Ahora que Ucrania se encuentra sitiada y los ciberataques impulsados por Rusia ya no son solo un escenario temido o probable, sino una amenaza constante, la presión sobre los responsables de la ciberseguridad nunca ha sido mayor.
La situación en Ucrania es grave, y según unos informes recientes de , las autoridades del país han comenzado a ponerse en contacto con voluntarios del colectivo clandestino de hackers nacional para que les ayuden a proteger las infraestructuras y a llevar a cabo misiones de espionaje contra las tropas rusas. Ucrania se encuentra a la defensiva, una situación con la que están familiarizados muchos profesionales de la ciberseguridad, así como los directivos de empresas y sus consejos de administración, incluso cuando no se ven envueltos en una guerra total.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) ha publicado una serie de directrices dirigidas a empresas y organizaciones con el fin de reforzar las defensas en caso de que los ciberataques rusos amenacen las infraestructuras críticas y las entidades financieras. Eso resulta útil, pero también pone de relieve una verdad incómoda: en lo que respecta a la ciberseguridad de las redes, estamos a la defensiva.
Según los expertos en ciberseguridad, ha llegado el momento de darle la vuelta a esa situación.
El cambio, en teoría, es bastante sencillo: deje de actuar de forma reactiva y adopte un enfoque proactivo en materia de seguridad, siempre que sea posible. En la práctica, resulta más complicado, pero ahí es donde entra en juego el arte de la búsqueda de amenazas .
Los cazadores de amenazas son los profesionales de la ciberseguridad que analizan a fondo los sistemas y las redes para detectar a los atacantes antes de que se produzcan incidentes graves. Piense en ellos como el equipo SEAL de la Marina
propio de su organización.
Los cazadores de amenazas saben que los autores de las amenazas —ya sean hackers aficionados, hacktivistas movidos por ideales o agentes de operaciones encubiertas patrocinadas por el Estado— se dirigen a las empresas con tácticas, técnicas y procedimientos específicos que son predecibles e identificables. Los cazadores de amenazas estudian el entorno que defienden y las posibles estrategias de sus adversarios. ¡Y entonces
se van de caza!
Por supuesto, la detección eficaz de amenazas es un trabajo en equipo y requiere contar con el personal adecuado. Existen cinco elementos fundamentales necesarios para crear su equipo ideal de detección de amenazas. Considere lo que sigue como una guía básica sobre cómo cazar a los cazadores.
1. La diversidad: no es solo una palabra de moda
¿Ha habido alguna prueba —en algún momento— de que las grandes mentes piensan igual? El pensamiento de grupo es el enemigo de los equipos eficaces de detección de amenazas. «Los equipos diversos obtienen mejores resultados», afirma Melissa Bischoping, especialista en investigación de seguridad de terminales « » en Tanium.
«: Los equipos diversos obtienen mejores resultados.»Melissa Bischoping, especialista en investigación sobre seguridad de dispositivos finales, Tanium
«Imagínese que tiene un equipo con demasiadas personas de un mismo origen». El resultado probable: un grupo de personas que toman el mismo desayuno, compran las mismas marcas, descargan los mismos podcasts, publican en Twitter las mismas quejas y se encuentran rodeadas de otras personas que comen, compran, descargan y se quejan exactamente de la misma manera.
Según ella, en los grupos homogéneos es fácil que las personas «olvidén que puede haber otros puntos de vist es que deban tenerse en cuenta».
Los expertos señalan que, cuando las empresas contratan a cazadores de amenazas con diferentes trayectorias profesionales y niveles de experiencia , mejoran las capacidades del equipo para resolver problemas. Dichas trayectorias profesionales pueden ser tan variadas como la inteligencia militar, la ciencia de datos, la tecnología tradicional o los equipos «rojo», «azul» y «púrpura» (profesionales de la seguridad que se especializan, respectivamente, en atacar sus sistemas, defenderlos y combinar los conocimientos de ambos).
Incluso aquellas personas con pocos o ningún conocimiento técnico merecen ser tenidas en cuenta. «Cuando se dan a reunirse personas con antecedentes tan diversos como estos, surgen preguntas que los demás ni siquiera sabían que se podían plantear», explica Bischoping.
[Lea también: Apoyo a la próxima generación de mujeres en el ámbito de la ciberseguridad]
Contratar a expertos de diversas edades y procedencias socioeconómicas también resulta fundamental para «aprovechar las diferentes ideas y experiencias en materia de amenazas que cada uno pueda aportar», afirma L. Burke Files, coautor del « » (Kit de herramientas para la auditoría y revisión de la seguridad empresarial) y presidente de Financial Examinations and Evaluations, Inc. «Busque a personas que estén dispuestas a ser creativas y a traspasar un poco los límites», afirma Files.
Conclusión: Es esencial contar con un equipo diverso de cazadores de amenazas para mejorar la resolución de problemas y evitar el pensamiento de grupo.
2. Las habilidades interpersonales: son más difíciles de lo que cree
La búsqueda de amenazas consiste en rastrear las redes en busca de actividad tanto conocida como desconocida, lo que requiere tiempo, determinación y un componente que, aunque a menudo se subestima, resulta indispensable: la paciencia.
«. Se necesita a alguien que cuente con las habilidades necesarias y la paciencia para querer resolver realmente un problema.»Michael Farnum, director técnico de Set Solutions
«Se necesita a alguien que cuente con las competencias necesarias y la paciencia para querer resolver realmente un problema», afirma Michael Farnum, director técnico de Set Solutions. «Suelen ser personas a las que les gusta participar en CTF», señala, refiriéndose a las distintas competiciones de «Capture the Flag», en las que se utilizan «banderas» para recompensar a los participantes que superan retos relacionados con la seguridad. «Lo ideal es encontrar a alguien a quien le guste hacer eso en su tiempo libre», afirma.
Estos retos, así como la búsqueda de amenazas en general, implican inevitablemente formular numerosas preguntas. Los cazadores de amenazas que destacan se caracterizan por su curiosidad innata, sus excelentes habilidades para resolver problemas y su talento para la exploración, señala Duncan Miller, director de seguridad de terminales de Tanium. Se trata de personas con gran perspicacia y el valor necesario para seguir sus corazonadas, independientemente de adónde les lleven.
«Los cazadores de amenazas deben estar dispuestos a fracasar en ocasiones», afirma Miller. «Si lo que buscan es una actividad verdaderamente «desconocida-desconocida», habrá muchas ocasiones en las que las corazonadas no se cumplan». «Y no pasa nada».
[Lea también: Los métodos de seguridad por capas mantienen a raya las amenazas]
Según señala Eric McGee, ingeniero de redes sénior de TRG Datacenters, otras habilidades generales que deben poseer los cazadores de amenazas incluyen el razonamiento deductivo, la rapidez de el reconocimiento de patrones y la capacidad de evitar sus propios sesgos cognitivos.
«Detesto el término “competencias no técnicas”», añade Bischoping al referirse a las habilidades no técnicas. «Se trata de habilidades fundamentales», afirma.
Conclusión: Una búsqueda eficaz de amenazas va más allá de la pericia técnica. Requiere habilidades intangibles adicionales, como la paciencia y la disposición a asumir riesgos.
3. Concienciación medioambiental —y no nos referimos al reciclaje—
Cada sector presenta aspectos únicos que atraen tanto a distintos tipos de atacantes como a defensores. Por este motivo, los requisitos y las estrategias de ciberseguridad varían según se trate de un banco, una escuela, un centro médico o una empresa de suministro energético.
«Hablamos de sistemas industriales como SCADA [control de supervisión y adquisición de datos] y de controles industriales en, por ejemplo, el sector del petróleo y el gas», afirma Bischoping. «Cazar en esos entornos es muy diferente a cazar en un banco o en un hospital». «Por lo tanto, es importante comprender a fondo el tipo de entorno en el que operan los cazadores de amenazas específicos».
Una forma excelente de fomentar esa concienciación medioambiental es lograr que los cazadores de amenazas colaboren entre sí en todo el sector.
«Esto reviste especial importancia en su sector, donde la confianza y las relaciones pueden ser más importantes que la información en sí misma», afirma Ron Gula, presidente y cofundador de la empresa de inversión en ciberseguridad Gula Tech Adventures. «Esto permitirá a sus «cazadores» aprender de los demás y aplicar lo aprendido en su organización».
Conclusión: La tecnología y los sistemas empresariales varían considerablemente de un sector a otro, por lo que es fundamental que cualquier equipo de detección de amenazas conozca a fondo su sector en todos los niveles.
4. Formación continua: nunca es demasiado pronto para empezar
La tecnología está en constante evolución, y los adversarios cambian y mejoran continuamente. Por lo tanto, la única forma de que un equipo de detección proactiva de amenazas sea altamente eficaz es dedicarse al estudio. Vuelva a estudiar. Y estudie un poco más.
«. Nunca ha sido tan importante centrarse en [esto], ya que actualmente existe una situación de emergencia en materia de contratación en el ámbito de la ciberseguridad.»Scott Crawford, director de investigación en seguridad de la información de 451 Research
«Nunca ha sido tan importante centrarse en [esto], ya que actualmente existe una emergencia en materia de contratación en el ámbito de la ciberseguridad», afirma Scott Crawford, director de investigación en seguridad de la información de 451 Research.
Entonces, ¿de qué tipo de educación estamos hablando? Por supuesto, el aprendizaje de competencias técnicas, como la gestión de redes, el análisis forense de datos, el análisis de datos, la seguridad de las aplicaciones, el análisis de malware y el funcionamiento interno de los sistemas de puntos finales, junto con un conocimiento profundo de los sistemas que protegen. «Existe una larga lista de aspectos que sabemos que contribuyen a una búsqueda eficaz de amenazas», afirma Crawford.
Los responsables de seguridad pueden fomentar estas habilidades entre sus cazadores de amenazas internos, señala McGee, de TRG Datacenters, facilitándoles el acceso a talleres sobre la búsqueda de amenazas, a cursos disponibles como el de «Certified Cyber Threat Hunter» (CCTH) y a exámenes de certificación. Además de los exámenes de CCTH (que se pueden encontrar en este enlace: y en el curso intensivo:), otras certificaciones incluyen la de « » de CompTIA Security+ (recomendada para quienes se inician en este campo), la de «Cyber Threat Intelligence» de GIAC (otorgada por GIAC, un proveedor líder en certificaciones cibernéticas) y el programa «Certified Information Security Manager» de ISACA .
Conclusión: Todo en el ámbito de la tecnología empresarial evoluciona, lo que significa que, para seguir siendo eficaces, también deben hacerlo los cazadores de amenazas.
5. Formación basada en situaciones reales: cuanto más realista, mejor
Una de las razones por las que el ejército realiza entrenamientos con munición real es para que los reclutas se acostumbren a manejar sus armas, y ello en circunstancias que reflejen con la mayor precisión posible las situaciones reales en las que pronto tendrán que actuar.
«La emulación realista de adversarios es una forma excelente de garantizar el desarrollo de las habilidades de los cazadores de amenazas», afirma Gula. «Cuanto más realista sea la simulación, mejor preparado y más seguro de sí mismo estará su equipo».
Para los cazadores de amenazas, esa preparación podría consistir en participar en competiciones CTF con fines de entrenamiento ofensivo o en ejercicios de simulación. Gula afirma que ejercicios como estos son fundamentales para el entrenamiento del equipo.
Las plataformas de emulación de adversarios que simulan malware básico y las estrategias recurrentes de las amenazas persistentes avanzadas (APT), normalmente las de Estados que actúan de forma encubierta, también hacen que la formación sea mucho más realista, afirma. «Los entornos de pruebas cibernéticos también son estupendos, pero trabajar en su propia red con sus propias herramientas resulta mucho más eficaz».
[Lea también: 5 formas de prepararse para la guerra cibernética]
Herramientas como los «Planes de emulación de adversarios» de Mitre muestran cómo los cazadores de amenazas y los defensores pueden utilizar el marco « » de Mitre ATT&CK « » (Tácticas, técnicas y conocimientos comunes de los adversarios), una base de conocimientos muy utilizada para modelar el comportamiento de los adversarios.
Este tipo de formación es esencial para que los cazadores de amenazas se mantengan al día
sobre las técnicas de ataque, las mismas que utilizan aquellos a quienes intentan
localizar.
Conclusión: Haga que la formación en la detección de amenazas sea lo más realista posible, de modo que los especialistas en detección cuenten con las habilidades necesarias para identificar amenazas del mundo real.
Según un informe de IBM Security titulado « » (), tras infiltrarse en una red, los piratas informáticos pueden pasar desapercibidos durante 280 días, de media. Los cazadores de amenazas pueden contrarrestar en gran medida esa situación. Por supuesto, habrá fracasos entre los éxitos, pero si se forma el equipo adecuado y se les da libertad para localizar a posibles adversarios en su entorno, estos detectarán a los autores de las amenazas antes de que puedan causar daño.
