ACTUALIZACIÓN: Esta entrada, publicada originalmente en September 21, 2021, se ha actualizado para reflejar la información más reciente disponible sobre la detección de amenazas.
La búsqueda de amenazas es una práctica proactiva de ciberseguridad en la que unos expertos, denominados «cazadores de amenazas», buscan activamente indicios de actividad maliciosa —desde fuentes externas hasta amenazas internas— dentro del entorno de una organización. El objetivo es detectar y detener las amenazas antes de que causen daños, mediante el análisis de datos como el tráfico de red, los terminales y los registros.
Lamentablemente, muchas de las medidas en materia de ciberseguridad siguen centrándose en una respuesta reactiva, lo que brinda a los atacantes la oportunidad de infiltrarse en los sistemas y causar estragos.
Es fácil comprobar lo que ocurre cuando las organizaciones no dan prioridad a medidas de seguridad proactivas, como los programas de detección de amenazas, y acaban apareciendo en los titulares por filtraciones masivas de datos (se abre en una nueva pestaña) o por ataques de ransomware.
En esta entrada, nos adentraremos en el mundo de la búsqueda de amenazas, comenzando por su definición y las habilidades esenciales que deben poseer los especialistas en este ámbito para tener éxito. También analizaremos si toda la búsqueda de amenazas es proactiva, repasaremos las metodologías más habituales y distinguiremos entre los distintos tipos de búsqueda de amenazas.
Conocerá los pasos clave que siguen los cazadores de amenazas, sus técnicas y las herramientas que les ayudan en su labor. Asimismo, compartiremos las mejores prácticas para mejorar su proceso de detección proactiva de amenazas, le presentaremos un ejemplo real de dicha detección y le ofreceremos orientación sobre cómo integrar un programa proactivo de detección de amenazas en su estrategia de seguridad.
Definición de la búsqueda de amenazas
La detección proactiva de amenazas se está consolidando como un método significativo de ciberseguridad que consiste en la búsqueda continua de amenazas en todo el entorno de una organización. Esto suele implicar la búsqueda de «incógnitas desconocidas» —anomalías no detectadas hasta el momento, actividades inusuales o código malicioso— que podrían abrir la puerta a un ciberataque.
La búsqueda de amenazas comienza con una hipótesis o una afirmación sobre las ideas que tiene el investigador acerca de qué amenazas podrían existir en el entorno y cómo detectarlas. Los cazadores de amenazas pueden recurrir a la inteligencia sobre amenazas, al conocimiento del entorno y a su propia experiencia y creatividad para trazar una ruta lógica hacia la detección.
Gracias a la detección proactiva de amenazas, las organizaciones pasan de un enfoque reactivo de control de daños a uno proactivo de prevención de daños en sus iniciativas de ciberseguridad.
Cuando sus herramientas o un proveedor externo le avisen de una filtración de datos en curso, o cuando reciba una demanda de rescate de (se abre en una nueva pestaña), los daños en sus sistemas y los costes de reparación pueden ser graves. La detección proactiva de amenazas le permite mitigar las vulnerabilidades de forma proactiva antes de que provoquen un desastre.
Una forma de entender la búsqueda de amenazas es compararla con el sistema inmunológico de su cuerpo. Sus células T no esperan a que se sienta mal. Buscan y eliminan constantemente los gérmenes invasores y las células que presentan un comportamiento anómalo. En muchos casos, su sistema inmunitario le evita enfermarse.
Por supuesto, al igual que los ataques al sistema inmunológico, los ciberataques pueden, en ocasiones, colarse, incluso en organizaciones que cuentan con medidas de ciberseguridad sólidas y continuas. Sin embargo, en muchos casos, la detección proactiva de amenazas le permite detectar las infracciones con mayor antelación, lo que protege la reputación de su empresa y sus datos.
A medida que vaya comprendiendo mejor el concepto de «búsqueda de amenazas», se encontrará con frecuencia con el término « » (inteligencia sobre amenazas). Es importante comprender la diferencia entre la búsqueda de amenazas y la inteligencia sobre amenazas, ya que ambas son componentes fundamentales de una estrategia sólida de ciberseguridad, pero tienen fines distintos e implican procesos diferentes.
¿Cuál es la diferencia entre la búsqueda de amenazas y la inteligencia sobre amenazas?
La búsqueda de amenazas consiste en buscar de forma activa amenazas dentro de un entorno.
La inteligencia sobre amenazas consiste en recopilar, analizar y difundir información sobre amenazas potenciales o actuales obtenida de diversas fuentes, entre las que se incluyen datos de fuentes abiertas, redes sociales, la vigilancia de la web oscura y otras fuentes compartidas de información sobre amenazas.
Los cazadores de amenazas no solo parten de la premisa de que los adversarios ya se encuentran al acecho dentro del sistema, sino que tampoco se basan en la información de inteligencia para conocer los ataques ya conocidos, lo que supone, en la práctica, elevar el nivel de los esfuerzos, pasando de la detección de amenazas a la caza de amenazas.
Lo ideal es que los cazadores se mantengan un paso por delante, buscando amenazas nuevas y emergentes que aún no hayan sido documentadas por los servicios de inteligencia sobre amenazas cibernéticas. No obstante, la información de inteligencia publicada sigue aportando un valor significativo a la búsqueda de amenazas, ya que proporciona conocimientos fundamentales sobre los que pueden basarse los especialistas en este ámbito, incluyendo información sobre el panorama de amenazas, los patrones y las lecciones extraídas de incidentes anteriores, lo que les permite reconocer los patrones y los indicadores de compromiso con mayor rapidez y precisión.
Los cazadores de amenazas eficaces desempeñan un papel crucial a la hora de proteger a las organizaciones frente a posibles amenazas en el panorama de la ciberseguridad, en constante evolución. Sin embargo, para destacar en este ámbito, los cazadores de amenazas deben poseer un conjunto único de cualidades que analizaremos en la siguiente sección.
Las habilidades más importantes de un cazador de amenazas
Como defensores de primera línea frente a las últimas amenazas y ataques, los cazadores de amenazas deben desarrollar cualidades específicas para mantenerse siempre un paso por delante de sus adversarios.
Al dominar estas habilidades, los cazadores de amenazas pueden mejorar considerablemente su capacidad para detectar, investigar y mitigar posibles amenazas, con el fin de reforzar la postura de seguridad de su organización. Los cazadores de amenazas deben:
Personas que siguen formándose a lo largo de toda la vida
El aprendizaje continuo y la autoformación son esenciales para los cazadores de amenazas. Dado que constantemente surgen nuevas amenazas y técnicas de ataque, los cazadores de amenazas deben leer mucho, asistir a sesiones de formación y participar en comunidades de ciberseguridad para mantenerse al día sobre las últimas tendencias y las mejores prácticas.
Científicos y analistas de datos
Los cazadores de amenazas deben incorporar la ciencia de datos y el análisis a la hora de recopilar datos de diferentes fuentes —como el tráfico de red, los registros del sistema, los datos de los terminales, las fuentes de inteligencia sobre amenazas y otras— para procesarlos y extraer conclusiones significativas que sirvan de base para su toma de decisiones.
Mediante el análisis de esta información, los especialistas en detección de amenazas pueden identificar patrones, detectar anomalías e investigar esos comportamientos anómalos para determinar si pueden indicar una actividad maliciosa.
Intuitivo
Los cazadores de amenazas también deben confiar en su intuición para analizar datos, detectar actividades sospechosas e investigar anomalías con el fin de encontrar malware oculto o autores de amenazas que, posiblemente, hayan pasado desapercibidos en otras líneas de investigación. Esta intuición suele basarse en años de experiencia y en un profundo conocimiento de los sistemas que protegen.
Al combinar su intuición con el análisis basado en datos, los expertos en detección de amenazas desarrollan un agudo sentido para saber qué buscar y dónde identificar y mitigar las posibles amenazas de forma más eficaz.
Con sólidos conocimientos técnicos
Los cazadores de amenazas deben comprender y utilizar las herramientas, tecnologías y metodologías adecuadas para llevar a cabo sus tareas de forma eficiente y eficaz. Esto incluye seleccionar las herramientas adecuadas para tareas específicas, mantenerse al día de los últimos avances tecnológicos y aplicar estos conocimientos para mejorar el rendimiento.
El uso de herramientas que faciliten al cazador de amenazas la capacidad de supervisar la actividad en tiempo real, investigar incidentes sin sobrecargar la red y pasar con fluidez de la búsqueda de amenazas a la respuesta es esencial para mejorar la visibilidad de las actividades y los comportamientos de los usuarios, con el fin de identificar y mitigar amenazas que, de otro modo, podrían pasar desapercibidas.
Al igual que los cazadores de amenazas, que se esfuerzan por adelantarse a las amenazas, en la siguiente sección analizaremos el carácter proactivo de los distintos tipos de caza de amenazas y aclararemos si todos los enfoques se ajustan a esta descripción. Esto nos ayudará a comprender las distintas estrategias de caza y su papel en el mantenimiento de unas defensas sólidas en materia de ciberseguridad.
¿Son proactivos todos los tipos de búsqueda de amenazas?
No, no todos los tipos de búsqueda de amenazas son proactivos. De hecho, la búsqueda de amenazas suele clasificarse en dos enfoques: el proactivo y el reactivo:
- Búsqueda proactiva de amenazas: Un enfoque proactivo de la búsqueda de amenazas consiste en buscar activamente posibles amenazas antes de que causen daños, mediante la detección de indicios de compromiso o intrusión.
Con la búsqueda proactiva, los especialistas se proponen detectar y aislar amenazas avanzadas que eluden las herramientas de seguridad existentes, centrándose en aquellas amenazas que carecen de indicadores específicos. Este enfoque favorece la detección temprana, reduce el tiempo de permanencia y evita daños importantes, al permitir que las organizaciones identifiquen y aborden las vulnerabilidades de forma proactiva. - Búsqueda reactiva de amenazas: Por el contrario, la búsqueda reactiva de amenazas tiene lugar después de que se haya detectado un incidente de seguridad o de que su sistema de seguridad le avise de una anomalía.
Dado que la amenaza puede haber causado ya daños, como filtraciones de datos, pérdidas económicas y daños a la reputación, la búsqueda reactiva de amenazas puede acarrear daños significativos si se utiliza como estrategia de seguridad principal. Además, la búsqueda reactiva de amenazas suele carecer de la rapidez y la profundidad de análisis necesarias para ayudar a las organizaciones a prevenir futuros ataques, ya que se centra en las amenazas inmediatas en lugar de en las vulnerabilidades subyacentes.
Si bien la búsqueda reactiva de amenazas es esencial para hacer frente rápidamente a aquellas amenazas que logran burlar su defensa cibernética, no debe sustituir a las medidas de seguridad proactivas, como la búsqueda continua de posibles amenazas antes de que causen daños.
Piense en las lecciones aprendidas a partir de la búsqueda proactiva de amenazas, que comienzan con: « ". La amenaza podría haber...» , en comparación con las retrospectivas de búsqueda reactiva, que comienzan con: «
. ". La amenaza hizo...»
Una vez comprendidas las principales diferencias y ventajas entre la búsqueda proactiva y la reactiva de amenazas, podemos ahora profundizar en las metodologías de búsqueda de amenazas más matizadas.
Metodologías de detección proactiva de amenazas
La detección proactiva de amenazas suele dividirse en tres enfoques principales:
- Detección basada en hipótesis: Este enfoque proactivo de detección comienza cuando los especialistas en detección de amenazas formulan una hipótesis basada en los datos disponibles, las tendencias o los incidentes de seguridad, incluidos los indicadores de ataque (IoA) y las tácticas, técnicas y procedimientos (TTP) de los atacantes. Los cazadores de amenazas pondrán a prueba y utilizarán sus hipótesis para orientar su búsqueda de comportamientos inusuales.
Una búsqueda basada en hipótesis puede incluir el estudio de la inteligencia global sobre amenazas para determinar los tipos de ciberamenazas que es más probable que estén presentes. Por ejemplo, los especialistas en detección de amenazas pueden obtener información valiosa mediante el estudio de análisis de comportamiento, fuentes de inteligencia y bibliotecas de detección de amenazas, como el marco « » de MITRE ATT&CK (se abre en una nueva pestaña) , que ofrece una base de conocimientos de código abierto sobre las últimas técnicas de ciberdelincuencia. Estas bibliotecas permiten a los cazadores formular hipótesis sobre los tipos de ataques a los que puede enfrentarse una organización y las mejores tácticas de defensa.
Se recomienda el «caza de hipótesis» porque permite detectar las amenazas incipientes de forma temprana y proactiva.
- Caza basada en la investigación: Este enfoque consiste en un análisis en profundidad de los datos para detectar manualmente cualquier indicio de actividad maliciosa que otras soluciones de seguridad puedan no haber identificado. Este método depende en gran medida de los conocimientos y la experiencia del cazador de amenazas para anticipar posibles amenazas.
En la caza basada en la investigación, los cazadores de amenazas utilizan diversas herramientas, como la gestión de terminales, la supervisión de la seguridad, el análisis forense y otras herramientas analíticas , con el fin de recopilar y analizar datos en tiempo real e históricos para identificar e investigar posibles amenazas.
La caza basada en la investigación puede ser tanto proactiva como reactiva. Las búsquedas proactivas investigan posibles amenazas, mientras que las búsquedas reactivas se activan a raíz de alertas o anomalías detectadas por sistemas automatizados.
Caza basada en la información:
Si bien la búsqueda de amenazas, en el mejor de los casos, se centra en detectar comportamientos maliciosos en entornos que no están cubiertos por la información más reciente sobre amenazas, la búsqueda basada en la inteligencia, también conocida como «búsqueda basada en datos de inteligencia», se nutre de dicha información.
Los cazadores de amenazas utilizan la búsqueda basada en inteligencia para obtener información valiosa sobre amenazas actuales o potenciales, incluidos los indicadores de compromiso (IoC) y los indicadores de acceso (IoA). Esta información ayuda a los cazadores de amenazas a centrar sus esfuerzos y a formular hipótesis sobre posibles amenazas en el entorno de su organización.
La detección de amenazas basada en la inteligencia se considera, por lo general, un enfoque proactivo, ya que los especialistas en detección de amenazas pueden anticiparse a las mismas y mitigarlas antes de que se produzcan, abordando las vulnerabilidades y los vectores de amenaza conocidos mediante el uso de dicha inteligencia. Sin embargo, en algunos casos, no tendrá más remedio que reaccionar ante una situación que ya se ha producido.
La detección basada en información de inteligencia también puede ser reactiva cuando los especialistas en detección de amenazas utilizan la información de inteligencia disponible para identificar indicadores conocidos de amenazas inminentes o en curso. Por ejemplo, si se inicia una investigación de amenazas a partir de un indicador de compromiso (IoC), los especialistas en detección de amenazas estructurarán su investigación para identificar la causa raíz y mitigar el daño, sin saber si el ataque ya ha logrado penetrar en el entorno.
En la siguiente sección, analizaremos con mayor detalle cómo los distintos tipos de búsqueda de amenazas aprovechan estas metodologías, con el fin de comprender qué es lo que convierte a cada uno de ellos en un componente esencial de una estrategia integral de búsqueda de amenazas.
Tipos de búsqueda de amenazas
Si bien las metodologías basadas en hipótesis, en la investigación y en la inteligencia proporcionan enfoques y procesos estructurados para identificar amenazas, existen varios tipos de búsqueda de amenazas que utilizan estas metodologías para ayudar a los especialistas a centrarse en áreas específicas dentro de la infraestructura de una organización.
Entre los tipos más habituales de detección proactiva de amenazas se incluyen:
- Búsqueda de amenazas basada en el contexto: La búsqueda basada en el contexto o en entidades se centra en acontecimientos, entidades o situaciones concretas que pueden suponer un riesgo elevado para la seguridad de una organización. Este enfoque es específico y, a menudo, se basa en el conocimiento de las tendencias actuales en materia de amenazas o en información de inteligencia concreta sobre una amenaza potencial.
Aunque la búsqueda de amenazas situacional puede ser reactiva o proactiva, se distingue por centrarse en situaciones o entidades específicas que presentan un mayor riesgo. - Búsqueda de amenazas no estructurada: La búsqueda de amenazas no estructurada parte de un desencadenante o de un indicador de compromiso. El cazador busca en la red patrones maliciosos antes y después del evento desencadenante o del indicador de compromiso (IoC). Este tipo de búsqueda de amenazas es más libre, lo que permite a quienes la llevan a cabo dejarse guiar por su curiosidad y actuar basándose en sus corazonadas.
La búsqueda de amenazas no estructurada también puede ser reactiva o proactiva y se diferencia de otros tipos de búsqueda por su carácter exploratorio. - Búsqueda estructurada de amenazas: La búsqueda estructurada de amenazas implica un enfoque organizado y sistemático. Por lo general, comienza con una hipótesis sobre una posible amenaza o anomalía, seguida de una investigación rigurosa para demostrar o refutar dicha hipótesis.
La búsqueda estructurada de amenazas difiere ligeramente de otros tipos de búsqueda de amenazas, ya que se basa en mayor medida en hipótesis y no es reactiva. - Detección híbrida de amenazas: La detección híbrida de amenazas combina varias metodologías para identificar y mitigar las amenazas en la red de una organización. Puede integrar métodos basados en la investigación, en hipótesis y en la inteligencia para crear una estrategia de detección más sólida.
Una de las principales razones para utilizar la búsqueda híbrida de amenazas es su capacidad para ofrecer una visión global de las amenazas potenciales y su adaptabilidad a diferentes escenarios.
Como puede observar, cada práctica tiene diferentes objetivos para reforzar la capacidad de una organización de defenderse frente a posibles amenazas antes de que puedan causar daños, reaccionar con rapidez ante las amenazas en el momento en que se producen y proporcionar información valiosa para perfeccionar la detección de amenazas, la corrección de incidencias y las medidas de seguridad en el futuro.
En la siguiente sección, describiremos los cinco pasos que suelen seguir los cazadores de amenazas para llevar a cabo búsquedas de amenazas con éxito. Estos pasos pueden ofrecer una hoja de ruta clara que le sirva de guía a la hora de identificar y mitigar posibles amenazas.
¿En qué consiste el trabajo de un cazador de amenazas cibernéticas? Cómo funciona la búsqueda de amenazas en 5 pasos
El proceso de detección de amenazas suele constar de estos cinco pasos fundamentales, que sirven de guía a los especialistas en detección de amenazas desde la investigación hasta la resolución:
- Investigación y formulación de hipótesis: El primer paso para una búsqueda de amenazas consiste en estudiar y desarrollar una hipótesis que se pondrá a prueba durante la búsqueda.
Estas hipótesis suelen ser específicas, pero deben incluir teorías sobre las posibles amenazas que acechan en el entorno y las estrategias que se utilizarán para descubrirlas. Por ejemplo, si el especialista en detección de amenazas sabe que los atacantes suelen instalar servicios de forma remota, podría decidir centrar la búsqueda en dichos servicios.
Esta fase puede incluir la consulta de información sobre las últimas amenazas y de inteligencia sobre ciberamenazas procedente de fuentes de inteligencia de código abierto e incluso de las redes sociales, con el fin de elaborar una hipótesis. - Recopilación de datos: Ahora que se ha formulado una hipótesis, el siguiente paso consiste en recopilar e identificar los datos, tales como los registros del sistema, el tráfico de red y la telemetría de los terminales. A continuación, los especialistas en detección de amenazas utilizarán estos datos para buscar anomalías y valores atípicos que indiquen posibles amenazas.
- Identificación del factor desencadenante: A partir de los datos recopilados, los cazadores determinarán el «factor desencadenante» o el punto de partida para un análisis más detallado.
Los factores desencadenantes pueden ser cualquier elemento que indique una amenaza potencial, como un nivel inusual de actividad de red en un nodo concreto, una aplicación instalada en el dispositivo terminal de un usuario que no debería necesitar ese software, o un usuario cuyo dispositivo presente características que no comparten los dispositivos de otras personas que desempeñan funciones similares en la organización.
Además, un desencadenante no tiene por qué provenir necesariamente de un análisis del entorno. Incluso una hipótesis sobre una nueva amenaza puede dar lugar a una búsqueda proactiva. - Investigación: La investigación es la fase del proceso de detección de amenazas en la que se comprueba si su hipótesis es correcta. Un análisis más detallado del factor desencadenante determinará si se trata de un «verdadero positivo» o si existe una explicación inocente para la anomalía.
Aunque las anomalías formen parte de las prácticas habituales en algunos departamentos, podrían indicar la existencia de procedimientos defectuosos que, sin quererlo, puedan generar vulnerabilidades en materia de ciberseguridad. - Resolución: Una vez concluida la investigación, los equipos de detección de amenazas deben adoptar las medidas adecuadas para responder a la amenaza identificada y resolverla. Esto puede incluir contener la amenaza, erradicarla y aplicar medidas para evitar que se repita en el futuro.
Técnicas habituales de detección de amenazas con ejemplos
Los cazadores de amenazas no revisan sin sentido montañas de datos con la esperanza de detectar alguna anomalía.
En esencia, la detección proactiva de amenazas consiste fundamentalmente en la búsqueda de patrones y desviaciones. Para lograrlo, entre las técnicas habituales de detección de amenazas que se utilizan para identificar anomalías se incluyen:
- Agrupación: La técnica de detección de amenazas basada en la agrupación comienza con la catalogación de características comunes. A partir de ahí, los cazadores utilizan el análisis estadístico para detectar anomalías en dichas características.
Por ejemplo, si un comportamiento que, por lo demás, es normal —como un valor hash— sigue un patrón inusual, esto podría indicar la presencia de una amenaza. Un valor hash es un identificador numérico único generado a partir del contenido de un archivo electrónico. Los valores hash cambian cuando alguien modifica el contenido del archivo, por lo que los cambios inesperados en dichos valores pueden constituir una posible señal de amenaza. Los valores hash se utilizan a menudo para realizar búsquedas en la búsqueda basada en inteligencia. - Frecuencia: El análisis de la frecuencia se centra en la frecuencia con la que se producen determinados acontecimientos o actividades, con el fin de identificar patrones inusuales. Un proceso que se repite con mayor frecuencia de lo esperado puede constituir un indicador clave de una posible amenaza.
Al analizar la frecuencia de estos sucesos, el especialista en detección de amenazas puede identificar e investigar posibles amenazas que se desvíen del comportamiento habitual. Por ejemplo, un especialista en detección de amenazas podría analizar la frecuencia de los intentos de inicio de sesión en un servidor concreto. Si detectan un número inusualmente elevado de intentos de inicio de sesión en un breve periodo de tiempo, esto podría indicar un ataque de fuerza bruta. - Agrupación: La agrupación es una técnica de refinamiento de la clasificación en clústeres que hace hincapié en un subconjunto de características de la red.
Si ha identificado un comportamiento potencialmente malicioso, puede utilizar la agrupación para centrar mejor su búsqueda en aquellas áreas en las que se concentran los niveles de actividad sospechosa. Al agrupar y analizar tipos similares de tráfico de red, un especialista en detección de amenazas puede descubrir amenazas ocultas que podrían pasar desapercibidas si se examinaran los eventos de forma aislada.
Un ejemplo de agrupación en la detección de amenazas consiste en clasificar el tráfico de red en función del tipo de protocolo utilizado. Por ejemplo, un especialista en detección de amenazas podría agrupar todo el tráfico que utilice el protocolo HTTP y, a continuación, analizar estos eventos agrupados para identificar patrones inusuales. Si detectan un tráfico HTTP significativo dirigido a un dominio desconocido o sospechoso, esto podría indicar una posible amenaza, como una comunicación de mando y control. - Acumulación: Una de las características que pueden indicar una actividad maliciosa es la presencia de un mayor (o menor) número de instancias de un tipo de datos que, en otras circunstancias, sería benigno. El «stacking», o recuento por acumulaciones, recopila los casos y detecta anomalías para su análisis en profundidad.
Por ejemplo, un cazador de amenazas podría utilizar una herramienta para consultar todos los dispositivos finales de la red y buscar un número reducido de hosts que ejecuten un software específico que no se utilice habitualmente. Al agrupar los datos y ordenar los resultados, un cazador puede identificar estos sistemas singulares —que pueden haber sido parcheados recientemente, estar mal configurados o estar infectados con malware— para detectar amenazas potenciales que se desvíen de la norma y requieran una investigación más exhaustiva. - Volumen: El análisis volumétrico examina el volumen de datos enviados fuera de la red u otras características anómalas relacionadas con la cantidad.
Por ejemplo, un especialista en detección de amenazas podría analizar el tráfico de red para determinar qué terminal envió la mayor cantidad de datos durante un periodo concreto. Al comparar los volúmenes de datos, un especialista en seguridad puede identificar anomalías, como un terminal o una dirección IP conectados a dispositivos infectados que, de repente, comienzan a transmitir una gran cantidad de datos, lo que podría indicar una filtración de datos u otras actividades maliciosas.
Aunque esta lista recoge muchos de los elementos clave que buscan los cazadores de amenazas, no es exhaustiva. Las técnicas que emplean los cazadores de amenazas pueden ser tan diversas como los propios cazadores, ya que cada operación de detección de amenazas puede implicar nuevos indicadores y patrones propios de amenazas y entornos en constante evolución.
¿Qué herramientas se utilizan para la detección proactiva de amenazas?
Las herramientas desempeñan un papel fundamental en la búsqueda de amenazas, ya que permiten a los especialistas obtener una visibilidad completa y datos en tiempo real, esenciales para detectar, investigar y mitigar las amenazas de manera eficaz.
Al igual que la variedad de técnicas que pueden emplearse, los cazadores de amenazas también deben dominar diversas herramientas y tecnologías para la detección y el análisis de amenazas, ya que cada operación de búsqueda de amenazas puede requerir capacidades distintas para dar respuesta a necesidades y objetivos específicos.
Entre las herramientas que suelen utilizar los cazadores de amenazas se encuentran:
- Soluciones de gestión de terminales: Los terminales suelen ser los principales objetivos de los ciberataques. Representan la superficie de ataque a través de la cual las amenazas pueden infiltrarse en la red de una organización. Mediante la gestión y la supervisión de los terminales, las organizaciones pueden detectar las amenazas y responder a ellas de forma inmediata, evitando así que se propaguen y causen daños más graves.
La visibilidad de los terminales permite a las organizaciones ver todos los dispositivos conectados a la red, conocer sus configuraciones e identificar cualquier riesgo asociado. Esta visión global es esencial porque, como dice el refrán, «no se puede proteger lo que no se ve». Detectar anomalías o actividades sospechosas que puedan indicar una amenaza potencial resulta complicado sin la debida visibilidad.
En la actualidad existen numerosas soluciones para terminales, desde las soluciones de detección y respuesta en terminales (EDR) hasta la gestión convergente de terminales. Puede obtener más información sobre las diferencias entre las soluciones más populares de gestión de terminales , lo que le ayudará a determinar cuál es la mejor herramienta para satisfacer sus necesidades en materia de detección de amenazas. - Análisis del tráfico de red (NTA): Las herramientas de NTA supervisan el tráfico de red en busca de indicios de actividad maliciosa. Analizan los flujos de red y detectan anomalías que puedan indicar una posible amenaza.
- Gestión de la información y los eventos de seguridad (SIEM): Los sistemas SIEM recopilan y analizan datos de registro procedentes de diversas fuentes dentro de la infraestructura informática de una organización. Analizan las alertas de seguridad generadas por las aplicaciones y el hardware de red. Las herramientas SIEM ayudan a identificar y responder a posibles amenazas mediante la correlación de eventos y la oferta de una visión centralizada de los incidentes de seguridad.
- Plataformas de inteligencia sobre amenazas (TIP): Las TIP recopilan y analizan datos sobre amenazas procedentes de diversas fuentes para proporcionar información útil. Ayudan a los equipos a mantenerse informados sobre las últimas amenazas y vulnerabilidades, lo que permite la detección proactiva de amenazas y su mitigación.
Cómo está transformando la IA la detección de amenazas
Una parte fundamental de la búsqueda de amenazas consiste en extraer información relevante a partir de grandes conjuntos de datos. Sin embargo, las tareas tradicionalmente manuales de revisión y análisis de grandes cantidades de datos ya no resultan viables para los cazadores de amenazas modernos, debido al abrumador volumen de datos generados por diversas fuentes. El análisis manual de estos datos requiere mucho tiempo y es propenso a errores humanos, lo que puede dar lugar a que se pasen por alto amenazas y a retrasos en las respuestas. Además, la complejidad de las amenazas cibernéticas actuales dificulta que los analistas humanos puedan detectarlas y responder a ellas de manera eficaz.
¿Qué implica esto para la detección proactiva de amenazas? Las herramientas de seguridad de última generación están evolucionando hacia el uso de la automatización , que aprovecha la inteligencia artificial y el aprendizaje automático, y están dando resultados prometedores a la hora de abordar estos retos. Estas herramientas pueden procesar y analizar rápidamente grandes cantidades de datos para identificar patrones y anomalías que puedan indicar la presencia de amenazas.
Por ejemplo, los algoritmos de aprendizaje automático pueden entrenarse para reconocer el comportamiento de amenazas conocidas y detectar desviaciones respecto a la actividad normal, lo que puede ayudar a identificar amenazas nuevas y desconocidas. Las herramientas basadas en la inteligencia artificial también pueden automatizar tareas repetitivas, como la recopilación de datos, la correlación y el análisis inicial, lo que permite a los analistas humanos centrarse en tareas más complejas y estratégicas.
La inteligencia artificial y el aprendizaje automático también pueden aprender y adaptarse continuamente a nuevas amenazas, mejorando así su capacidad de detección. Este enfoque dinámico resulta fundamental en el panorama de las amenazas cibernéticas, en constante evolución, en el que surgen continuamente nuevos vectores y técnicas de ataque. Al aprovechar estas tecnologías avanzadas, los especialistas en detección de amenazas de hoy en día pueden mejorar sus capacidades de detección y respuesta, reducir el tiempo que se tarda en detectar y mitigar las amenazas, y mejorar el nivel general de seguridad.
Ahora que ya conoce las herramientas en las que se basan los cazadores de amenazas, veamos algunas prácticas recomendadas que puede aplicar para mejorar la detección de amenazas.
¿Cómo se puede mejorar el proceso de detección de amenazas?
Una búsqueda eficaz de amenazas no es fruto de la casualidad. Al igual que la mayoría de las operaciones de ciberseguridad, requiere innovación y mejora continuas.
Si sigue estas buenas prácticas, podrá mejorar su capacidad para defenderse de forma proactiva frente a las amenazas emergentes y se convertirá en un cazador de amenazas más competente y seguro de sí mismo.
Priorice la preparación
Saber por dónde empezar la búsqueda es uno de los retos más importantes en la detección de amenazas. A menudo se parte de un campo muy amplio que deberá reducirse hasta llegar a una hipótesis que pueda confirmarse o refutarse.
Si se reserva tiempo suficiente en esta fase inicial, aumentará la tasa de éxito de sus operaciones de detección de amenazas. Si tiene previsto realizar una búsqueda de una semana de duración, dedique los dos o tres primeros días a investigar cuáles son los artefactos adecuados y los datos pertinentes que debe recopilar. Esto le proporciona una base sólida para la búsqueda, de modo que no se limite a dar palos de ciego.
Recuerde que, aunque una hipótesis de búsqueda de amenazas no le lleve a descubrir una amenaza activa, puede revelar datos de seguridad útiles que su organización puede aprovechar para mejorar sus defensas.
Establezca un punto de referencia para comprender el entorno
Antes de iniciar cualquier operación de detección de amenazas, debe conocer su entorno. La detección proactiva de amenazas resulta más sencilla cuando se comprende cómo es el funcionamiento normal de los terminales. La línea de referencia puede basarse en las políticas o determinarse mediante la recopilación de datos de su entorno a lo largo del tiempo.
Entre los ejemplos de datos de referencia que deben recopilarse se incluye una lista de los siguientes elementos aprobados:
- Software
- Puertos de red
- Servicios en funcionamiento
- Ejecuciones automáticas
Esta preparación le permite formular hipótesis precisas y le ayuda a centrarse en los aspectos relevantes para distinguir más fácilmente entre la actividad normal y la sospechosa. Una vez sentadas estas bases, resulta fundamental aprovechar los datos en tiempo real para detectar rápidamente desviaciones y anomalías.
Utilice datos de los terminales en tiempo real
Los datos de los terminales en tiempo real consisten en recopilar y analizar datos de todos los terminales para conocer su estado actual. Sin información en tiempo real, los especialistas en detección de amenazas podrían pasar por alto nuevas amenazas y no detectar las anomalías a tiempo.
Dado que los datos obsoletos no reflejan las últimas medidas de seguridad, también pueden dar lugar a evaluaciones de riesgos incompletas y, potencialmente, a falsos positivos. Además, los datos obsoletos dificultan la capacidad de establecer correlaciones entre los incidentes que se producen en toda la red, lo que complica la identificación de las amenazas y la respuesta eficaz a las mismas.
Los datos en tiempo real son esenciales para una detección rápida y precisa de las amenazas y una respuesta e e ante incidentes por numerosas razones, entre las que se incluyen:
- El flujo constante de información en tiempo real procedente de los dispositivos ofrece una visión global de todos los terminales, lo que permite a los especialistas en detección de amenazas identificar anomalías y actividades sospechosas en el momento en que se producen, en lugar de depender de análisis periódicos o informes con retraso. Esta rapidez es fundamental para detectar amenazas que podrían pasar desapercibidas.
- La visibilidad integral también ayuda a los cazadores a identificar patrones y correlaciones que podrían indicar un ataque sofisticado. Por ejemplo, los indicios sutiles de movimientos laterales o las amenazas persistentes avanzadas que intentan pasar desapercibidas dentro de la red pueden detectarse más fácilmente cuando se supervisan continuamente todos los terminales.
- Los datos en tiempo real proporcionan un contexto que resulta esencial para comprender la naturaleza de una amenaza. Por ejemplo, conocer la secuencia exacta de acontecimientos que dan lugar a una actividad sospechosa puede ayudar a los cazadores de amenazas a determinar si forma parte de un ataque más importante y sofisticado. Este contexto suele faltar en las soluciones de seguridad tradicionales que se basan en puntos de datos aislados.
- Los datos de los terminales en tiempo real permiten actuar con rapidez cuando se detecta una posible amenaza. Los especialistas en detección de amenazas pueden aislar de inmediato los terminales afectados, aplicar parches o adoptar otras medidas correctivas para evitar que la amenaza se propague. Esta capacidad de respuesta rápida resulta fundamental para mitigar el impacto de las amenazas.
- La información sobre los datos de los terminales en tiempo real también contribuye a la aplicación de las políticas de seguridad, ya que los especialistas en detección de amenazas pueden garantizar que todos los dispositivos estén al día con las últimas medidas de seguridad, lo que reduce las vulnerabilidades que los atacantes podrían aprovechar.
En general, los datos de los terminales en tiempo real respaldan tanto los enfoques proactivos como los reactivos en la búsqueda de amenazas, ya que proporcionan la visibilidad continua, la detección inmediata, el contexto mejorado y las capacidades de respuesta rápida necesarias para reforzar la postura de seguridad general y ayudar a las organizaciones a adelantarse a los posibles atacantes.
Constituya un equipo eficaz de detección proactiva de amenazas
Es fundamental formar un equipo que cuente con las competencias adecuadas. Por ejemplo, un equipo eficaz de cazadores de amenazas contará con personas dotadas de habilidades forenses para determinar las causas fundamentales, capacidades de análisis de datos para detectar anomalías y capacidad intelectual teórica para formular hipótesis sobre amenazas y organizar la búsqueda.
Lo ideal es que el equipo cuente con miembros que aporten diferentes perspectivas a la búsqueda, representen diversas áreas de especialización y tengan distintos niveles de experiencia, entre ellos:
- Para la detección proactiva de amenazas es fundamental contar con profesionales de la seguridad con amplia experiencia que hayan abordado numerosas amenazas de ciberseguridad a las que podría enfrentarse la organización. Muchos cazadores de amenazas comienzan su carrera como analistas de seguridad o adquieren experiencia en el ámbito de las amenazas trabajando en puestos o equipos relacionados con la ciberseguridad, como los centros de operaciones de seguridad (SOC). Recurra a ellos para que le ayuden a dirigir el proceso y a elaborar un plan.
- Sin embargo, los profesionales que se dedican a la lucha contra la ciberdelincuencia rara vez utilizan la tecnología como lo hacen los usuarios habituales, lo que a veces les lleva a pasar por alto amenazas de seguridad habituales. Para superar este reto, incluya a a los asociados junior —quizá a algún miembro del equipo que acabe de terminar sus estudios— en la planificación y ejecución de la búsqueda.
- Se recomienda incluir a alguien que se haya incorporado recientemente a la empresa. Su nueva perspectiva permite identificar posibles amenazas basándose en el comportamiento habitual de los usuarios y aporta un enorme valor a la hora de detectar nuevos tipos de amenazas.
- El equipo de detección de amenazas también debería contar con al menos un miembro que posea un conocimiento profundo y amplio de la institución. Esta información interna le ayudará a determinar si un patrón inusual es realmente anómalo o forma parte de las prácticas habituales de un departamento concreto, lo que le puede ahorrar mucho tiempo al evitar seguir pistas que no llevan a ninguna parte.
Establezca una duración para la caza
Establecer un plazo para la búsqueda de amenazas ofrece varias ventajas. En primer lugar, contribuye a estructurar el proceso de búsqueda de amenazas, lo que facilita la creación del equipo necesario, la asignación más eficaz de los recursos y la garantía de que cada búsqueda sea exhaustiva y esté bien documentada.
Establecer un plazo concreto también contribuye a mantener procesos coherentes y repetibles que facilitan el perfeccionamiento de las técnicas y estrategias, lo que, con el tiempo, se traduce en una detección de amenazas más eficiente y eficaz. Gracias a un mejor seguimiento de los avances y los resultados, los equipos pueden identificar con mayor facilidad patrones y áreas de mejora, lo que les permite comparar los resultados a lo largo de distintos periodos y les proporciona información valiosa sobre la eficacia de sus iniciativas de detección de amenazas.
Medir el éxito
Disponer de un plazo definido para la búsqueda también resulta fundamental en las organizaciones que se rigen por indicadores. El número de amenazas detectadas no siempre determina el éxito de una búsqueda de amenazas, por lo que una búsqueda continua y puntual podría arrojar resultados decepcionantes.
En cambio, cuando el objetivo es dedicar un tiempo determinado a cada búsqueda, el éxito viene determinado por la ejecución y no por el número de amenazas detectadas. Este cambio en la definición del éxito puede proporcionar los indicadores positivos que necesita para mantener el apoyo de la dirección a la búsqueda de amenazas como medida disuasoria esencial contra la ciberdelincuencia.
Además, existen otras métricas clave que puede utilizar para evaluar el éxito de un programa de detección proactiva de amenazas:
- Un indicador importante es el número de detecciones creadas o actualizadas en (), que muestra el número de detecciones de amenazas nuevas o mejoradas que se han desarrollado.
- Las organizaciones deben medir el tiempo medio de detección de las amenazas y el tiempo medio de reparación una vez identificada una amenaza, con el fin de orientar sus esfuerzos para mejorar la eficiencia de sus medidas de detección y respuesta.
- El seguimiento del número de incidentes detectados gracias a las iniciativas de búsqueda de amenazas puede ayudar a demostrar el valor añadido que aporta la búsqueda de amenazas dirigida por personas.
- La reducción del tiempo de permanencia, que indica la rapidez con la que se detectan y neutralizan las amenazas, también constituye un indicador fundamental.
Si bien, en su conjunto, estos indicadores pueden ayudar a evaluar la eficacia y el impacto de las actividades de detección proactiva de amenazas, solo sirven para dar una idea parcial del éxito de sus esfuerzos. Para que los indicadores de éxito reflejen la situación en su totalidad, los cazadores de amenazas deben coordinar sus esfuerzos con los objetivos generales de la empresa.
Por ejemplo, los distintos casos de uso de la búsqueda de amenazas pueden requerir enfoques personalizados, como centrarse en la detección de fraudes para las entidades financieras o en la protección de los datos de los pacientes para las organizaciones sanitarias, por lo que es probable que la forma de medir el éxito de estas búsquedas de amenazas sea diferente.
La definición de cómo debe ser una búsqueda de amenazas satisfactoria debe llevarse a cabo durante la fase de planificación e investigación, con el fin de garantizar que las estrategias empleadas y los indicadores recopilados respondan específicamente a las necesidades y los objetivos de la organización. Esto permitirá que los resultados de la búsqueda sean cuantificables, rastreables y más significativos a la hora de contribuir a mejorar las iniciativas específicas de ciberseguridad de una organización.
¿Cuál es un ejemplo de búsqueda de amenazas? Demostración en condiciones reales
A veces, hay que verlo para comprender realmente cómo funciona. Todas estas metodologías y técnicas teóricas para la detección proactiva de amenazas pueden resultar difíciles de imaginar sin ver cómo se aplican realmente en la práctica.
Para ayudarle a comprender mejor qué debe tener en cuenta y cuáles son las aplicaciones prácticas de las mejores prácticas de esta guía, analizaremos un escenario de búsqueda reactiva y no estructurada de amenazas junto con Matt, un experto en la búsqueda de amenazas que ha recibido una alerta sobre un proceso que se ha desactivado recientemente en un terminal.
Sigamos el proceso mientras utiliza Tanium Threat Response para identificar, investigar y contener la amenaza en menos de 5 minutos, tal y como se explica en «Threat Response In Real Life» - Tanium Tech Talks n.º 66. Las marcas de tiempo que figuran a continuación señalan los fragmentos relevantes del vídeo de demostración.
- 3:17 — Matt recibe una alerta sobre un comportamiento anómalo en un dispositivo.
- 3:59 — Mediante Tanium, revisa los detalles del terminal, que incluyen la información sobre el incidente, para averiguar qué ha ocurrido. Puede ver el proceso ejecutado en la línea de comandos, el identificador del proceso (PID) y el nombre del proceso, además de las marcas de tiempo y la información de los usuarios implicados.
- 4:37 — Observa que
firewall set opmode mode=disableha desactivado el cortafuegos de Microsoft Windows en todos los perfiles. - 5:10 — Matt revisa el historial de procesos para comprender qué se ha ejecutado y desde dónde.
- 5:39 — Utiliza Tanium para orientarse hacia el marco MITRE ATT&CK « » ( ) con el fin de comprender que la amenaza se corresponde con la técnica «Impair Defenses: Disable or Modify System Firewall» (Deteriorar las defensas: desactivar o modificar el cortafuegos del sistema).
- 6:18 — Matt continúa con la investigación para comprender el tipo de ataque que se está produciendo y cómo está afectando al entorno.
- 7:05 — Determina el comando que anula la política predeterminada del cortafuegos.
Una vez identificado este comando, Matt puede localizar el archivo de script de PowerShell y averiguar de dónde procedía la amenaza, incluyendo qué usuario lo descargó y dónde. Asimismo, toma medidas para contener la amenaza, al tiempo que conserva los rastros relacionados con la investigación de la misma para su posterior análisis forense.
¿Qué lugar ocupa la búsqueda proactiva de amenazas en su estrategia de seguridad?
Si su organización no está buscando de forma proactiva amenazas cibernéticas, debería hacerlo. La detección proactiva de amenazas es esencial para el buen funcionamiento de su entorno. El mejor momento para empezar a detectar amenazas fue hace años. El siguiente mejor momento es ahora mismo.
«A medida que las organizaciones son cada vez más conscientes de las ventajas de la detección proactiva de amenazas y de la información de inteligencia personalizada, la integración de estrategias sofisticadas de búsqueda de amenazas en marcos más amplios de ciberseguridad no solo es recomendable, sino esencial.»Encuesta de SANS 2024 sobre la búsqueda de amenazas
Las amenazas a la ciberseguridad evolucionan constantemente, y los especialistas en detección de amenazas necesitan flexibilidad para adaptar las herramientas a sus necesidades. Afortunadamente, existen herramientas avanzadas de ciberseguridad que ayudan a los cazadores de amenazas a desarrollar rápidamente las funciones que necesitan para detectar amenazas novedosas.
La plataforma unificada de Tanium, « », mejora la seguridad y la eficacia de la búsqueda de amenazas al permitir la búsqueda automatizada, la detección temprana y la respuesta rápida ante incidentes, lo que la convierte en una potente herramienta para mantener un entorno seguro.
Gracias a la visibilidad en tiempo real, la recopilación de datos detallada, el control integral y las integraciones con herramientas de seguridad esenciales como , Microsoft Sentinel, , ServiceNow y otros socios clave de , Tanium combina los datos de los terminales con información más amplia sobre amenazas para ayudar a las organizaciones a comprender mejor el panorama de amenazas y mejorar su capacidad para detectar y mitigar las amenazas de forma temprana y a gran escala.
La gestión autónoma de terminales (AEM) de Tanium garantiza la seguridad de las organizaciones al aprovechar los datos en tiempo real y la inteligencia artificial para optimizar las tareas de gestión de terminales. Al automatizar tareas que requieren mucho tiempo, como el análisis, la supervisión, la aplicación de parches, la elaboración de informes y la respuesta a incidentes, AEM también reduce la carga de trabajo manual y minimiza los errores humanos. Esto permite a los equipos de TI y de operaciones de seguridad (SecOps) tomar decisiones más fundamentadas y eficientes a la hora de establecer una estrategia de seguridad sólida que reduzca la superficie de ataque y prevenga posibles brechas de seguridad.
Concierte hoy mismo una demostración personalizada y gratuita de Tanium para descubrir cómo nuestro enfoque de la gestión de eventos de seguridad (AEM) puede beneficiarle en sus esfuerzos de detección de amenazas.
