Cómo el análisis de las TTP de actores amenazantes puede reforzar tu programa de seguridad de la información
Key Takeaways
- Cumplir no significa seguridad. Mantén los datos de tu organización seguros con una mentalidad de seguridad proactiva.
- Toma mejores decisiones de ciberseguridad comprendiendo las TTP de los actores de amenazas.
- Ayude a su equipo rojo a priorizar objetivos para la búsqueda interna y las pruebas de penetración compartiendo información sobre tácticas, técnicas y procedimientos (TTP).
- Emplea la inteligencia TTP para informar la formación en concienciación interna de seguridad y los controles de acceso de los usuarios.
Cuando se trata de mantener sus datos seguros, muchas organizaciones recurren al cumplimiento normativo.
Ya sea el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) o la Ley Federal de Gestión de Seguridad de la Información (FISMA), algunas organizaciones se centran en el cumplimiento como referencia. Sin embargo, el cumplimiento por sí solo es un paso mínimo hacia la seguridad real de la información.
¿Por qué? Porque cumplimiento y seguridad no son lo mismo.
Los titulares estuvieron llenos de violaciones mediáticas en los últimos años, y estoy seguro de que la mayoría de las víctimas al menos pensaban que cumplían plenamente con sus obligaciones legales. De hecho, muchos de ellos probablemente eran sumisos ... simplemente no llevaron su seguridad al siguiente nivel.
La realidad es que, si quieres que tus datos sigan siendo seguros, necesitas adoptar una mentalidad de seguridad proactiva. Claro, aún tienes que cumplir con la normativa, pero si estás aplicando medidas de seguridad rigurosas y proactivas, tus auditorías de cumplimiento serán poco más que un ejercicio de marcar casillas.
Tras años analizando el comportamiento de los actores amenazantes, quedó claro que en cada momento existen tácticas, técnicas y procedimientos específicos (TTPs) que son especialmente prevalentes.
Al analizar y comprender estas tácticas, técnicas y procedimientos, puede mejorar significativamente la calidad de su programa de seguridad de la información.
Toma mejores decisiones cibernéticas
Quizá el uso más evidente de la inteligencia de amenazas relacionada con las TTP de los actores de amenazas sea en la toma de decisiones. Pero, ¿cómo puedes emplear específicamente este conocimiento para informar mejores decisiones empresariales?
En primer lugar, si sabe a qué tácticas, técnicas y procedimientos (TTP) es más probable que se enfrente, estará en una posición mucho más estable para invertir en sistemas, procesos y personal que mantengan segura a su organización. Por muy grande que sea su organización, su cotización es limitada y usted querrá cerciorar de sacarle el máximo provecho.
Ya sea invertir en un escáner de vulnerabilidades más avanzado o ampliar su equipo de seguridad de la información, será mucho más fácil justificarlo (por no hablar de que será más efectivo) si cuenta con datos que respalden su decisión.
Pero no se queda ahí.
Imaginemos que tu inteligencia apunta al DDoS (denegación de servicio distribuida) como un vector de ataque muy favorecido en tu sector. Siendo una organización que se toma la ciberseguridad en serio, te gustaría reforzar tus defensas contra este tipo de ataques.
¿Pero deberías externalizar los servicios de mitigación DDoS o dedicar tiempo y recursos a desarrollar una capacidad propietaria interna?
Es fácil realizar un análisis de las soluciones disponibles en el mercado, pero a menos que realmente comprendas la probabilidad y gravedad de tu amenaza DDoS, será imposible tomar una decisión informada. Al revisar datos verificados relacionados con ataques recientes en tu sector, tendrás una comprensión mucho más profunda de tus necesidades y estarás en una posición mucho mejor para tomar este tipo de decisiones.
Para ir un paso más allá, además de comparar las soluciones disponibles, incluso puedes usar tus conocimientos sobre TTPs de actores amenazantes para ayudar a evaluar posibles socios.
No es raro que pequeñas organizaciones sean vulneradas únicamente con el propósito de acceder a sus socios más grandes. Ya sea que ese acceso se haga a través de sistemas compartidos o inteligencia para campañas de spear phishing dirigidas, es una mala noticia para todos los implicados.
Si trabajas en un sector donde esto es común, como el de la salud, deberás tener cuidado al elegir a tus socios.
Encuentra tus puntos débiles
Si quieres que tus medidas de seguridad sean realmente efectivas, tendrás que ser proactivo.
Un equipo rojo talentoso y con experiencia es esencial para desarrollar una capacidad de ciberseguridad de primer nivel. ¿Y qué mejor manera de potenciar todo su potencial que proporcionando un análisis exhaustivo de las tácticas, técnicas y procedimientos (TTP) de los atacantes en su sector?
Una de las actividades más importantes de un equipo rojo es la caza interna. Literalmente, es buscar errores, vulnerabilidades y fallos de seguridad que puedan ser explotados por actores amenazantes.
Entender los TTP de los atacantes en tu sector es una oportunidad fantástica para manipular el juego permitiendo que tu equipo rojo dirija sus esfuerzos de búsqueda hacia los exploits más probables primero.
Claro, al final querrán cubrir todos los aspectos identificando posibles vulnerabilidades en otras áreas, pero no hay mejor punto de partida que este.
Y no se trata solo de cómo les gusta operar a los atacantes, sino también de lo que les gusta atacar.
Al identificar los objetivos más comunes tanto en ataques exitosos como fallidos, tu equipo rojo podrá priorizar esas mismas áreas dentro de tu organización para las pruebas de penetración.
Si los actores maliciosos van constantemente contra los sistemas de pago en tu sector, es lógico que tu equipo rojo realice un serial de pruebas de penetración centradas en tus sistemas de pago.
Al fin y al cabo, si la recompensa es lo suficientemente alta, los atacantes son mucho más propensos a utilizar una variedad de TTPs para vulnerar una zona específica de tu organización.
Así que, mientras te encargas de cómo es probable que te ataquen, tiene sentido considerar dónde es probable que ocurran esos ataques.
Pon en orden tu casa
No todo se trata de tus sistemas de seguridad y personal. Saber dónde y cómo es probable que te ataquen te brinda una excelente oportunidad para mejorar la formación interna, las políticas y los procesos.
Si, por ejemplo, el phishing se volvió muy popular en tu sector, adquirir un conocimiento profundo de los mecanismos de entrega más comunes, el contenido y las tácticas de ingeniería social te sitúa en una posición poderosa. No solo puedes evitar que una mayor proporción de correos de phishing lleguen a sus destinatarios dentro de tu organización, sino que también tendrás información vital y ejemplos reales que informarán los programas de formación en concienciación en seguridad interna.
Por otro lado, si, como muchas organizaciones, tus controles de acceso de usuario (UAC) fueron descontrolándose gradualmente durante años, este podría ser el impulso que necesitas.
Demostrando a tu equipo ejecutivo los peligros que suponen los UACs deficientes, así como los datos correspondientes del TTP, podrías conseguir el recurso necesario para solucionar el problema.
Un conocimiento profundo de las tácticas, técnicas y procedimientos (TTP) de los ciberdelincuentes en su sector puede servir de base para una amplia gama de sistemas y políticas internas, desde las restricciones de uso de cuentas hasta las tácticas de respuesta ante incidentes. Una vez que generaste la información, simplemente debes cerciorarte de que esté disponible para las personas adecuadas dentro de tu organización.
Entiende a tu atacante
Seamos claros. Entender las TTP de los actores de amenazas no es un proceso fácil ni rápido.
Necesitarás acceso a inteligencia de amenazas fiable y actualizada, análisis excepcionales y una infraestructura y cultura que permitan compartir datos sensibles entre equipos y departamentos.
Lo más importante es que necesitarás personal de seguridad cualificado que pueda identificar y comprender la inteligencia relacionada con los TTP de los actores amenazantes. Para ayudar, elaboramos un nuevo documento técnico titulado "Entiende a tu atacante: una guía práctica para identificar TTPs con inteligencia de amenazas."
Este recurso gratis, escrito por el experto del sector Levi Gundert, está diseñado para ayudarte a identificar y responder a los últimos TTP de atacantes en tu sector. Descargue el documento técnico ahora.
Si el papel de la inteligencia de amenazas es ayudar a reducir el riesgo cibernético operativo (y desde luego debería serlo), entonces entender las TTP de los actores de amenazas es una parte fundamental de ello.
Ignóralo bajo tu propia responsabilidad.
Presentamos nuestras nuevas tarjetas de actores de amenazas.
Nos complace anunciar nuestras nuevas Tarjetas de Actor de Amenaza — diseñadas para ayudarte a evaluar rápidamente los objetivos, herramientas y cualquier riesgo específico preferido por un actor amenazante.
La incorporación de esta nueva Tarjeta™ de Inteligencia para grupos de actores amenazantes no solo te dará un resumen listo del historial de objetivos y patrones de ataque de un grupo, sino que también te permitirá pivotar rápidamente hacia IOCs relevantes (indicadores de compromiso) o vulnerabilidades explotadas.
Puedes conocer más sobre esta nueva función en nuestra reciente entrada del blog.