Wim Remes, fundador de Wire Security, ha sido testigo de primera mano de la avalancha diaria de alertas de seguridad que ha sepultado a los equipos que ha dirigido bajo decenas de millones de avisos extremadamente urgentes —y, en su mayoría, irrelevantes— cada día.
Si bien las alertas de seguridad más triviales de pueden gestionarse con herramientas de automatización, uno de los equipos de Remes se enfrentó a una acumulación persistente de miles de eventos de seguridad de y no pudo hacer frente a la situación.
«Todo el equipo se dedicaba a reducir el volumen de trabajo atrasado a tiempo completo», afirma. Las empresas que no logran mantenerse al día, tal y como él ha podido comprobar, tienen pocas posibilidades de detener con éxito la avalancha de ciberataques dirigidos contra sus datos y sistemas, al menos no durante mucho tiempo.
Este no es un problema que vaya a resolverse a corto plazo. El elevado número de alertas se ha agravado durante la pandemia de COVID, ya que las empresas han pasado a realizar la mayor parte del trabajo a distancia. Si no se gestiona adecuadamente, el constante sonido de las señales de alarma no hace más que agotar a los analistas.
[Lea también: Cómo actuar ante una brecha de seguridad cibernética]
«El coste humano del último año ha sido enorme», afirma Martin Fisher, director de seguridad de la información y responsable de seguridad de la información del Northside Hospital, en la zona de Atlanta. «Estamos nerviosos. Cada alerta da lugar a una investigación de respuesta ante incidentes de menor gravedad. Ese nivel de esfuerzo resulta agotador. La gente está agotándose».
Muchas herramientas de seguridad de emiten alertas que no proporcionan suficiente contexto para comprender lo que está ocurriendo. A veces la culpa es de la herramienta. A veces se debe a la falta de formación del personal. «Si se tratara de un problema sencillo, ya se habría resuelto hace mucho tiempo», afirma Chris Blow, director de seguridad ofensiva de Liberty Mutual.
Para reducir el número de alertas a un nivel que las personas y los sistemas puedan gestionar, las empresas deben dar el salto de la «fatiga de alertas» a la «concienciación sobre las alertas». Para ello, pueden ajustar con precisión las herramientas y los sensores de seguridad, centrarse en las alertas que realmente importan, reducir la sobrecarga de los analistas mediante la automatización, potenciar la formación del personal y reforzar de forma proactiva su postura de seguridad « ».
Configure sus dispositivos de seguridad
Este es el paso más obvio, pero no por ello resulta necesariamente fácil. Las herramientas de seguridad que se utilizan para supervisar redes y sistemas son muy delicadas. Si se configuran de forma demasiado estricta, se vuelven excesivamente «charlatanas» y generan demasiadas alertas; si se configuran de forma demasiado laxa, los equipos de seguridad corren el riesgo de pasar por alto ataques reales.
«No basta con configurarlas y olvidarse de ellas», afirma Blow, de Liberty Mutual. Sin embargo, así es como las tratan muchas empresas. Afirma que las empresas más exitosas cuentan con procesos que involucran a todas las personas necesarias para gestionar las alertas, incluidos los responsables de las aplicaciones y los sistemas pertinentes, así como a quienes trabajan en el SOC. Se reúnen semanalmente o con mayor frecuencia para mantenerse al día ante las amenazas en constante evolución.
«Establecer prioridades en las alertas y asegurarse de que todo el mundo comprenda dichas prioridades contribuye en gran medida a resolver la fatiga por alertas.»Chris Blow, director de seguridad ofensiva de Liberty Mutual
Remes of Wire Security recomienda establecer un ciclo de retroalimentación estrecho entre el entorno que supervisan las herramientas de seguridad y la configuración de las herramientas que emiten alertas. «Sus herramientas de supervisión de la seguridad deben configurarse en función de las alertas que desee recibir», afirma. Para ello, Remes recomienda utilizar un marco basado en el riesgo que permita a las empresas aplicar una evaluación del riesgo cibernético a los dispositivos, aplicaciones, redes y usuarios que deseen proteger.
Priorizar las alertas
No todas las detecciones de eventos son iguales. Aunque es necesario analizar las alertas pendientes, no todas deben investigarse de inmediato. «Establecer prioridades en las alertas y asegurarse de que todo el mundo comprenda dichas prioridades contribuye en gran medida a resolver la fatiga por alertas», afirma Blow.
Para establecer mejor las prioridades, Blow afirma que es esencial tener en cuenta factores como el origen de la alerta, el volumen de alertas, la magnitud del impacto potencial del suceso, la evolución del posible ataque y el grado de similitud de un incidente con otros anteriores. El Sr. Fisher, del Northside Hospital, también da prioridad a aspectos delicados como la seguridad y la experiencia de los pacientes, así como al malware y al ransomware que amenazan las operaciones de la empresa.
Automatice la respuesta adecuada a las alertas
Algunas alertas pueden resolverse de forma automática. Por ejemplo, no es necesario enviar una alerta prioritaria a los equipos de atención al cliente en el caso de un usuario al que se le haya bloqueado el acceso a su cuenta tras un número excesivo de intentos fallidos de inicio de sesión y que, a continuación, necesite restablecer su contraseña. Sin embargo, aunque uno o dos intentos fallidos de inicio de sesión no tienen por qué ser una prioridad, afirma Blow, «si la alerta se activa varias veces a lo largo del día, entonces podría elevarse el nivel de alerta».
[Lea también: 5 formas en que su empresa puede evitar aparecer en los titulares]
Otras áreas que pueden automatizarse incluyen los ataques de phishing y el análisis. «Cuando alguien denuncia un correo electrónico de phishing, puede analizar los datos e interactuar con su infraestructura de correo para eliminar los correos similares de los buzones de otros usuarios», afirma Remes.
Sin embargo, Remes aconseja que se tenga cuidado a la hora de automatizar procesos deficientes. «Lo que no desea que ocurra es que no se comprendan sus procesos automatizados», afirma. «Pasar de comprender lo que está sucediendo a comprender lo que debe hacer un equipo y, a continuación, automatizar esos procesos no es un proceso rápido», afirma.
Impartir formación al personal sobre las herramientas de seguridad más recientes
«El número de herramientas ha crecido de forma exponencial», afirma Blow.
Son demasiadas las empresas que intentan implementar productos con la esperanza de que eso resuelva sus riesgos de seguridad. Las herramientas acaban en mal gestionadas, si es que llegan a utilizarse. En cambio, es posible que las organizaciones tengan que invertir en los servicios profesionales que necesitan para poner en marcha sus herramientas de forma eficaz y para garantizar que el personal de seguridad reciba la formación adecuada.
«Son demasiadas las organizaciones que simplemente pasan por alto los servicios y la formación adecuada, y eso se nota en su puesta en práctica», afirma Blow.
Anticípese a las amenazas
A medida que se va reduciendo el volumen de alertas pendientes, resulta fundamental que el equipo de operaciones de seguridad analice de forma proactiva la red en busca de posibles indicios de vulneración antes incluso de que se activen las alertas. Si un grupo delictivo concreto ha estado atacando a su sector (como los recientes ataques de contra el sector sanitario), debería buscar indicios de que ya se hayan infiltrado en su propio entorno informático.
[Lea también: La proliferación de herramientas amenaza la seguridad tras la pandemia]
«Cuando logramos detectar una amenaza, ni siquiera necesitamos la alerta, ya que podemos bloquear directamente cualquier técnica que estén utilizando», afirma Blow.
Adelantarse a la alerta parece un objetivo inalcanzable y, sin la formación, los servicios y las plataformas adecuados, probablemente lo sea. Pero es un objetivo que merece la pena fijarse.
¿Cómo logró finalmente el equipo de Remes, que se encontraba desbordado, ponerse al día con el trabajo atrasado? Optimizó el entorno en la medida de lo posible y, con el paso del tiempo, abordó el trabajo pendiente por partes. «Contamos con cinco analistas», afirma. «Cada analista dedica un día a la semana a ponerse al día con las alertas pendientes. «Esto significa que cada analista dispone de cuatro días a la semana para dedicarse a otras tareas».
Funcionó. La lista de tareas pendientes del equipo ha pasado de 3,000 a 80 alertas. Pero, al igual que para todos los demás, mantener a raya el trabajo atrasado es una lucha constante.
