En la continua carrera armamentística entre atacantes y defensores, la detección y respuesta en terminales (EDR) se considera, de forma generalizada, un importante avance para los equipos de seguridad de las empresas. Esta categoría tecnológica, acuñada por primera vez por Gartner allá por el año 2013, ha alcanzado su madurez varios años después. De hecho, el uso del software EDR se hizo obligatorio para todos los organismos del Gobierno federal en el « » May 2021 , mediante el Decreto Presidencial (se abre en una nueva pestaña).
Sin embargo, por muy útiles que sean estas herramientas, no son la panacea. Nir Yosha, ingeniero de soluciones técnicas de Tanium, se reunió recientemente con nosotros para explicar por qué —y cómo— la plataforma de Tanium puede subsanar deficiencias críticas en materia de capacidades.
Una explosión de amenazas en los dispositivos finales
El punto final es el lugar donde las organizaciones internacionales desarrollan actualmente su actividad. Además, es allí donde tienen más probabilidades de ser objeto de ataques por parte de terceros malintencionados que pretenden robar datos confidenciales, extorsionar a los sistemas cifrados y mucho más.
Más de dos tercios (68 %) de las organizaciones sufrieron un ataque a sus terminales que provocó la filtración de datos o el compromiso de sus sistemas informáticos en los últimos 12 meses, según un informe de one 2020 . (se abre en una nueva pestaña)
El paso generalizado al teletrabajo el año pasado provocó un aumento vertiginoso del número de dispositivos corporativos, lo que no hizo sino ampliar la superficie de ataque cibernético de las empresas. Alrededor del 90 % de los altos directivos con los que hablamos afirmaron haber experimentado un aumento en el número de incidentes de seguridad.
Todo ello hace que, en la actualidad, la EDR sea una opción obvia para muchos responsables de ciberseguridad. No obstante, también es importante comprender cuáles son los límites de la tecnología y en qué casos puede ser necesario recurrir a herramientas adicionales:
Idea errónea n.º 1: El software EDR es una herramienta excelente para la detección proactiva de amenazas
Los productos de software EDR están diseñados para detectar comportamientos sospechosos en el sistema, proporcionar información contextual y bloquear actividades maliciosas. Sin embargo, solo lo hacen en el caso de malware conocido (mediante firmas) y comportamientos sospechosos (mediante heurística). No están configurados para detectar los ataques en memoria o sin archivos, ni las técnicas de «living off-the-land» que utilizan cada vez más los autores de amenazas para permanecer ocultos. Son estos los aspectos en los que debe centrarse en la búsqueda de amenazas.
Idea errónea n.º 2: Las herramientas EDR pueden reducir la carga de trabajo de los analistas del Centro de Operaciones de Seguridad (SOC)
Es indudablemente cierto que las herramientas de EDR pueden automatizar la protección y el bloqueo de algunas actividades maliciosas, lo que permite a los analistas disponer de más tiempo. Pero, de hecho, en lugar de reducir la carga de trabajo del SOC, la aumentan. ¿Por qué? Dado que cada herramienta de EDR genera miles de alertas cada día —alertas para las que los analistas necesitan otras herramientas que les proporcionen contexto—.
Como consecuencia, el analista típico puede sufrir una sobrecarga o fatiga por alertas, lo que le impide completar la lista de alertas al final de cada jornada. Esto significa que algunas amenazas lograrán pasar desapercibidas, mientras que los analistas acabarán persiguiendo falsos positivos y callejones sin salida.
Martin Fisher, director de seguridad de la información y responsable jefe de seguridad de la información del Northside Hospital, situado en la zona de Atlanta, , habló con Endpoint sobre cómo su equipo (se abre en una nueva pestaña) está sufriendo agotamiento debido a las constantes alertas.
Idea errónea n.º 3: El EDR ofrece funciones para una respuesta y una corrección completas
El EDR puede resultar de ayuda en algunas actividades de respuesta ante incidentes, pero desde luego no es una herramienta de referencia. Esto se debe a que la mayoría no ofrece análisis de comportamiento que ayuden a delimitar el alcance de un ataque en curso. No proporcionan datos históricos para la investigación y el análisis, y no registran las actividades en todos los servidores. Esto significa que los responsables de la gestión de incidentes deben encontrar herramientas alternativas que permitan realizar análisis de alcance, aislamiento y análisis forense en tiempo real.
¿Cómo puede ayudar Tanium?
En cambio, los equipos de seguridad deberían plantearse complementar sus capacidades de EDR con la plataforma Tanium. Tanium permite a los clientes:
- Plantee las preguntas adecuadas para detectar rápidamente actividades maliciosas avanzadas que el EDR no haya detectado
- Obtenga información sobre el alcance de los ataques y si se ha producido una filtración de datos
- Ayude a detectar cualquier amenaza en tiempo real y a gran escala
- Comprender qué ocurrió tras el incidente, cuáles son los daños y cómo puede mejorar la organización antes del próximo ataque
Tanium y EDR trabajan en estrecha colaboración para minimizar el riesgo cibernético y hacer que su organización sea más segura y resiliente.
Obtenga más información sobre , la solución de respuesta ante incidentes de Tanium (se abre en una nueva pestaña) y póngase en contacto con nosotros para concertar una demostración.
