso deseados.
A modo de comparación, las técnicas tradicionales de análisis forense de discos y memorias pueden reconstruir con éxito fragmentos de la actividad de los terminales, pero se limitan a las pruebas que el sistema operativo subyacente conserva de forma nativa —pruebas que pueden degradarse rápidamente a medida que transcurre el tiempo desde el periodo de interés—. Trace mantiene un historial completo y fácil de interpretar de los acontecimientos, lo que permite a los analistas retroceder en el tiempo y reproducir lo que ha ocurrido recientemente en un sistema.
Además, Trace enriquece cada uno de los eventos registrados con contexto y metadatos adicionales. Por ejemplo, los eventos de ejecución de procesos incluyen la línea de comandos completa, el hash, la línea de comandos del proceso padre y el contexto del usuario. Los eventos relacionados con archivos, redes y el Registro se registran junto con el proceso asociado y el contexto de usuario en el que se produjeron. Los eventos de seguridad, como los inicios y cierres de sesión, se conservan independientemente de los registros de eventos que puedan haberse renovado. Esto hace que resulte increíblemente sencillo seguir una pista de investigación y determinar rápidamente el contexto en el que se produjo en un terminal.
Trace Workbench
Trace Workbench es una interfaz de usuario basada en web integrada directamente en la consola de Tanium. Ofrece la posibilidad de conectarse a sistemas remotos y realizar análisis exhaustivos a partir del amplio conjunto de datos recopilados por Trace Collector. Todos los análisis pueden realizarse a través de una conexión en tiempo real en cuestión de segundos, sin necesidad de transferencias de datos ni análisis que requieran mucho tiempo; los usuarios también pueden guardar instantáneas de la base de datos «Trace» de un sistema para su almacenamiento y análisis colaborativo en el servidor de Tanium. Además, permite reconfigurar fácilmente los parámetros de Trace, como el tamaño máximo de la base de datos y el historial de retención, en todos los terminales.
Los usuarios pueden empezar por realizar una búsqueda en toda la base de datos de Trace de un sistema utilizando palabras clave o un intervalo de tiempo inicial. Los resultados de la búsqueda se presentan en una cuadrícula tradicional que se puede reordenar y filtrar por columnas para ayudar a los usuarios a eliminar los datos irrelevantes.
Al hacer doble clic en cualquier resultado de búsqueda, el usuario accede a una página detallada de «Resumen del proceso» correspondiente al proceso responsable del evento seleccionado. Esto, en esencia, centra el análisis en el alcance de un único proceso a lo largo del tiempo, en lugar de en el alcance de todos los eventos que se ajustan a los criterios de búsqueda iniciales. La vista general del proceso muestra toda la actividad relacionada con archivos, red, registro y procesos secundarios iniciada por el proceso que se está analizando en ese momento, tanto en una línea de tiempo visual como en una tabla. Esta página también proporciona la ruta de imagen y los argumentos completos del proceso, el contexto de usuario, el hash y la línea de comandos del proceso padre. Los usuarios también pueden descargar el archivo ejecutable para realizar un análisis más detallado. Los usuarios también pueden navegar por una vista de árbol interactiva que muestra los nodos padres, hijos y equivalentes del proceso actual.
Sensores de trazas
Es fácil caer en una visión limitada al analizar un único sistema que forma parte de un incidente más amplio. Los investigadores deben poder realizar búsquedas en toda la empresa para localizar los hallazgos y los elementos descubiertos durante los análisis forenses exhaustivos. Lo ideal sería que cada búsqueda puntual y cada caso de prueba no conllevaran la carga que supone crear e implementar los IOC. Las consultas sobre elementos sencillos, como un proceso, una clave del Registro o un archivo, deben ser sencillas y ofrecer resultados inmediatos. No se trata únicamente de buscar lo que «se sabe que es defectuoso», sino de ayudar a reconocer y evaluar lo que «se sabe que es correcto». Cualquiera que haya realizado análisis forenses conoce la sensación de encontrarse con un conjunto de pruebas que parecen sospechosas, pero que también podrían ser el resultado del comportamiento normal del sistema, coincidente con las acciones de un intruso. La capacidad de evaluar al instante «qué tan común es este “fenómeno”» en un entorno puede reducir drásticamente el esfuerzo necesario para examinar un sistema y para elaborar indicadores más precisos y resistentes para su uso futuro.
Trace hace posible esta funcionalidad mediante sensores que alimentan la función principal de Tanium, «Hacer una pregunta». Todos los datos recopilados por Trace en cada terminal pueden consultarse a gran escala con el mismo tiempo de respuesta de 15 segundos que se obtendría con cualquier otra consulta de Tanium. Del mismo modo, esos mismos datos de Trace pueden recuperarse mediante búsquedas periódicas o a través de una API SOAP, y los resultados pueden guardarse, agregarse a lo largo del tiempo o redirigirse a otras soluciones de análisis de seguridad o de almacenamiento, como SIEM, a través de Tanium Connect.
Al examinar los detalles de un proceso en Trace Workbench, cualquier fila de actividad puede transformarse en una búsqueda contextual con un solo clic. Por ejemplo, al seleccionar una fila para una operación «CreateProcess», se le pedirá que busque un proceso coincidente por ruta, hash MD5 o línea de comandos completa; al seleccionar una fila de archivo o del Registro, se le pedirá que realice la búsqueda por tipo de operación y ruta del elemento. Los usuarios también pueden elaborar manualmente consultas más complejas que aprovechen todo el conjunto de datos de Trace y ofrezcan opciones avanzadas, como restricciones de intervalos de tiempo y coincidencias mediante expresiones regulares.
Los sensores de rastreo —especialmente cuando se utilizan para gestionar búsquedas recurrentes y guardadas— también pueden constituir un mecanismo eficaz para supervisar de forma proactiva un entorno en busca de actividades anómalas. Entre los ejemplos de búsquedas de Trace que los usuarios pueden crear, personalizar e integrar fácilmente con otras soluciones de seguridad se incluyen:
- Inicios de sesión de tipo 3 (Red) y tipo 10 (RemoteInteractive) realizados por un conjunto seleccionado de cuentas, sistemas de origen y/o sistemas de destino
- Eventos de creación de archivos que utilizan la coincidencia de expresiones regulares para detectar actividad en directorios específicos (como las ubicaciones habituales de preparación de los atacantes) o la creación de tipos de archivos concretos (como archivos RAR)
- Creación o modificación de claves y valores del Registro que se utilizan con frecuencia para que el malware persista, como los parámetros del servicio «ServiceDLL» de Windows o los valores de las claves «Run»
- Combinaciones únicas de procesos padre e hijos que pueden ser indicativas de una actividad de mando y control, como, por ejemplo, un shell de comandos generado por un proceso padre atípico como «svchost.exe»
- Ejecución de comandos nativos de Windows que los usuarios finales habituales utilizan con poca frecuencia, pero que los atacantes suelen aprovechar para el reconocimiento y el movimiento lateral, como «net.exe», «at.exe» y «wmic.exe»
- Flujos de red anómalos, como intentos de conexión saliente a servidores HTTP/s de Internet desde controladores de dominio internos aislados, o tráfico SMB o RDP hacia estaciones de trabajo de administradores con privilegios o servidores clave procedente de subredes de origen atípicas.
Con la incorporación de Trace, la plataforma Tanium Endpoint ofrece una solución verdaderamente integral para todo el ciclo de vida de la respuesta ante incidentes, que además sigue siendo rápida, fiable y fácil de gestionar a cualquier escala. Trace se puede implementar en cuestión de minutos mediante la plataforma Tanium, y la incorporación de todas estas funciones de Trace a una implementación ya existente no requiere hardware adicional. Con unos pocos clics, los usuarios pueden instalar Trace en un subconjunto de terminales o en todo el entorno, supervisar el estado de la instalación y empezar a utilizar el entorno de trabajo y los sensores de Trace.
RYAN KAZANCIYAN, antiguo arquitecto jefe de seguridad de
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
