Creación y puesta en marcha de un programa CTI empoderado
En esta entrevista, exploramos las mejores prácticas para construir y operacionalizar un equipo de inteligencia de amenazas cibernéticas junto con las expertas Jasmina Zito y Bianca Forbes. Comparten su experiencia en la creación de un programa de inteligencia de ciberamenazas en Canva y ofrecen consejos prácticos sobre cómo empoderar a tu propio equipo CTI para obtener resultados significativos.
Conoce al equipo de Inteligencia de Amenazas Cibernéticas de Canva
Jasmina Zito, Especialista Senior en Inteligencia de Amenazas Cibernéticas
Bianca Forbes, Especialista Sénior en Inteligencia sobre Amenazas Cibernéticas
Jasmina Zito
Especialista Senior en Inteligencia de Amenazas Cibernéticas
Jasmina es una experta en inteligencia de amenazas con una trayectoria diversa en desarrollo de juegos de video, ilustración y subculturas de la moda japonesa. Es una alta responsable de seguridad en Canva, donde desarrolló con éxito un programa de inteligencia sobre amenazas para dar soporte a la división de Seguridad y Confianza. En 2023, Jasmina ganó el premio Australian Women Leading Tech en la categoría de Ciberseguridad.
Bianca Forbes
Especialista Senior en Inteligencia de Amenazas Cibernéticas
Bianca es una analista experimentada de inteligencia de amenazas con experiencia en pruebas de penetración y respuesta a incidentes. Bianca es ingeniera senior de seguridad en Canva, especializada en inteligencia de amenazas cibernéticas tácticas y operativas.
(Recorded Future) ¿Cómo llegaste a desempeñar un papel en el ámbito de la ciberseguridad?
(Jasmina Zito) Empecé como artista digital y desarrollador de juegos de video. Luego decidí que quería una carrera más segura —juego de palabras intencionado— que no dependiera de mi producción creativa. Estudié seguridad de redes en la universidad y me arriesgué con un puesto de graduado en ciberseguridad, que al final me gustó mucho. Desde entonces estuve haciendo ambas cosas.
¿Cuál es tu papel al liderar el equipo de Inteligencia de Amenazas Cibernéticas (CTI) en Canva?
(Zito) Dirijo el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI). Desde que comencé en este sector, probé un poco de todo: respuesta a incidentes, ingeniería de seguridad, gestión de vulnerabilidades. Finalmente, me decidí por especializarme en CTI y me dediqué a ello desde entonces.
Cuando me uní a Canva, mi función consistía precisamente en ayudar a desarrollar la capacidad de detección y respuesta. Durante el proceso de entrevistas, mantuve conversaciones francas con el jefe de seguridad de aquel entonces, y ambos coincidimos en que no tenía sentido contar con una capacidad CTI específica sin un equipo de detección y respuesta maduro previamente. Sinceramente, la inteligencia sobre amenazas no tiene sentido si no hay forma de ponerla en práctica, y para ello se necesita un equipo estable de respuesta a incidentes como base. ¡Imagínate voltear todas estas rocas y que no haya nadie cerca para ocupar de las arañas!
Luego de uno o dos años, sentimos que estábamos listos para desarrollar un programa CTI, que hicimos desde cero. Aunque avanzamos mucho, seguimos siendo un equipo muy reducido y yo sigo en un tren de "un poco de todo": diseño nuestra infraestructura de colecciones, automatización e intercambio de inteligencia; mantener los requisitos de inteligencia y los casos de uso de alertas; aún trabajando en equipo en incidentes donde el análisis de inteligencia puede beneficiarse; y diseñar formas para que la inteligencia estratégica de amenazas llegue a las áreas adecuadas del negocio.
(A Bianca Forbes) ¿Cómo empezaste en ciberseguridad? ¿Y cuál es tu papel en Canva?
(Bianca Forbes) En realidad, comencé en las pruebas de penetración, actividad que realicé durante tres años, antes de pasar a la inteligencia sobre amenazas cibernéticas. Cuando empecé a trabajar en CTI, no sabía mucho al respecto. Tras verme inmerso en una situación muy difícil, llegué a disfrutar mucho investigando y rastreando a los adversarios, así como de los contactos que hice en la comunidad de inteligencia. Lo estuve haciendo desde entonces.
En Canva, colaboro con Jasmina en la gestión del programa CTI. Me centro principalmente en operaciones de inteligencia: seguimiento de adversarios, elaboración de reportes sobre tendencias en el panorama de amenazas, aportación de conocimientos especializados en análisis para investigaciones y diseño de paquetes de búsqueda de amenazas.
¿Cómo conseguiste el apoyo necesario para desarrollar un programa de inteligencia sobre amenazas cibernéticas (CTI)? ¿Por qué otras compañías deberían considerar invertir en inteligencia sobre amenazas?
(Zito) Para usar una palabra de moda del sector: CTI realmente ayuda a los equipos de seguridad a desplazar hacia la izquierda. Tradicionalmente, sin CTI, puedes estar detectando y respondiendo a amenazas usando únicamente la información que tienes dentro de tu propia red. Buscas algo malo pero no siempre sabes qué, cómo o cuándo.
En mi opinión, una vez que detectas una amenaza, ya la tienes en tu entorno. Es demasiado tarde. Ya pasó.
Creo que lo que realmente me ayudó a conseguir apoyo fue empezar a producir productos CTI para mostrar su valor. En el fondo, el valor de la inteligencia de amenazas influye: usas tus entregables para convencer a la compañía de que haga algo, ya sea invertir en una capacidad, cambiar la forma de hacer algo o prestar más atención a un riesgo identificado.
Obviamente tienes que empezar poco a poco y estar muy seleccionado cuando no tienes recursos dedicados. Vi que sale mal cuando equipos emergentes simplemente repiten las noticias o activan todos los feeds de amenazas, lo que causa mucha frustración a quienes tienen que hacer trabajo extra como resultado del avalancha de información nueva y entrante. Hay que empezar por algún lado, pero también hay que saber qué quieres de todo esto. Aquí es donde la modelización de amenazas puede ayudar. Comprender las joyas de la corona de tu organización y cuáles son los riesgos (tus necesidades de inteligencia) te ayuda a ser más estratégico sobre por dónde empezar.
En mi charla en Recorded Future Predict23 en Singapur, mencioné algunos consejos basados en las lecciones aprendidas a lo largo del tiempo.
Consejo #1: En lugar de enviar resúmenes diarios de noticias de seguridad a una lista de correo, intenta referenciar un reporte de seguridad en un punto de acción enviado directamente al equipo que puede remediar un riesgo de seguridad específico.
Actuar como filtro entre todos los artículos sensacionalistas y lo que su organización realmente necesita para poner en práctica nos ayudó a generar confianza y buena relación entre los equipos. Si llegas a un acuerdo con tus colegas, lees el reporte y tratas de decidir qué hay que hacer y quién debe hacerlo, redujiste mucho el esfuerzo mental para todos los implicados. Un beneficio agregado es que, de forma subconsciente, acostumbras a la gente a prestar atención cuando les envías algo; de lo contrario, apuesto a que esos resúmenes diarios acabarán en la papelera la mayoría de las veces.
Consejo n.º 2: En lugar de activar los módulos de "inteligencia sobre amenazas" y las fuentes de datos en todas sus herramientas de seguridad, intente consumir únicamente datos observables de alta fidelidad que se correspondan directamente con una amenaza que le preocupe.
Eso no significa que debas omitir intencionalmente una gran cantidad de datos durante las recopilaciones. Bianca y yo creamos una especie de sistema por niveles. Todos los datos observables de nuestras fuentes comerciales y de código abierto llegan a la plataforma de inteligencia de amenazas (TIP), y de hecho todos van también al SIEM, pero eso no significa que todos se traten de la misma manera. Los datos brutos, en su conjunto, se emplean para el enriquecimiento y la referenciación histórica. Luego, como parte de nuestro ritmo operativo habitual, investigaremos y validaremos un subconjunto de indicadores que cumplan con nuestros requisitos de inteligencia.
Según nuestra investigación, agregaremos contexto y metadatos adicionales a esos observables y los marcaremos intencionadamente como seleccionados para que se vuelvan "activos" en nuestras herramientas de seguridad y puedan usar en reglas de detección o prevención. De este modo, combatimos la percepción de que la CTI es solo un flujo de observables de baja fidelidad que causan mucho ruido y fatiga por alertas.
Una vez que establecimos esa base de confianza en el valor y la fidelidad de los datos seleccionados, pudimos intervenir en el proceso de ingeniería de detección aportando nuestra experiencia sobre qué metadatos se pueden emplear, de entre los datos observables restantes sin seleccionar, para satisfacer casos de uso de detección específicos.
Mientras preparas tu función de Inteligencia de Amenazas Cibernéticas, ¿qué tipo de información necesitas?
(Zito) Una vez que tengas claros tus requisitos de inteligencia (elige tres para empezar y luego trabaja hacia atrás), podrías preguntarte:
- ¿Qué información necesito para responder a esas preguntas?
- ¿Es información de código abierto? ¿Es inteligencia comercial? ¿Una mezcla de ambos?
- ¿Qué datos necesito? ¿Cómo consumiré entonces esos datos?
- ¿Tengo una plataforma de inteligencia sobre amenazas?
Tienes que decidir dónde vas a poner toda esa información y entender si tienes la capacidad técnica para gestionar toda esa infraestructura tú mismo. Si eres un equipo pequeño y no tienes muchos recursos de ingeniería, quizá empieces con algo comercial y 'compres' en lugar de 'construir', así no tendrás que preocuparte por gestionar la infraestructura y podrás centrarte en el análisis real.
Puede resultar tentador empezar a emplear herramientas de código abierto. Me encanta que haya gente apasionada que, de forma colectiva, esté creando herramientas gratis para ayudar con las operaciones de CTI. En este caso, sería prudente tener en cuenta el tiempo y las habilidades necesarias para el mantenimiento de algunos de estos sistemas, ya que pueden requerir un poco de atención y soluciones improvisadas. Una vez más, empezar poco a poco y tener claro el resultado que se desea obtener es la mejor manera de lograr un éxito gradual.
En cuanto a las personas, hay muchas habilidades diferentes entre los profesionales de la TI. Por ejemplo, debido a la experiencia de Bianca en pentesting, es muy competente técnicamente y buena investigando cómo evolucionan los TTP adversarios; y hay otras personas que se especializan en lo que yo llamaría análisis de inteligencia más tradicional. Realmente depende de tu organización y de lo que funcione mejor para cumplir tus requisitos de inteligencia.
Si, como Canva, tu organización está centrada en tecnología y software, quizá sea importante que tengas personas con la capacidad técnica para entender cómo el último exploit oscuro podría afectarte, si es que lo hace. Mientras que, si estás en infraestructuras críticas, quizá necesites un poco más de ese contexto geopolítico para ayudarte a entender qué grupos APT suponen una amenaza para tu organización, entendiendo por qué alguien intentaría atacar infraestructuras críticas en primer lugar.
¿Cómo piensas en conectar a tus personas, herramientas y flujos de trabajo?
(Zito) Si piensas en los equipos que consumen tus productos de inteligencia como clientes, necesitas entender sus formas de trabajar, sus puntos de dolor y qué necesitan de ti para apoyarlos. Normalmente elijo un cliente a la vez y piloto un flujo de trabajo de extremo a extremo luego de sentarme con ellos y entender sus necesidades.
Si te gustan los juegos, imagina que esto es un juego de rol (RPG) y que eres la clase de apoyo. Tu trabajo es lanzar curaciones y mejoras. Probablemente no estés en primera línea en el calor de la batalla, así que no es justo que insistas en tomar todas las decisiones.
Si tomamos como ejemplo a nuestro equipo azul/SOC como primer cliente, es muy probable que tengan sus propias herramientas para la detección, su propio sistema de gestión de casos para albergar investigaciones e incidentes, y sus propios canales de comunicación internos. Nadie quiere recibir un email con un reporte adjunto que contenga al final una lista de datos aleatorios sin ningún formato en individuo, que luego tenga que introducir manualmente en un sistema. ¡Qué pérdida de tiempo!
Cuando hables con tu equipo azul, puede que descubras que si pudieran tener algo que quisieran, sería que alguien hiciera todo eso por ellos y no tuviera que pensar en ello. No hay una razón real para que necesiten leer un reporte para que la amenaza sea bloqueada. Si necesitan contexto, podrán encontrarlo si alguna vez se activa una alerta.
Lamentablemente, nosotros (CTI) tampoco queremos ser robots que simplemente copien y peguen. Así que automatizamos. En los casos en que el análisis ya se realizó y lo único que necesitamos hacer es bloquear algunos hashes o direcciones IP de C2, ¿por qué tiene que involucrar a alguien en el proceso? CTI debería poder hacer clic en un botón para validar un observable y, en función de los metadatos, dirigirlo al lugar correspondiente. Eso es esencialmente lo que terminamos construyendo.
Y eso significa que ahora, cuando se publica un reporte de inteligencia, es mucho más probable que se lea, porque el último no se publicó hace tan solo un día. Queremos que la gente tenga la seguridad de que nuestro silencio equivale a que no hay ninguna amenaza de la que preocupar.
(Forbes) Un buen ejemplo de un flujo de trabajo integrado con Recorded Future es cómo desarrollamos paquetes de caza de amenazas. Nuestro equipo sigue continuamente las tendencias en el panorama de amenazas y contamos con procesos que nos ayudan a identificar qué es relevante para nosotros. Reflexionando sobre la idea detrás del sistema basado en niveles que tenemos para observables, consumimos todos los paquetes de caza de amenazas que publica Recorded Future. Una vez que identificamos una tendencia de amenaza que queremos buscar, podemos usar los paquetes ingeridos relevantes como base para el entregable final. Es especialmente útil teniendo en cuenta que vienen con reglas YARA y TTPs, así que reduce parte del trabajo manual que tenemos que hacer.
Una vez desarrollado un paquete de caza, creamos un mensaje automatizado que envía toda la información relevante al equipo de caza de amenazas, integrar de nuevo con su flujo de trabajo y herramientas. Otro beneficio de trabajar estrechamente con nuestros clientes al diseñar integraciones es que podemos obtener feedback valioso sobre los resultados de nuestros productos de inteligencia.
Otro ejemplo de flujo de trabajo es cómo mitigamos los riesgos asociados con nuestros proveedores de la cadena de suministro. Al agregar nuestra lista de seguimiento de proveedores a Recorded Future, podemos buscar información sobre quién está atacando a nuestros proveedores. Un ejemplo sería si uno de nuestros proveedores críticos apareciera mencionado en un blog sobre ransomware. Muchas veces nos enteramos de eso a través de Recorded Future incluso antes de que el proveedor se comunique con nosotros y nos diga: "Oye, tuvimos un incidente". Sí, sabemos que estuvimos observando. Recorded Future nos permite tomar la delantera en ese tipo de situaciones.
¿Cómo demuestras el valor que aportas al resto de la organización de seguridad? ¿Y al resto de la compañía?
(Zito) Seguimos la fidelidad de nuestros entregables mostrando cuánta información y datos consumimos y cuánto de eso se convirtió en algún tipo de acción.
Por ejemplo, si recogiéramos 100 reportes de amenazas; seleccionó 20 según el tema que cumplía con nuestros requisitos de inteligencia; Y solo 3 se convirtieron en un boletín interno de amenazas con acciones recomendadas — eso en realidad es algo bueno. Demuestra que filtramos y seleccionamos la información muy bien antes de que entrara en la lista de pendientes de nadie.
Sin embargo, no se limita a las recomendaciones o a la información compartida. También queremos saber qué parte del trabajo que generamos para otros equipos dio como resultado algo útil. Si publicamos un paquete de análisis de amenazas y no se detecta ninguna actividad maliciosa, ¡estupendo! Pero, ¿qué más descubrimos? ¿Surgieron nuevas ideas para la detección como resultado? ¿Existe algún otro parámetro de telemetría que podamos monitorizar?
Cuando hablamos de demostrar valor a la organización en general, se trata realmente de tomar las tendencias macro de todas esas métricas y convertirlas en información de alto nivel. Imagina que al principio pensaras que el malware es tu mayor amenaza porque eso es lo que te indica el panorama de amenazas de tu sector.
Una vez que empiezas a recopilar datos sobre los resultados de tus productos de inteligencia, ¿qué categoría de observables activó más alertas? ¿Cuántos boletines de amenazas resultaron en una investigación de seguridad y posterior mejora, y en qué áreas?
Puede que descubras que tu mayor amenaza es algo completamente distinto. O, si no lo haces, al menos los datos validan tu evaluación actual. En cualquier caso, esto puede ayudarte a impulsar tu estrategia global de seguridad apoyando la inversión continua en áreas de enfoque existentes o destacando áreas que puedan necesitar más atención.
Cómo preparar a su equipo de inteligencia sobre amenazas cibernéticas para el éxito.
Jasmina Zito y Bianca Forbes, de Canva, ofrecieron información valiosa sobre sus estrategias para crear y poner en marcha un equipo de inteligencia sobre amenazas cibernéticas (CTI) exitoso. Desde conseguir la aceptación y demostrar el valor hasta recopilar información útil, sus experiencias destacan la importancia de un enfoque estratégico y bien estructurado para la inteligencia sobre amenazas. Destacan cómo el uso de las herramientas y los flujos de trabajo adecuados, como los que proporciona Recorded Future, puede mejorar la eficacia de su programa CTI y garantizar que su organización se mantenga a la vanguardia frente a las amenazas cibernéticas en constante evolución.
¿Listo para potenciar tu propio equipo de CTI? Recorded Future ofrece soluciones integrales de inteligencia sobre amenazas que ayudan a los equipos a rastrear a los adversarios, automatizar los flujos de trabajo de inteligencia e integrar datos procesables en sus sistemas de seguridad, lo que se traduce en mejores resultados para sus operaciones de seguridad. ¡Contáctanos hoy mismo para saber cómo podemos ayudarte con tu programa de inteligencia sobre amenazas cibernéticas!