Complementando tu programa de inteligencia de amenazas con el intercambio de inteligencia de amenazas
Recopilar datos en bruto sobre amenazas de ciberseguridad no constituye inteligencia de amenazas. Del mismo modo, los datos analizados solo califican como inteligencia de amenazas significativa si los resultados son directamente atribuibles a objetivos empresariales.
La verdadera inteligencia de amenazas es el resultado de análisis basado en la identificación, recopilación y enriquecimiento de datos e información relevantes. Al analizar los datos, es importante tener siempre en cuenta objetivos de negocio cuantificables y cómo esos objetivos se ven afectados por la inteligencia.
Producir inteligencia "por si acaso" la necesitas es un desperdicio de recursos valiosos. También puede hacer que reacciones ante falsos positivos o amenazas legítimas que en realidad no suponen un riesgo significativo.
Los 2 tipos de inteligencia de amenazas
La inteligencia sobre amenazas se divide en dos categorías que son altamente interdependientes entre sí:
- La inteligencia operativa es producida por computadoras e incluye la identificación, recopilación, enriquecimiento y análisis de datos.
- La inteligencia estratégica es producida por humanos y se centra en identificar y analizar amenazas a los activos principales de una organización — incluidos empleados, clientes, infraestructuras, aplicaciones y proveedores.
Ambos tipos de inteligencia tradicionalmente dependen en gran medida de analistas cualificados y experimentados para desarrollar y mantener. También es importante que los analistas de seguridad desarrollen relaciones externas y fuentes de información propietarias para poder identificar tendencias, así como educar a empleados y clientes. Los analistas también deberían estudiar las tácticas, técnicas y procedimientos de los atacantes, y luego, en última instancia, hacer las recomendaciones de arquitectura defensiva necesarias para combatir las amenazas identificadas.
Evolución del intercambio de inteligencia de amenazas
Además de desarrollar un programa interno estable de inteligencia sobre amenazas, otro elemento clave para defender con éxito los activos digitales es el intercambio de información sobre amenazas. Este concepto evolucionó en los últimos años como respuesta directa a que los ciberdelincuentes hacen lo mismo desde la perspectiva del otro extremo del ataque. Los hackers se volvieron muy eficaces a la hora de compartir sus secretos, razón por la cual los ataques sofisticados pueden pasar desapercibidos durante meses, incluso años.
Al compartir información, la comunidad cibercriminal se organizó de forma extremadamente estable, proporcionando consejos y trucos valiosos entre sí. A través de diversas comunidades en línea, les encanta presumir de sus hazañas y compartir con entusiasmo sus experiencias, así como las herramientas y métodos de ataque que funcionan especialmente bien.
De ahí el reciente auge del intercambio de inteligencia de amenazas para ayudar a proteger a las organizaciones que sufren esos ataques. Los equipos internos de seguridad de la información, junto con proveedores de seguridad, consultores e investigadores, ahora se proporcionan información entre sí, y quienes sufren vulneraciones comparten sus experiencias con expertos en seguridad. Y, a su vez, los proveedores de seguridad están construyendo soluciones de defensa, detección y respuesta a incidentes más efectivas.
Una comunidad con una gran cantidad de información de inteligencia
A medida que las tecnologías y plataformas de colaboración siguen madurando, la comunidad de intercambio de inteligencia de amenazas busca formas estándar de operar de manera más eficiente. Las organizaciones que participan ahora pueden aprovechar muchos servicios, asociaciones, estándares y marcos para aprender a proteger mejor sus activos digitales. Un buen punto de partida son los feeds de inteligencia de amenazas de los proveedores de seguridad que proporcionan las soluciones que tu compañía está empleando actualmente.
Otro buen recurso al que acudir es el Cyber Threat Intelligence Integration Center (CTIIC), una entidad gubernamental estadounidense. La organización proporciona información sobre amenazas cibernéticas extranjeras a los intereses nacionales de EE. UU. integrando información de las comunidades de defensa, inteligencia y aplicación de la ley. El CTIIC también facilita el intercambio de información y el análisis de amenazas cibernéticas mediante la publicación de alertas de inteligencia que sitúan las amenazas cibernéticas en contexto y proporcionan evaluaciones de las capacidades y motivaciones del adversario.
También considera el intercambio y análisis de información específico de la industria TI, como IT-ISAC — el Centro de Intercambio y Análisis de Información en Tecnologías de la Información. La organización proporciona información de seguridad que impacta en el sector de TI y cuenta con un foro que incluye expertos de las principales compañías de TI del mundo para ayudar a las compañías a minimizar amenazas, gestionar riesgos y responder a incidentes cibernéticos.
Tu organización también puede recurrir a una amplia variedad de estándares y marcos para guiar tu estrategia de seguridad informática. Dada la cantidad de recursos disponibles, consulta con tus colegas, tu socio de seguridad o un experto en inteligencia de amenazas para determinar cuáles podrían ser los mejores para tu organización:
- Marco de indicadores abiertos de compromiso (OpenIOC)
- Vocabulario para el registro de eventos y el intercambio de incidentes (VERIS)
- EXpression Observable Cibernética (CybOX)
- Descripción y Formato de Intercambio de Objetos de Incidente (IODEF)
- Intercambio Automatizado de Información de Indicadores de Confianza (TAXII)
- Expresión Estructurada de Información sobre Amenazas (STIX)
- Protocolo de Semáforo (TLP)
- Intercambio de Amenazas Abiertas (OTX)
- Marco de Inteligencia Colectiva (CIF)
Aunque todos estos estándares y marcos ofrecen orientación útil para diseñar una estrategia de protección contra amenazas e implementar tecnologías de seguridad, uno en individua que funcionó bien para muchos es STIX. STIX es un conjunto de esquemas XML que componen un lenguaje para describir la información sobre amenazas cibernéticas de manera estandarizada. Independientemente del estándar o estándares empleados, es fundamental que la información de inteligencia de amenazas esté disponible en un formato que permita que sea legible por máquina y digerible para humanos; En última instancia, esta información se empleará para tomar una decisión, y los responsables deben ser capaces de entenderla.
Esto es importante porque el intercambio de amenazas cibernéticas actualmente ocurre manualmente entre partes de confianza. Al emplear una forma estandarizada de describir los datos, se hace posible el intercambio automatizado de amenazas. STIX puede emplear para caracterizar indicadores, tácticas, técnicas, indicadores, objetivos de explotación y otros aspectos de una amenaza cibernética.
No puedes hacerlo solo, ¡pero hay ayuda!
El intercambio de inteligencia de amenazas consiste en dar de que no puedes proteger tus activos digitales por ti mismo. Los ciberdelincuentes de hoy son simplemente demasiado sofisticados. Comparten información con facilidad y evolucionan rápidamente sus técnicas. Las tecnologías de defensa informática que funcionan hoy probablemente no funcionarán mañana.
Pero trabajando estrechamente con tus proveedores de seguridad y tus colegas de otras compañías —así como con las muchas organizaciones de la comunidad de intercambio de inteligencia de amenazas— puedes comprobar que estás haciendo todo lo posible para identificar riesgos y bloquear los ataques pendientes. Eso hace mucho más probable que mantengas tu red de TI en funcionamiento para que tus usuarios finales — empleados, socios y clientes — puedan seguir accediendo a los datos y aplicaciones que necesitan para realizar su trabajo.
Un proveedor de inteligencia de amenazas puede facilitar la búsqueda y el análisis de esta información, además de agregar contexto vital a los datos internos de seguridad. Lee nuestro documento técnico, "Mejores prácticas para aplicar inteligencia de amenazas", para más información.