Espera más de tu inteligencia: empieza por el contexto.
Imagínate esto:
- Tu equipo de seguridad puede automatizar el 100% de sus operaciones
- El software distingue correctamente el tráfico benigno del tráfico malicioso el 100 por ciento de las veces.
- Las pasarelas y los firewall gestionan de forma automática y precisa todos los accesos/bloqueos.
Piensa en todos los dolores de cabeza que le ahorrarías a tu equipo de seguridad. Desafortunadamente, este sueño sigue en desarrollo, pero la inteligencia te acerca más a esta visión.
Los equipos de seguridad invierten mucho en software para defender su red contra indicadores de compromiso (IOC, por sus siglas en inglés) como el phishing, el malware y otras amenazas cibernéticas. Si bien son prácticas y esenciales, estas herramientas aún remiten parte del tráfico (y ahora cada vez más tráfico en esta era de trabajo desde casa y trabajo remoto) a los equipos de Operaciones de Seguridad (SecOps) para la toma de decisiones. Esos equipos basan sus decisiones en datos sobre amenazas. Idealmente, tales decisiones deberían basar en información de inteligencia y estar validadas por ella.
Para nosotros, la inteligencia consiste en la recopilación y contextualización de datos de toda la Internet: un entramado de información cuidadosamente elaborada para detectar, investigar y monitorizar amenazas cibernéticas y físicas.
Esta entrada de blog examina las necesidades de los analistas de inteligencia y la dirección para determinar cómo priorizar sus amenazas; esa inteligencia comienza con el contexto.
Un día en la vida de un analista de operaciones de seguridad
En una investigación típica de amenazas, los analistas de seguridad o equipos de respuesta a incidentes reciben una alerta de su producto de gestión de información y eventos de seguridad (SIEM), que recopila continuamente datos sobre eventos de seguridad de la red interna y concentra esos datos para su análisis. Los analistas entonces tienen que decidir si el evento es una amenaza o no, por lo que comienzan a recopilar información en Internet y a través de sus herramientas de seguridad existentes.
El problema es que sus esfuerzos implican una investigación manual que consume mucho tiempo y que a menudo compara las detecciones con una lista de riesgos estándar, obteniendo algunos detalles sobre los IOC (Comités Operativos Integrados), que, en ese momento, pueden estar desactualizados o ser irrelevantes.
A continuación, los analistas de seguridad intentan recopilar los datos necesarios para comprender la naturaleza de la amenaza. Aquí tienes un ejemplo:
- Identifican la dirección del protocolo de Internet (IP) asociada a la amenaza y luego encuentran una señal de amenazas en Internet que menciona la dirección. Sin embargo, la señal solo proporciona el nombre, la dirección IP y la fuente del tráfico.
- Los analistas recurren entonces a sus blogs de seguridad habituales, foros en línea, redes sociales y otras fuentes, que pueden no contener información sobre la amenaza.
- La información que recopilan de fuentes sitio web como VirusTotal puede ser solo un par de menciones de actividad hacker relacionada, pero nada concreto.
El equipo dedica diez, luego veinte, luego treinta minutos de tiempo valioso a la investigación manual, aún sin establecer una imagen fundamental de la amenaza ni de si o cómo abordarla. Aunque encuentren una pista en una fuente, su siguiente paso es seguir buscando para confirmar la corazonada; Mientras tanto, la amenaza persiste sin mitigación.
En esta situación, lamentablemente muy común, los analistas pierden un tiempo precioso buscando información en fuentes dispares de la web abierta y el sitio web oscuro, pero solo consiguen reunir algunas piezas de lo que necesitan para comprender bien la amenaza.
En otras palabras, los analistas intentan llevar a cabo una investigación de amenazas sin mucha inteligencia: la falta de contexto resulta en amenazas perdidas y respuestas lentas.
Proporcionar suficiente contexto para la inteligencia de amenazas
Capacitar a los analistas de seguridad para realizar investigaciones de amenazas mediante inteligencia requiere que dicha inteligencia:
- Proporcionar cobertura completa. El panorama de amenazas está en constante cambio. Los actores que generan amenazas innovan y cambian de táctica constantemente, y los indicadores de compromiso críticos están en constante cambio. La inteligencia sobre amenazas debe ser lo suficientemente completa como para que pueda identificar las amenazas emergentes, independientemente de su origen o de cómo evolucionen.
- Proporcionar contexto en tiempo real. Cuando comprendas quién te está atacando ahora, sus motivaciones y capacidades, y qué indicadores de compromiso (IOC) son relevantes, podrás ahorrar tiempo y tomar medidas rápidas para mitigar la amenaza.
- Intégralo con tus herramientas actuales. La inteligencia práctica se integra con sus herramientas actuales para que pueda proteger su red mediante la automatización u otros flujos de trabajo sin complejidad adicional.
La inteligencia con contexto completo permite a los analistas obtener más valor de los datos y registros que ya poseen. Pueden detectar amenazas relevantes para tu organización. Pueden emplear el contexto para automatizar más la toma de decisiones de los equipos de operaciones de seguridad. Y pueden pasar gradualmente de investigar amenazas actuales a descubrir y rastrear actores relevantes que atacan su organización mediante la priorización de amenazas, la monitorización y la búsqueda de amenazas.
Entonces, ¿cómo puede llegar a ese punto tu organización?
Ponga la inteligencia en práctica: monitoreo, integración y análisis.
A medida que avanza en su camino hacia la seguridad basada en la inteligencia, le recomendamos que su organización considere cómo encaja la inteligencia en tres áreas diferentes:
- Escucha. Recopile observaciones de diversas fuentes y analícelas en busca de indicadores de amenazas relevantes para su negocio. Por ejemplo, si el monitoreo revela una filtración de las credenciales de inicio de sesión de su compañía, puede advertir a su departamento de TI que espere una próxima oleada de solicitudes sospechosas de restablecimiento de contraseñas. O bien, supongamos que el monitoreo revela que sus productos se mencionan en el sitio web oscuro, o que sus marcas corporativas están siendo empleadas indebidamente en registros de nombres de dominio mediante errores tipográficos. En esos casos, puedes avisar al departamento de TI para que prevea campañas de email de phishing dirigidas a tus colegas de trabajo y clientes.
- Integración. Los analistas ya emplean herramientas SIEM y/o de orquestación de seguridad, automatización y respuesta (SOAR). Ahora, puede integrar inteligencia y contexto en sus herramientas de seguridad para enriquecer automáticamente los indicadores y actuar de inmediato en respuesta a incidentes. No es necesario estar siempre alerta ni realizar una búsqueda de contexto compleja. Cuando se dispone de información en tiempo real legible por máquina a través de una API, dicha información resulta útil y permite tomar medidas concretas.
- Análisis. Gradualmente, los analistas desvían su atención de la lucha contra incendios para centrar en la identificación eficaz y eficiente de las amenazas emergentes para el negocio. Mediante el análisis del contexto, pueden estudiar los riesgos para su negocio, su sector y sus proveedores para anticipar a dichos riesgos. El análisis es el valor estratégico de la identificación, la búsqueda y la prevención de amenazas. El análisis también orienta las inversiones en nuevas tecnologías y su retorno de la inversión (ROI).
Próximamente: Poner la inteligencia en acción: anatomía de una búsqueda de amenazas
La siguiente publicación de este serial incluye una explicación detallada de este modelo de monitorización, integración y análisis. Aprenderás a seguir el flujo de trabajo de una búsqueda de amenazas empleando inteligencia de amenazas, Splunk SOAR y Splunk Enterprise Security , y verás cómo el contexto marca la diferencia en cada etapa.