Piense en su último incidente de seguridad. ¿Estaba su equipo seguro de que no se había pasado nada por alto? ¿Hubo alguna pregunta sobre en qué otros lugares podría haberse almacenado esta información de forma persistente? En la mayoría de los casos, nos quedamos con la incertidumbre. Esa incertidumbre puede manifestarse en cualquier incidente grave. Se activa una alerta y el SOC responde. Parece que la amenaza inmediata está controlada. Y entonces queda en el aire esa pregunta incómoda: ¿Estamos seguros de que eso es todo?
En qué aspectos destaca el EDR y en cuáles los equipos empiezan a notar las carencias
Las herramientas de detección y respuesta en puntos finales (EDR) son fundamentales para los programas de seguridad modernos. Son sumamente eficaces a la hora de detectar amenazas conocidas y simuladas, identificar patrones de ataque habituales y generar alertas de alta fiabilidad a gran escala. Para la mayoría de las organizaciones, el EDR está profundamente integrado en las operaciones diarias del SOC, y ello por razones de peso.
Sin embargo, las herramientas EDR están diseñadas, ante todo, para la detección.
Los límites de ese diseño suelen ponerse de manifiesto cuando los equipos pasan de limitarse a responder a las alertas a dedicarse a la investigación, la evaluación del alcance y la limpieza. Es entonces cuando los equipos de seguridad empiezan a encontrarse con los típicos problemas:
- La visibilidad se limita a los datos de telemetría que se hayan configurado y recopilado con antelación
- Los flujos de trabajo centralizados de registros sacrifican la exhaustividad en aras del coste y el rendimiento
- La herramienta está optimizada para alertas, no para preguntas abiertas ni para medidas correctivas de carácter general.
Aun contando con una excelente protección de terminales, los equipos siguen viéndose limitados por lo que la herramienta haya observado y registrado en el pasado, en lugar de por lo que ocurre en el momento de la ejecución.
En consecuencia, una vez que se activa una alerta, los responsables de la respuesta se ven rápidamente en la necesidad de plantear preguntas para las que su EDR no está diseñado para responder:
- ¿Está ocurriendo esto en algún otro lugar?
- ¿Se trata de un caso aislado o forma parte de una tendencia más amplia?
- ¿Qué hay realmente en los terminales en este momento, y no solo lo que registramos ayer o la semana pasada?
Imaginemos una descarga de PowerShell provocada por un ataque de phishing que se ejecuta brevemente en unos pocos sistemas. Es posible que el EDR detecte y bloquee el comportamiento inicial, pero eso rara vez supone el final de la investigación. Los equipos aún necesitan saber si se ha pasado algo por alto: tareas programadas, cuentas nuevas, controles desactivados o actividades relacionadas en los sistemas que nunca hayan activado una alerta.
Investigar incidentes a partir de registros de hace varios días es como llegar a la escena de un delito después de que ya se haya limpiado. Los artefactos están incompletos. Falta contexto. Es difícil alcanzar la certeza.
El problema no son las alertas, sino la falta de información y contexto en tiempo real sobre los dispositivos finales
En los últimos años, los equipos de seguridad han realizado importantes inversiones para mejorar la calidad de la detección. Más normas. Mejores análisis. Más actividades de enriquecimiento.
Sin embargo, los plazos de respuesta ante incidentes siguen siendo largos. Las investigaciones siguen estancadas. Muchos incidentes se dan por zanjados sin tener plena certeza de que la amenaza se haya eliminado realmente.
El problema no es la falta de alertas.
El problema es que la mayoría de los procesos de detección están diseñados para ser selectivos por necesidad. Los datos de telemetría se normalizan, se resumen, se muestrean o se descartan a lo largo del proceso. Para cuando los incidentes llegan a un SIEM, es posible que ya se haya perdido el contexto necesario para comprender plenamente lo que está ocurriendo y para actuar con decisión.
Esto genera una tensión habitual: los equipos confían en las alertas que ven, pero no confían plenamente en su propia comprensión del entorno.
Para subsanar esa deficiencia no es necesario sustituir las herramientas de detección. Es necesario complementarlas con un método que permita validar la realidad, en tiempo real, en todo el conjunto de dispositivos finales.
De la detección a la certeza
En lugar de recopilar continuamente más datos «por si acaso», muchos equipos de seguridad están adoptando un enfoque operativo: obtener exactamente la información que necesitan, cuando la necesitan, directamente desde los terminales.
Si el EDR actúa como el «cerebro» de la detección, los equipos también necesitan algo más parecido a un sistema nervioso activo. Una capacidad que les permite plantear nuevas preguntas cuando sea necesario y llevar a cabo acciones controladas en miles de terminales de forma rápida. Este enfoque ofrece la flexibilidad necesaria para investigar amenazas emergentes y responder en tiempo real, en lugar de basarse únicamente en registros y alertas preexistentes. Al combinar las capacidades de detección de EDR con la capacidad de interactuar directamente con los dispositivos finales, los equipos de seguridad disponen de un marco dinámico y ágil para gestionar los incidentes a medida que se producen.
Aquí es donde Tanium se integra junto con EDR.
Cuando se utilizan conjuntamente, EDR y la plataforma de TI autónoma « » de Tanium ( ) contribuyen a reducir la incertidumbre antes, durante y después de una alerta. No añadiendo otra consola aislada, sino acortando la distancia entre la detección, la investigación y la respuesta.
Así es como se aplica en la práctica.
1. Plantee nuevas preguntas sin esperar a disponer de nuevos datos
El EDR depende de datos de telemetría predefinidos. La plataforma de Tanium permite a los equipos plantear nuevas preguntas en todos los dispositivos finales en tiempo real, incluso si esos datos nunca se habían recopilado ni registrado anteriormente.
Los equipos pueden consultar el estado de los puntos finales —en tiempo real— en todos los procesos, servicios, archivos, claves del Registro, tareas programadas y conexiones de red para conocer qué hay disponible en ahora, y no lo que se había registrado anteriormente.
Las investigaciones pasan de preguntarse «¿Disponemos de registros sobre esto?» a una pregunta más útil: «¿Qué es lo que ocurre en este momento?».
Por ejemplo, si un atacante cambia el nombre de un archivo binario legítimo y lo utiliza en una ubicación inesperada —una técnica habitual conocida como «living off the land»—, es posible que no se active ninguna alerta. Con Tanium, los equipos pueden comprobar si los archivos ejecutables coinciden con sus editores firmados y las rutas previstas en todo el entorno, para luego analizar el comportamiento de red relacionado. Este es el tipo de preguntas que resultan difíciles de responder utilizando únicamente flujos de registros fijos.
2. Aproveche la información sobre amenazas con mayor rapidez
La mayoría de los equipos de seguridad tienen acceso a información sobre amenazas de gran calidad: indicadores de compromiso (IOC), reglas YARA e investigaciones compartidas procedentes de fuentes fiables. El reto no es la relevancia, sino las dificultades operativas.
Convertir la nueva información de inteligencia en medidas concretas suele implicar añadir fuentes de registros, aumentar la ingesta de datos, ajustar las detecciones y aceptar el riesgo de que se produzcan falsos positivos. Como consecuencia, la información valiosa suele retrasarse o quedar relegada a un segundo plano.
Tanium reduce esa fricción al permitir que los equipos implementen y prueben esta información sobre amenazas directamente en el terminal. Cuando se publican nuevos indicadores de ransomware, los equipos pueden analizar el entorno de inmediato, validar los resultados y tomar medidas sin tener que esperar a que se produzcan cambios en el proceso ni a que se actualicen los contenidos programados.
3. Pruebas con total fidelidad, conservadas allí donde es importante
Las tuberías centrales de transporte de troncos están diseñadas para garantizar la eficiencia. Esa eficiencia se consigue a costa del contexto.
Tanium conserva localmente datos de telemetría precisos y en tiempo real de los terminales, lo que permite a los investigadores trabajar con los datos nativos del sistema tal y como se encuentran en los terminales. Los equipos pueden reconstruir los hechos con menos suposiciones y mayor seguridad, especialmente durante investigaciones complejas.
4. Identifique los incidentes en toda la empresa en cuestión de minutos
La determinación del alcance sigue siendo una de las partes más difíciles de la respuesta ante incidentes. Aparece una alerta en un sistema, luego en otro, y los equipos se quedan sin saber hasta dónde se extiende la actividad.
Con Tanium, el personal de respuesta puede pasar de una única alerta a todo el parque de terminales, consultando los sistemas en busca de indicadores y comportamientos —en tiempo real—, incluyendo aquellos equipos que nunca activan una alerta. De este modo, se acorta el tiempo que transcurre entre la detección y la comprensión, lo que reduce las conjeturas durante los momentos más críticos de un incidente.
5. Lleve a cabo medidas correctivas con confianza y a gran escala
Las herramientas EDR resultan eficaces a la hora de aislar sistemas o detener procesos, a menudo en un único terminal cada vez.
Tanium amplía la respuesta para incluir medidas correctivas controladas y auditables en todo el entorno. Ya sea eliminando archivos maliciosos, corrigiendo errores de configuración o subsanando deficiencias generales en materia de seguridad. Esto es lo que permite a los equipos pasar de «creemos que está controlado» a «sabemos que está resuelto».
Mejor juntos, por diseño
La plataforma de Tanium está diseñada para complementar las inversiones en seguridad ya existentes, no para sustituirlas.
Las alertas del EDR se convierten en hipótesis que pueden dar lugar a preguntas inmediatas que abarcan todo el entorno. Los sistemas SIEM obtienen información contextual en tiempo real sobre los terminales, en lugar de basarse únicamente en registros históricos. Los flujos de trabajo de respuesta pueden ejecutar acciones reguladas en miles de sistemas de una sola vez.
El resultado es una reducción de los flujos de trabajo inconexos y un proceso más claro desde la alerta hasta su resolución.
Para equipos que han superado la etapa de una seguridad centrada en las alertas
La combinación de Tanium y EDR resulta muy atractiva para aquellas organizaciones que ya cuentan con programas de seguridad consolidados y disponen de herramientas sólidas, pero que, a pesar de ello, siguen sintiendo la presión operativa que supone demostrar qué ha ocurrido realmente y qué se ha resuelto de hecho.
Esa presión se manifiesta con mayor claridad en entornos en los que:
- Los equipos de SOC e IR que necesitan respuestas de forma inmediata, y no horas o días después
- Implementaciones ya establecidas de EDR y SIEM que generan alertas, pero presentan lagunas en el alcance
- Escasa tolerancia a la incertidumbre cuando hay incidentes en juego
Para estos equipos, Tanium no supone ninguna molestia. Esto despeja cualquier duda.
Reflexiones finales
El EDR sigue siendo esencial. Los sistemas SIEM desempeñan un papel fundamental de apoyo.
Sin embargo, la certeza proviene de saber qué está ocurriendo realmente en todos sus dispositivos finales y de poder actuar en consecuencia con confianza.
Tanium ofrece una capa de control compartida, basada en información en tiempo real sobre los dispositivos finales, que ayuda a los equipos a salvar la brecha entre la detección y la resolución, lo que proporciona a los equipos de seguridad la seguridad necesaria cuando las alertas por sí solas no son suficientes.
Más información: https://www.tanium.com/solutions/continuous-endpoint-security
