Esta es la tercera entrega de nuestra serie de entradas de blog, compuesta por cuatro partes, en la que analizamos cómo utilizamos la plataforma Tanium en nuestra propia organización. En esta entrega, el ingeniero de operaciones de seguridad (SecOps) Greg Pothier explica cómo utilizar Tanium y Splunk de forma conjunta para obtener datos sobre la gestión de parches, que los directores de seguridad (CSO) y otros responsables de seguridad pueden aprovechar para evaluar el riesgo potencial.
Seguimiento del tiempo medio
¿En qué medida resultaría útil realizar un seguimiento del tiempo medio hasta la aplicación de un parche para cada dispositivo de su red? ¿Qué le parecería poder proporcionar al instante resultados precisos sobre el número de parches pendientes cada vez que su director de sistemas de información (CIO), director de seguridad (CSO) o vicepresidente de operaciones lo solicite?
Estas eran las preguntas que empezamos a plantearnos aquí, en Tanium. Las respuestas aportan un valor empresarial real a nuestros responsables de seguridad y de TI, quienes pueden utilizar los datos para supervisar de forma continua nuestra superficie de ataque y el rendimiento de la aplicación de parches.
Es cierto que la mayoría de las organizaciones ni siquiera conocen el estado actual de los parches en toda su red, pero en Tanium no solo lo sabemos, sino que además hemos creado un indicador para hacer un seguimiento del tiempo medio que se tarda en aplicar los parches.
Esta es la forma más precisa que tenemos en Tanium de utilizar la Plataforma Tanium para recopilar datos sobre el rendimiento de nuestra organización en la gestión de parches. Tanium facilita la obtención de resultados precisos, como los parches críticos pendientes y el estado de todas las aplicaciones instaladas, incluso en las empresas más grandes. Para los responsables de seguridad de la información (CSO) y otros responsables de seguridad, disponer de una visión general de los parches pendientes en toda la empresa es un indicador clave, ya que les ayuda a evaluar el riesgo potencial. Con Tanium, podemos ir un paso más allá y evaluar la eficacia de nuestra gestión de parches calculando el tiempo medio que se tarda en aplicar los parches en toda la empresa. A continuación le explicamos cómo lo llevamos a cabo, utilizando Tanium y Splunk (se abre en una nueva pestaña), una herramienta de análisis de datos.
Tanium Connect
En primer lugar, hemos configurado un Tanium Connect (se abre en una nueva pestaña) que envía a Splunk nuestra consulta de Tanium: «Obtener el nombre del ordenador, el sistema operativo y los parches disponibles de todos los equipos». El sistema operativo es opcional; lo incluimos por si en el futuro quisiéramos filtrar los resultados en función de sistemas operativos concretos.
Una vez creado el «Connect» en Tanium, lo ejecutamos y comprobamos en Splunk que los resultados se procesan según lo previsto. Comenzamos la búsqueda con la consulta index=«tanium», ya que hemos configurado esta conexión para que se indexe como Tanium. A continuación, añadimos lo siguiente:
<code>index=”tanium”
Question="Obtener el nombre del ordenador, el número de serie y los parches disponibles de todos los equipos"
</code>Aquí se muestran todos los resultados de las actualizaciones disponibles, ordenados por nombre de ordenador. Ahora disponemos de una lista de todos los parches, que incluye el título, el nivel de gravedad, el CVE_ID, etc. (Nota de : En la siguiente captura de pantalla utilizamos una tabla para presentar los resultados con fines meramente visuales; este formato no es necesario en ningún otro caso.)
En este punto, creamos una presentación visual clara de los parches clasificados por tipo de gravedad. Para asegurarnos de que no procesamos resultados duplicados, enviamos la información de la conexión a una función de deduplicación como, por ejemplo:
<code>| dedup Número_de_serie_del_ordenador, Artículo_de_la_base_de_conocimientos, ID_de_CVE, Título</code>
De este modo se garantiza que estos valores (Computer_Serial_Number, KB_Article, CVE_ID, Title) se registren únicamente una vez y, por lo tanto, sean únicos. Una vez que disponemos de los valores únicos, ejecutamos una función sencilla para representar gráficamente los resultados según su gravedad:
<code>| Recuento de gráficos por gravedad
</code>Los resultados dan lugar a un gráfico claro que muestra el recuento total de cada tipo de gravedad, así como el porcentaje correspondiente:
Ahora disponemos de un panel de control sólido y automatizado con los parches actuales pendientes, clasificados por nivel de gravedad. Tenga en cuenta que podríamos hacer lo mismo fácilmente en equipos que ejecuten otros sistemas operativos, como Linux o Mac OS X. Continuemos con nuestro objetivo de crear una solución automatizada que calcule y muestre el tiempo medio hasta la aplicación del parche.
A continuación, volvemos a nuestra consulta base y eliminamos la deduplicación para poder trabajar con todos los registros de parches que se han recibido. A continuación, añadimos:
<code>| estadísticas: «earliest(_time)» como «First», «latest(_time)» como «Last», por Computer_Name, CVE_ID, Severity y Title</code>
Esto aprovecha la función de estadísticas para comprobar cuándo se notificó por primera vez el parche, así como cuándo se notificó por última vez, por nombre de ordenador, CVE_ID, gravedad y título. Este informe nos proporciona una marca de tiempo que indica cuándo se detectaron por primera vez y cuándo se detectaron por última vez los parches. Ahora, calculamos la diferencia entre ambos valores para determinar la duración y, a continuación, convertimos el formato de tiempo de época en una cadena legible:
<code>| eval diff = Last - First | eval diff2 = tostring(diff, "duración")</code>
Los resultados incluyen el nombre del ordenador, la información sobre el parche y el tiempo durante el que se indicó que cada parche estaba pendiente en cada ordenador. Ahora, calculamos el máximo, el mínimo y la media reales de esos valores de diferencia:
<code>| recuento de estadísticas, máx.(diferencia), mín.(diferencia), media(diferencia)
</code>Y eso es todo. Ahora conocemos los valores máximo, mínimo y medio de todos los fragmentos. Lo presentamos de forma más clara cambiando el nombre de «mean(diff)» por «average», redondeando los decimales sobrantes y creando una cadena bien formateada que muestre los días, las horas, los minutos, etc.
<code>| renombrar «mean(diff)» como «average» | evaluar «average» = redondear(«average», 0) | evaluar «averageTime» = convertir a cadena(«average», </code>
En esta entrada del blog, hemos utilizado una pregunta guardada de Tanium, que se envía una vez al día a través de Tanium Connect a Splunk, para crear dos métricas importantes y automatizadas. Los responsables de TI pueden utilizar esta información para evaluar nuestra superficie de ataque y el rendimiento en la aplicación de parches, tanto en la situación actual como a lo largo del tiempo.
Esta es la tercera parte de una serie de cuatro. En « » (), primera parte (), explico cómo, en Tanium, hacemos un seguimiento de las vulnerabilidades críticas. En « » (), segunda parte (), describo cómo utilizamos Tanium para realizar un seguimiento de los indicadores clave de cumplimiento normativo. En , cuarta parte, ofrezco una serie de directrices sobre el tiempo medio de respuesta y explico por qué unos tiempos de respuesta rápidos son fundamentales para cualquier empresa.
Acerca del autor: Greg Pothier es ingeniero de seguridad en Tanium y cuenta con experiencia en automatización de la seguridad, análisis de datos, pruebas de penetración y desarrollo de software. Antes de incorporarse a Tanium, Greg ocupó el cargo de ingeniero sénior en varias agencias de inteligencia y organismos gubernamentales de Estados Unidos. Greg cursó sus estudios de máster en Informática en la Universidad George Mason, donde fue galardonado con la Beca Cibernética de Seguridad de la Información de la NSA.
