Evaluaciones de riesgos de ciberseguridad frente a evaluaciones de vulnerabilidades
Durante la Conferencia Internacional de Ciberseguridad e Inteligencia, ejecutivos del sector de la seguridad de la información —entre ellos, CISO con amplia experiencia en ciberdefensa y los principales líderes de opinión en inteligencia sobre amenazas cibernéticas, respuesta a incidentes, búsqueda de amenazas y detección de puntos finales— dieron charlas sobre la importancia de ser proactivo frente a reactivo a la hora de detener los ciberataques.
Como parte de una estrategia de seguridad proactiva, el ponente Nik Alleyne, gerente sénior de ciberseguridad en Forsythe Solutions Group, recomendó realizar evaluaciones de vulnerabilidades y pruebas de penetración periódicas.
Si bien estas actividades del equipo rojo son herramientas importantes para evaluar la ciberseguridad y el riesgo general de TI, solo responden a la mitad de la paradoja de la seguridad: «¿Puedo ser hackeado?». No responden a la pregunta más importante: «¿Ya me han hackeado?».
Con el aumento de las regulaciones globales en materia de protección de datos en las empresas, desde el RGPD en Europa hasta el nuevo marco del NIST en los Estados Unidos, los responsables de seguridad de la información necesitan la capacidad de detectar y abordar rápidamente las brechas de seguridad, las actividades maliciosas y los indicadores de compromiso (IOC) que ya están presentes en sus entornos de TI.
Además, los analistas de seguridad deben poder verificar rápidamente si su red y sus puntos finales están realmente libres de malware, actores maliciosos, APT capaces de movimiento lateral y accesos no autorizados o remotos. Es precisamente por eso que evaluar su riesgo de ciberseguridad con una evaluación de compromiso de seguridad es más importante que un escaneo de vulnerabilidades, pruebas de penetración y/o análisis de tráfico de red.
¿Qué es una evaluación de vulnerabilidades de ciberseguridad?
Cualquier estrategia proactiva de ciberseguridad debe incluir una evaluación de seguridad y riesgos de su ecosistema actual y del estado de su entorno de red. Los actores maliciosos sofisticados, las amenazas persistentes avanzadas y otros nuevos tipos de malware (por ejemplo, el malware sin archivos y el malware polimórfico) suelen permanecer en un entorno de TI durante meses, a veces años, antes de ser detectados y eliminados.
Como lo demuestra el creciente número de violaciones de datos, las tecnologías existentes ya no son suficientes para impedir que las amenazas (y los actores maliciosos) penetren en su perímetro. Si bien las evaluaciones de vulnerabilidad y las pruebas de penetración buscan brechas de seguridad y vulnerabilidades, no detectan las vulnerabilidades existentes ni la actividad subyacente de los atacantes. Las empresas de hoy en día necesitan incorporar evaluaciones de compromiso a su programa de seguridad para verificar de manera proactiva si una red ya ha sido vulnerada y mitigar el riesgo de manera más eficaz, lo que permite una respuesta más rápida ante incidentes de seguridad y permite a los administradores de red actuar con rapidez y remediar los ciberataques casi en tiempo real.
Dado que una evaluación de compromisos se centra en identificar compromisos previamente desconocidos, exitosos o en curso, las herramientas y técnicas utilizadas para realizar la evaluación deben ser capaces de identificar la actividad posterior a la violación, el malware latente y oculto, el uso malicioso de credenciales y el tráfico de comando y control (C2).
Esto difiere de las plataformas EDR tradicionales basadas en registros y de las soluciones de análisis de tráfico de red, que se centran en la detección temprana de ciberataques, vulnerabilidades y eventos de instalación de malware. Estas plataformas y técnicas intentan evitar que un ataque tenga éxito o detectarlo a tiempo para reducir el daño (por ejemplo, la filtración de datos) durante una violación de datos.
Evaluación de su estado de compromiso
¿Cómo evalúa el estado de vulnerabilidad de su entorno? Si bien existen algunas metodologías personalizadas para realizar evaluaciones de vulnerabilidad de la ciberseguridad, estas suelen ir acompañadas de servicios de respuesta que utilizan procesos mayormente manuales para revisar los registros y análisis de los sistemas de seguridad y las plataformas de registro de eventos; en ocasiones, esto lleva meses y está plagado de ruido, es decir, falsos positivos y falsos negativos.
Lo que se necesita ahora (y en el futuro) es un enfoque que utilice el escaneo automatizado para acelerar el proceso de evaluación de su entorno en busca de amenazas cibernéticas maliciosas.
Hemos descubierto que los análisis independientes de los puntos finales de su red mediante una metodología denominada Análisis Forense de Estado (FSA) son el enfoque más eficaz. Un enfoque basado en FSA le permite:
- Identifique todos los puntos finales (hosts, sistemas, servidores y cargas de trabajo) dentro de su entorno de red
- Analice los puntos finales en busca de aplicaciones instaladas e identifique vulnerabilidades
- Detecta amenazas desconocidas —activas o latentes—, incluyendo malware, código sospechoso, scripts, autostarts, inyecciones de memoria, procesos y más
- Revise los datos de inteligencia sobre amenazas recopilados y la información útil para una corrección rápida y una respuesta más ágil ante incidentes de ciberseguridad
- Identifica rápidamente los puntos de entrada, los puntos de salida y el análisis de la causa raíz (RCA), lo que permite a los equipos de respuesta a incidentes localizar y aislar al paciente cero (la primera máquina, host o sistema infectado)
- Realice una evaluación completa de los riesgos y vulnerabilidades de ciberseguridad de manera rentable en cuestión de días, no de meses (como la mayoría de las soluciones de CA)
- Realice evaluaciones de vulnerabilidad con la frecuencia que sea necesaria: diariamente, mensualmente, trimestralmente, anualmente, etc.
Un enfoque integral para la seguridad de la red, la seguridad de los puntos finales y el estado general de la infraestructura de TI
Alleyne también habló sobre la importancia de la «búsqueda de amenazas cibernéticas» para respaldar un enfoque de seguridad proactiva. La búsqueda de amenazas cibernéticas es similar a una evaluación de compromiso, pero en lugar de simplemente exponer las amenazas, los cazadores de amenazas buscan aislar, contener, erradicar y realizar una certificación posterior al incidente (para verificar que las amenazas se hayan eliminado efectivamente). Esencialmente, la búsqueda de amenazas es una respuesta a incidentes de ciberseguridad, sin el incidente.
Establecer el estado inicial de compromiso de su entorno de TI es un excelente comienzo, pero las organizaciones deben incorporar la detección continua posterior a las brechas (también conocida como búsqueda de amenazas) en las operaciones de seguridad como medida proactiva. Este enfoque permite a los equipos de seguridad y operaciones crear un proceso iterativo para detectar infecciones que las tecnologías defensivas (EDR, AV, etc.) suelen pasar por alto, y mitigar el daño que pueden causar los compromisos persistentes ocultos.
Datto facilita a las organizaciones la incorporación de evaluaciones de vulnerabilidades de seguridad y la búsqueda continua de amenazas cibernéticas en una estrategia proactiva de gestión de riesgos de TI e información.
Utilizando nuestra metodología FSA, pendiente de patente, para escanear cada punto final de su entorno (estaciones de trabajo, servidores, cargas de trabajo y dispositivos), la encuesta HUNT valida todo lo que se ejecuta en ellos, lo que puede activarse para ejecutarse (a través de un mecanismo de inicio automático o de persistencia), y analiza la memoria volátil de cada sistema para descubrir signos de manipulación o procesos ocultos. Datto tiene la capacidad única de realizar estas inspecciones sin necesidad de agentes. Esto significa que no requiere que se instale previamente ningún software en los sistemas que está escaneando y es completamente independiente de la infraestructura de seguridad existente de la red, por lo que sus resultados son imparciales.
Conclusión
Nuestras redes siempre tendrán cierto grado de vulnerabilidad, ya que las organizaciones luchan por mantener a los atacantes decididos fuera de sus redes, y los atacantes expertos pueden permanecer ocultos con éxito durante meses, a veces años, antes de ser descubiertos. A menos que pueda medir el estado actual de compromiso de su red, su perfil de riesgo de ciberseguridad estará incompleto.
