This is the last in our four-part blog series illustrating how we track critical metrics. In this installment, Tanium SecOps Engineer Greg Pothier discusses how we respond to incidents, offers guidelines on mean time to respond and explains why rapid response times are key for every business.
Utilizamos habitualmente Tanium en nuestras prácticas de higiene de seguridad para reforzar nuestra postura defensiva, empleando la aplicación de parches como una medida de « » ( ), así como un proceso de « » () (). De este modo, se reduce nuestra superficie de ataque y se fomenta un entorno homogéneo.
Sin embargo, antes de felicitarnos por el buen trabajo realizado, es importante que mantengamos la vigilancia. Como ya sabe, los atacantes son creativos; y, una vez que se han infiltrado en una red, los casos de filtraciones que se han hecho públicos han demostrado que pueden pasar desapercibidos durante meses.
El impacto y el coste de una intrusión están directamente relacionados con el tiempo que un atacante permanece en una red. Por ello, es fundamental que nos propongamos reducir al máximo nuestro tiempo medio de resolución. Para que nuestro trabajo sea más eficiente y eficaz, utilizamos Tanium para automatizar al máximo el proceso inicial de detección y notificación de alertas. Estas detecciones automáticas nos alertan de posibles actividades maliciosas, momento en el que podemos empezar a medir nuestro tiempo de respuesta.
El ciclo de vida típico de un ataque se divide en tres fases generales:
- Infección inicial. Se produce cuando un atacante ejecuta con éxito, por primera vez, código malicioso en un terminal para obtener acceso.
- Persistencia. Se da cuando un atacante ha conseguido acceder a un terminal y es capaz de mantener dicho acceso incluso tras los reinicios del sistema.
- Movimiento lateral y consecución del objetivo. Los atacantes rara vez aterrizan donde desean. Por lo tanto, una vez que consiguen el acceso, los atacantes suelen aprovecharlo para desplazarse lateralmente de un sistema a otro, recopilando más datos hasta que, finalmente, logran su objetivo.
A continuación se presentan ejemplos de cómo utilizamos Tanium para gestionar la actividad en cada fase del ciclo de vida de un ataque, así como nuestras expectativas respecto al tiempo medio de respuesta en cada fase.
Fase inicial de la infección: detección de actividades maliciosas
Tanium es una plataforma, lo que significa que podemos pasar inmediatamente de la detección y la emisión de alertas al análisis del alcance y la investigación, todo ello desde una única consola. Analizamos todas las detecciones y posibles infecciones iniciales utilizando Tanium Trace para conectarnos al terminal y crear registros cronológicos y análisis de datos forenses clave en los terminales. Entre estos elementos forenses se incluyen la ejecución de procesos, los cambios en el sistema de archivos y en el registro, la carga de controladores, los eventos de seguridad, así como otros eventos relevantes relacionados con el usuario y el sistema.
Tanium Trace registra de forma continua la actividad de los terminales, independientemente de si estos están conectados a Internet o no. Trace nos permite aplicar la detección de patrones de ataque para identificar anomalías y sucesos sospechosos basados en metodologías de ataque complejas.
Entre los ejemplos de algunos de los mecanismos de detección más habituales se incluyen:
- Archivos de script en rutas sospechosas;
- Patrones de eventos de procesos y archivos indicativos de malware en forma de macros de Microsoft Office;
- Adobe Acrobat Reader genera tipos de archivo inusuales; y
- Ventanas de línea de comandos generadas por aplicaciones principales poco habituales.
A medida que recopilamos pruebas de Trace, podemos utilizar Tanium Detect para buscar estos indicadores de compromiso (IOC) en toda la empresa. Detect recopila indicadores de amenazas (IOC) procedentes de diversas fuentes, entre las que se incluyen repositorios locales de detección de amenazas, flujos TAXII y otras fuentes de inteligencia sobre amenazas. La función «Detect» nos permite personalizar los análisis en función del estado del terminal, lo que permite una selección precisa basada en el sistema operativo del terminal, el grupo de usuarios o los sistemas con administradores con privilegios.
En lo que respecta a Detect, nuestro equipo de seguridad interna está suscrito a varias fuentes externas de datos sobre amenazas, entre las que se incluyen un servicio líder de bases de datos de reputación, así como , , Palo Alto Networks Wildfire (se abre en una nueva pestaña),y . A través de Tanium Connect (se abre en una nueva pestaña), podemos trabajar de forma nativa con las API de ambos productos para comprobar los hash de todos los procesos en ejecución, los programas de ejecución automática y los controladores cargados, comparándolos con docenas de motores antivirus. Cuando se detecta un hash malicioso, se nos avisa de inmediato y se genera automáticamente un ticket.
Además de la función «Detect», podemos determinar si existen indicadores similares en otros lugares simplemente utilizando Tanium Core para realizar una búsqueda ad hoc en toda la empresa, abarcando todos nuestros terminales.
Utilizamos Tanium para solucionar el problema del terminal infectado y, en función de lo que detectemos, podemos aplicar acciones de Tanium para detener los procesos maliciosos en ejecución, desinstalar aplicaciones no autorizadas y/o aplicar parches (se abre en una nueva pestaña) al terminal de forma inmediata.
Muchas investigaciones de respuesta ante incidentes concluyen en este punto. Si ese es el caso, entonces podemos cronometrar el tiempo transcurrido desde la detección inicial hasta la corrección y registrar cuánto tiempo ha durado el proceso. Nuestro objetivo es reducir al máximo el tiempo medio de resolución de incidencias.
Persistencia: localizar a los atacantes allí donde se esconden
Tanium ofrece diversos métodos para supervisar y detectar los mecanismos de persistencia habituales , entre los que se incluyen ejecutables independientes, DLL de servicios maliciosos, módulos de servicios alojados y componentes COM.
La búsqueda y el apilamiento en tiempo real de Tanium permiten que nuestras operaciones de detección sean eficientes y eficaces a la hora de detectar la persistencia del malware a través de métodos habituales de los atacantes, como Windows Management Instrumentation (WMI) y las tareas programadas. El apilamiento en tiempo real es, asimismo, un componente fundamental de la búsqueda de amenazas, ya que permite realizar un análisis de valores atípicos de todos los mecanismos persistentes.
Se revisan los nuevos mecanismos de persistencia y, en caso de que se detecte que son maliciosos, se utiliza Tanium para aplicar una acción de cuarentena , aislando el terminal infectado hasta que se puedan completar el análisis y la corrección correspondientes.
Ahora que se ha contenido el brote inicial, debemos determinar cómo se produjo la infección en primer lugar.
Tanium Trace puede responder a estas preguntas mediante un análisis « » de la ejecución de los procesos, proporcionar el historial del árbol de procesos asociado y aprovechar las pruebas forenses para crear indicadores de compromiso, lo que nos ayudará a responder a la siguiente pregunta: ¿Se intentó y se logró aplicar el método de persistencia en otros terminales?
Creamos acciones de detección automatizadas con Detect introduciendo nuestro IOC o nuestra regla Yara y buscando en toda la empresa indicios de actividad maliciosa. Nuestro objetivo es responder a las alertas de alcance con una clasificación inicial en los primeros 15 minutos y llevar a cabo una recopilación más detallada de información mediante los métodos mencionados anteriormente en el plazo de la primera hora.
Movimiento lateral y exfiltración: cómo detener a los atacantes en seco
Durante la fase de movimiento lateral y de consecución de objetivos **,** utilizamos Tanium para detectar las técnicas habituales de reconocimiento de dominios por parte de los atacantes y generar alertas al respecto. A modo de ejemplo, Tanium nos avisa cuando un atacante —o incluso un empleado malintencionado— intenta llevar a cabo posibles actividades maliciosas, como utilizar net.exe para descubrir grupos de cuentas de usuario, o incluso intenta añadir un nuevo usuario.
PowerShell se ha convertido en una de las principales herramientas de los atacantes, y utilizamos Tanium para detectar fácilmente comportamientos sospechosos de PowerShell mediante el análisis de árboles de procesos, líneas de comando o incluso conexiones HTTPS. Supervisamos y emitimos alertas sobre los inicios de sesión de tipo 3 en la red, incluyendo la ejecución remota de comandos mediante psexec, la ejecución remota de comandos mediante WMI, el montaje sospechoso de recursos compartidos y las tareas remotas programadas. Muchos atacantes prefieren utilizar herramientas que residen principalmente en la memoria para pasar desapercibidos, por lo que utilizamos Tanium Threat Response (se abre en una nueva pestaña) para examinar rápidamente la memoria de los terminales en toda la empresa.
Durante los intentos de exfiltración, los atacantes suelen comprimir los datos para cifrar el contenido y los nombres de los archivos. Utilizamos el índice « » de Tanium para buscar archivos que presenten indicadores sospechosos, entre los que se incluyen el nombre, la ruta, el hash y los bytes del encabezado. Por lo tanto, cuando un atacante intenta comprimir y cifrar archivos y su contenido, Tanium Index nos avisa de cualquier archivo de nueva creación que contenga una secuencia de bytes de cabecera sospechosa.
A la hora de responder ante un posible movimiento lateral o una exfiltración, Tanium nos ofrece varias opciones para aplicar medidas inmediatas destinadas a subsanar la actividad maliciosa. Podemos rebajar el nivel de privilegios y/o eliminar cuentas locales con permisos elevados, implementar un paquete para detener cualquier proceso malicioso, restablecer las credenciales de los usuarios afectados y cerrar las conexiones y los puertos no autorizados.
Este proceso de detección, que se lleva a cabo en cuestión de segundos y a gran escala, y que se basa en la capacidad de analizar en profundidad los terminales de toda la empresa, mantiene nuestro tiempo medio de respuesta dentro del rango previsto y nos permite detectar a los atacantes antes de que puedan llevar a cabo sus objetivos. Tanium, como plataforma, nos permite realizar en segundos, minutos y horas lo que, por lo general, lleva a los equipos de respuesta ante incidentes días, semanas o incluso meses.
Esta es la última entrega de nuestra serie de cuatro partes. En la primera parte de « », explico cómo, en Tanium, hacemos un seguimiento de las vulnerabilidades críticas. En « , segunda parte», describo cómo utilizamos Tanium para realizar un seguimiento de los indicadores clave de cumplimiento normativo. En la tercera parte de « », explico cómo utilizar Tanium y Splunk conjuntamente para proporcionar datos sobre la gestión de parches. Para descubrir cómo Tanium puede ayudarle a empezar a medir estos aspectos en su entorno, regístrese ahora para obtener una prueba de concepto de « » (se abre en una nueva pestaña) .*
Más información:
- Cómo realizamos el seguimiento de los indicadores clave de cumplimiento
- Cómo hacemos un seguimiento del tiempo medio hasta la publicación de un parche
Acerca del autor: Greg Pothier es ingeniero de seguridad en Tanium y cuenta con experiencia en automatización de la seguridad, análisis de datos, pruebas de penetración y desarrollo de software. Antes de incorporarse a Tanium, Greg ocupó el cargo de ingeniero sénior en varias agencias de inteligencia y organismos gubernamentales de Estados Unidos. Greg cursó sus estudios de máster en Informática en la Universidad George Mason, donde fue galardonado con la Beca Cibernética de Seguridad de la Información de la NSA.
