La inteligencia artificial ha proporcionado a los equipos de seguridad un auténtico multiplicador de capacidad: análisis más rápidos, reconocimiento de patrones a gran escala y detección automatizada. Además, ha proporcionado las mismas capacidades a quienes intentan entrar ilegalmente. Además, ha dado lugar a un tercer problema al que se suele prestar menos atención: los empleados de todas las organizaciones se conectan ahora de forma habitual a sistemas externos de inteligencia artificial, compartiendo datos que dichos sistemas almacenan y procesan, y la mayoría de los programas de seguridad no detectan que esto esté ocurriendo.
Esa convergencia ha incrementado considerablemente el coste de las lagunas de visibilidad. Sin embargo, antes de abordar las novedades, conviene analizar por qué el problema fundamental —saber qué hay en su infraestructura, cómo funciona y si ese funcionamiento es normal— sigue sin resolverse en tantas organizaciones.
Una charla informal que organicé recientemente sirvió para ilustrarlo. Le pregunté a un experto en seguridad con amplia experiencia qué significaba la «visibilidad» para su organización, y su respuesta constaba de dos partes: lo que significaba cuando empezaron y lo que significa ahora. Esas dos cosas resultaban casi irreconocibles como si se tratara del mismo concepto.
Del inventario a la información estratégica
El punto de partida para la mayoría de las organizaciones fue el inventario de activos: qué dispositivos hay en la red, quién los utiliza y qué software ejecutan. Esto sigue siendo fundamental y, sin embargo, sigue sin resolverse en demasiadas organizaciones. E incluso para aquellos que van avanzando, el reto evoluciona constantemente y se vuelve cada vez más difícil.
Mi entrevistado, durante nuestra charla junto a la chimenea, describió cómo su equipo utiliza ahora la telemetría de terminales en tiempo real para supervisar los dispositivos durante los ciclos de actualización de software, no solo para confirmar que una actualización se ha completado, sino también para comparar datos de comportamiento en tiempo real, establecer cuál es el comportamiento «normal» en ese momento y utilizar esa información para predecir cómo se comportarán implementaciones similares en otras regiones y configuraciones. Eso no es hacer un inventario. Se trata de inteligencia operativa derivada de una visibilidad con un nivel de precisión que, hace unos años, simplemente no se consideraba necesario. El punto final —donde el usuario interactúa con sus sistemas, donde se crean los datos y se accede a ellos, donde se ejecutan las herramientas de inteligencia artificial— es el elemento más crítico de este problema.
La finca que se quedó pequeña para el mapa
Parte de la razón por la que la visibilidad de las organizaciones sin ánimo de lucro sigue siendo difícil de alcanzar es de carácter estructural. Los activos digitales de las grandes organizaciones no crecen de forma ordenada. Se desarrollan de forma orgánica, condicionados por los ciclos presupuestarios, las necesidades de los proyectos y las crisis que condensan años de cambios en cuestión de meses.
Trabajé durante un tiempo en el Ministerio de Defensa, que, a principios de 2000s, gestionaba la que, según algunos indicadores, era la red informática más grande del mundo. Aun así, solo realizábamos análisis de red cada seis semanas; no por elección propia, sino porque unos análisis más frecuentes habrían sobrecargado la infraestructura. Una imagen de su infraestructura de seguridad con seis semanas de antigüedad, en un entorno en el que las amenazas pueden materializarse en cuestión de horas, no constituye una capacidad de visibilidad. Se trata de un documento histórico. Y eso sin tener en cuenta al cabo que, en una base remota, conectó una consola de videojuegos a un puerto de red, ni los televisores inteligentes de las salas de reuniones que seguían conectados a la red Wi-Fi interna semanas después de que el último usuario se hubiera marchado.
Una imagen de su infraestructura de seguridad con seis semanas de antigüedad, en un entorno en el que las amenazas pueden materializarse en cuestión de horas, no constituye una capacidad de visibilidad. Se trata de un documento histórico.
La COVID-19 agravó esta situación en todos los sectores. Las organizaciones que nunca habían apostado por el teletrabajo pasaron a funcionar de forma totalmente distribuida prácticamente de la noche a la mañana. Los dispositivos se han multiplicado fuera de los perímetros de visibilidad establecidos y, en muchas organizaciones, el inventario nunca se ha vuelto a mapear por completo desde entonces.
Y todos estos retos ya existían antes incluso de que la inteligencia artificial entrara en escena.
El problema de la visibilidad de la IA se articula en tres aspectos
El primer reto relacionado con la inteligencia artificial se sitúa en el ámbito de las amenazas. La inteligencia artificial está permitiendo a los atacantes descubrir vulnerabilidades que no figuran en ninguna base de datos existente; estas no se detectan mediante la comparación con patrones conocidos, sino mediante el análisis directo del código y los sistemas. El plazo disponible para explotar una vulnerabilidad, desde su identificación hasta su conversión en un arma, ya era inquietantemente corto. La IA está reduciendo aún más ese margen, y lo hace a un ritmo que supera a la mayoría de los ciclos de parches y respuesta.
La segunda cuestión es de carácter conductual. Los empleados se están conectando a grandes modelos de lenguaje externos —algunos autorizados, la mayoría no— y, al hacerlo, pueden estar introduciendo información confidencial en sistemas que quedan al margen de cualquier marco de gobernanza o protección de datos. No se trata de un riesgo futuro. Esto está ocurriendo en estos momentos, a gran escala, en organizaciones que cuentan con programas de seguridad consolidados y, en la mayoría de los casos, sin que exista una visibilidad significativa.
El tercero es de carácter interno. Las capacidades de inteligencia artificial están ahora integradas en las propias herramientas de seguridad y visibilidad. Esto plantea una serie de preguntas que las organizaciones apenas están empezando a plantearse: ¿qué modelo se está utilizando?, ¿qué grado de precisión tiene? y ¿qué hace con la información que procesa? Aplicar normas rigurosas de visibilidad a su patrimonio, pero no a las herramientas que lo gestionan, constituye un punto ciego que merece la pena analizar.
La brecha del parche y la tercera vía
El tiempo medio que transcurre desde la identificación de una vulnerabilidad hasta la disponibilidad del parche sigue siendo superior a 90 días. La explotación activa suele comenzar en cuestión de días. En el caso de una categoría cada vez más amplia de vulnerabilidades de «día cero», el ataque se produce antes de que exista ningún parche.
Tradicionalmente, esa brecha ha dejado a las organizaciones ante dos opciones: aceptar el riesgo y seguir operando, o retirar el sistema afectado y aceptar la interrupción del servicio. Ninguna de las dos opciones resulta satisfactoria. En el caso de los sistemas críticos, es posible que ninguna de las dos opciones sea viable.
Existe una tercera opción, pero depende de la calidad de la visibilidad. Si comprende en tiempo real cómo se está aprovechando una vulnerabilidad concreta —es decir, cómo se manifiesta el ataque en el terminal—, podrá crear detecciones específicas basadas en ese patrón de comportamiento antes de que se publique un parche. De este modo, podrá seguir operando, ya que sabrá cómo se manifiesta el exploit en la práctica y podrá automatizar las respuestas en el momento del intento, en lugar de hacerlo a posteriori.
Las organizaciones que llevan a cabo esta tarea de forma eficaz se basan en la información actualizada sobre amenazas para crear detecciones personalizadas a nivel de terminal, lo que limita el alcance del impacto y garantiza la continuidad operativa durante el periodo de aplicación de parches. Esa es una capacidad real, pero requiere una visibilidad con precisión en tiempo real, no instantáneas semanales ni ciclos de análisis que se miden en semanas.
Esa capacidad también depende de un aspecto que a menudo se pasa por alto: la confianza en que sus herramientas de visibilidad realmente hacen lo que indican. Muchas organizaciones dan por sentado que esto está cubierto, ya que se ha implementado el EDR, la cobertura se sitúa en el 100 % o cerca de ese porcentaje y el panel de control aparece en verde. Sin embargo, en ocasiones los agentes EDR se desactivan durante la resolución de problemas y no se vuelven a activar. O bien quedan obsoletos en equipos que no se han gestionado de forma activa. En una reciente prueba de concepto realizada en una gran organización, constatamos que los dispositivos funcionaban sin que su agente EDR estándar estuviera activo, aunque la plataforma EDR indicaba que el despliegue era completo.
La discrepancia entre lo que indica una herramienta y lo que realmente ocurre en el entorno constituye un tipo específico de fallo de visibilidad y, podría decirse, el más peligroso: el punto ciego del que uno no es consciente. La detección continua e independiente —que verifica no solo que los activos existen, sino también que las medidas de protección de los mismos están presentes, actualizadas y en funcionamiento— no es un complemento de un sistema de visibilidad. Es una parte fundamental de uno.
Operar dentro del margen
El «periodo de vulnerabilidad de 90 días» existe en todas las organizaciones, y la inteligencia artificial ha hecho que operar en ese contexto resulte más trascendental y más complejo. La diferencia entre las organizaciones que logran contener los incidentes y aquellas que se convierten en casos de estudio radica en si su visibilidad es en tiempo real, completa y lo suficientemente fiable como para actuar cuando es necesario.
Las organizaciones que gestionan bien este aspecto han dejado de considerar la visibilidad como un problema que ya han resuelto y han empezado a tratarla como una disciplina que debe adaptarse al ritmo de un entorno de sistemas que no deja de cambiar y a un panorama de amenazas que, en la actualidad, utiliza activamente las mismas herramientas que ellas. La pregunta que debe plantearse es la siguiente: ¿Dispone de una solución adecuada para el entorno de amenazas en el que se encuentra realmente?
