Autonomous Threat Operations en acción: Resultados reales del propio equipo SOC de Recorded Future
Puntos clave:
- Recorded Future desplegó Autonomous Threat Operations dentro de su propio SOC antes del lanzamiento por parte del cliente, cerciorando la efectividad en el mundo real e identificando capacidades críticas.
- Las Autonomous Threat Operations redujeron procesos inconsistentes y dependientes del analista, creando búsquedas estandarizadas que entregan siempre la misma entrada, salida y expectativas.
- Los miembros del equipo ahora realizan entre 15 y 20 búsquedas de amenazas semanales, un trabajo que antes requería días o semanas de investigación manual, coordinación y planeación.
- Durante la campaña Salt Typhoon, el CISO de Recorded Future lanzó una búsqueda exhaustiva de amenazas a nivel de red en cinco minutos entre reuniones, permitiendo una mitigación inmediata del riesgo.
- Un único panel de cristal elimina el cambio de contexto entre múltiples herramientas, permitiendo a los analistas buscar amenazas e investigar IOCs dentro de una sola plataforma.
Autonomous Threat Operations en acción: Resultados reales del propio equipo SOC de Recorded Future
¿La prueba definitiva de cualquier solución de ciberseguridad que se construye Recorded Future? Usándola para defender nuestra propia red.
Eso es exactamente lo que hicimos con Autonomous Threat Operations. Antes de desplegarla a los clientes, nos convertimos en el Cliente Cero, desplegando la tecnología dentro de nuestra organización de operaciones de seguridad para ver si realmente podía transformar la forma en que los equipos de seguridad buscan amenazas.
Los resultados superaron nuestras expectativas. Lo que descubrimos no fue solo una mejora incremental; Fue un cambio fundamental en lo que nuestro equipo de seguridad podía lograr.
El reto: Caza de amenazas inconsistente y dependiente de los analistas
Antes de implementar Autonomous Threat Operations, nos enfrentamos a los mismos desafíos de búsqueda de amenazas con los que muchos equipos de seguridad luchan hoy en día. Como explica Josh Gallion, responsable de Respuesta a Incidentes de Recorded Future: "Antes de usar Autonomous Threat Operations, nuestro enfoque para la caza de amenazas era más fragmentado y único para cada analista. Dependía de lo que les resultaba cómodo y de cómo se les capacitaba en las herramientas."
Esta inconsistencia significaba que la calidad y exhaustividad de nuestras búsquedas de amenazas variaba significativamente según el analista. Y dado que cada miembro del equipo tenía diferentes fortalezas, distintos niveles de experiencia y distintos niveles de comodidad con nuestras herramientas de seguridad, nos costó estandarizar el proceso.
La transformación: Caza de amenazas unificada y repetible
Las Autonomous Threat Operations igualaron el terreno de juego de inmediato. "Unifica la capacidad de caza y hace que cada vez que los analistas realizan una cacería, sea la misma", dice Gallion. "Recibimos la misma entrada, la misma salida y sabemos qué esperar."
La implementación fue sorprendentemente sencilla. "Cuando lo encendimos, era simplemente una conexión sencilla con nuestro entorno Splunk", dice. "Y una vez que el equipo empezara a usarlo, podríamos ver un aumento en el número de cacerías de amenazas que haría cada usuario."
Quizá lo más importante es que las Autonomous Threat Operations permitieron a nuestro equipo pasar de la búsqueda manual reactiva a operaciones proactivas y automatizadas. "Ahora podemos programar cacerías que se desarrollarán continuamente durante el tiempo, actualizarnos con los TTPs de los actores amenazantes y darnos una visión más holística", dice Gallion. "Antes, teníamos que tener un analista que volviera al producto y buscara nuevos IOCs para ejecutar. Ahora simplemente lo ejecuta automáticamente y sabemos que eso está solucionado."
Impacto en el mundo real: Mejorar las habilidades de los analistas junior y permitir una respuesta rápida
Según Jason Steer, CISO de Recorded Future, el verdadero valor de las Autonomous Threat Operations se hizo evidente a través de dos resultados significativos.
Primero, la tecnología mejoró significativamente las habilidades de nuestro personal junior. En los flujos de trabajo manuales tradicionales, preparar una búsqueda de amenaza única podía llevar días o incluso semanas, requiriendo una investigación, coordinación y planeación exhaustivas.
Hoy, nuestros analistas junior realizan entre 15 y 20 búsquedas semanales de amenazas para identificar amenazas de alta prioridad. Esto no es solo cuestión de cantidad; Se trata de empoderar a los miembros menos experimentados del equipo para que contribuyan de forma significativa a nuestra postura defensiva mientras aceleramos su desarrollo profesional.
Gallion ve este impacto de primera mano. "Tenemos analistas más nuevos que pueden hacer cazas más avanzadas basadas en IOCs, y eso lo hace automáticamente en segundo plano", dice. "Recibimos nuestros resultados y luego pueden investigar en la app para reforzar los hallazgos."
En segundo lugar, la rapidez y accesibilidad de la caza automatizada de amenazas resultó invaluable en momentos críticos. Cuando Steer leyó sobre Salt Typhoon llegando a las redes corporativas, no necesitaba programar una reunión, formar un equipo ni esperar al siguiente ciclo de sprint. En los cinco minutos entre reuniones, pudo lanzar una búsqueda exhaustiva de amenazas en toda la red de Recorded Future para identificar y mitigar los riesgos asociados a nuestros sistemas.
Ese tipo de respuesta rápida fue imposible con procesos manuales—y en el panorama actual de amenazas, esa rapidez puede marcar la diferencia entre contención y catástrofe.
El beneficio de un solo panel de cristal
Otro beneficio clave surgió en torno a la eficiencia del flujo de trabajo. "Tener un solo cristal facilita mucho a un analista no solo la búsqueda de amenazas, sino también el significado detrás de los IOCs que están incorporando a la aplicación", dice Gallion. "A los analistas no les gusta tener que entrar en un montón de aplicaciones diferentes. Si no es necesario, acelera las cosas y podemos agregar contexto desde dentro de la app."
Este enfoque unificado eliminó el cambio de contexto y el malabarismo de herramientas que a menudo ralentizaban a nuestro equipo de seguridad y llevaban a hallazgos fallidos.
Por qué importa la experiencia Customer Zero
Servir como Cliente Cero validó lo que creíamos que Autonomous Threat Operations podía ofrecer a cada cliente: una búsqueda de amenazas constante y repetible que empodera a analistas de todos los niveles de habilidad para defender sus organizaciones de forma más eficaz. Al probar primero la nueva solución dentro de nuestras propias operaciones de seguridad, pudimos identificar qué funciona, perfeccionar las capacidades que más importan y demostrar que las Autonomous Threat Operations no son solo una mejora teórica, sino una solución práctica que transforma las operaciones de seguridad diarias.
Gallion lo resume así: "Algunos de los aspectos de las Autonomous Threat Operations que tendrán mayor impacto son la repetibilidad, la programación de las búsquedas de amenazas a lo largo del tiempo y el panel único que permite a los analistas investigar IOCs en la app sin tener que recurrir a múltiples herramientas."
Vimos la necesidad de Autonomous Threat Operations, así que lo construimos. Ser Cliente Cero nos permitió probarlo, perfeccionarlo y cerciorarnos de que es la mejor solución posible para ayudar a nuestros clientes a entrar en la era del SOC autónomo.
Más información sobre Autonomous Threat Operations haciendo clic Aquí, o empieza a operacionalizar tu inteligencia de amenazas ahora reservando un Demo personalizada.