Ciberseguridad 101: Lo que necesita saber sobre los falsos positivos y los falsos negativos

Una visión general de los falsos positivos y los falsos negativos

Comprender las diferencias entre falsos positivos y falsos negativos, y cómo se relacionan con la ciberseguridad, es importante para cualquier persona que trabaje en seguridad de la información. ¿Por qué? Investigar los falsos positivos es una pérdida de tiempo y de recursos, y distrae a su equipo de centrarse en los incidentes cibernéticos reales (alertas) que se originan en su SIEM.

Por otro lado, los falsos negativos (amenazas no detectadas) aumentan su riesgo cibernético, reducen su capacidad para responder a esos atacantes y, en caso de una violación de datos, podrían significar el fin de su negocio.

¿Qué son los falsos positivos?

Los falsos positivos son alertas de seguridad mal etiquetadas, que indican que existe una amenaza cuando en realidad no la hay. Estas alertas falsas o no maliciosas (eventos SIEM) aumentan la carga de trabajo de los equipos de seguridad, que ya están sobrecargados, y pueden incluir errores de software, software mal escrito o tráfico de red no reconocido.

Por defecto, la mayoría de los equipos de seguridad están acostumbrados a ignorar los falsos positivos. Desafortunadamente, esta práctica de ignorar las alertas de seguridad —por muy insignificantes que parezcan— puede generar fatiga por alertas y hacer que tu equipo pase por alto alertas reales e importantes relacionadas con amenazas cibernéticas reales o maliciosas (como ocurrió con la filtración de datos de Target).

Estas falsas alarmas representan aproximadamente el 40 % de las alertas que reciben a diario los equipos de ciberseguridad y, en las grandes organizaciones, pueden resultar abrumadoras y suponer una enorme pérdida de tiempo.

¿Qué son los falsos negativos?

Los falsos negativos son amenazas cibernéticas que no se detectan, ya sea porque las herramientas de seguridad las pasan por alto debido a que están inactivas, son muy sofisticadas (por ejemplo, sin archivos o capaces de moverse lateralmente) o porque la infraestructura de seguridad existente carece de la capacidad tecnológica para detectar estos ataques.

Estas amenazas cibernéticas avanzadas u ocultas son capaces de eludir las tecnologías de prevención, como los cortafuegos de última generación, el software antivirus y las plataformas de detección y respuesta en endpoints (EDR), que están entrenadas para detectar ataques y malware «conocidos».

Ninguna tecnología de ciberseguridad o de prevención de violaciones de datos puede bloquear el 100 % de las amenazas a las que se enfrenta. Los falsos positivos se encuentran entre el 1 % (aproximadamente) de malware malicioso y amenazas cibernéticas que la mayoría de los métodos de prevención tienden a pasar por alto.

Fortalecimiento de su postura de ciberseguridad

La existencia tanto de falsos positivos como de falsos negativos nos lleva a preguntarnos: ¿Tu estrategia de ciberseguridad incluye medidas proactivas? La mayoría de los programas de seguridad se basan en componentes preventivos y reactivos, es decir, establecen defensas sólidas contra los ataques que esas herramientas saben que existen. Por otro lado, las medidas de seguridad proactivas incluyen la implementación de políticas y procedimientos de respuesta a incidentes, así como la búsqueda proactiva de ataques ocultos o desconocidos.

Aquí hay algunas reglas sencillas que le ayudarán a gestionar su enfoque de la ciberseguridad con una mentalidad preventiva, reactiva y proactiva:

• Suponga que ha sufrido una brecha de seguridad y ponga en marcha sus iniciativas ofensivas (proactivas) con el objetivo de detectar esas brechas. Al hacerlo, tratará de validar la solidez de sus herramientas de defensa y prevención, sabiendo que ninguna de ellas es 100 % eficaz.
• Utilice herramientas de detección de activos para identificar los hosts, sistemas, servidores y aplicaciones dentro de su entorno de red, ya que no puede proteger lo que no sabe que existe.
• Realice evaluaciones periódicas de vulnerabilidades (recomendamos al menos una vez a la semana) e inspeccione todos los activos que se encuentran en su red.
• Defina políticas y procedimientos de seguridad, e implemente requisitos de educación y capacitación para que todo su equipo sepa qué hacer en caso de que descubra una violación oculta o, peor aún, sea víctima de una violación de datos.
• El tiempo es su activo más valioso, por lo que implementar herramientas y tecnología para aumentar la velocidad de detección y el tiempo de respuesta es clave y puede ayudar a su equipo de seguridad a prevenir una violación de datos.

Si su equipo carece de los recursos necesarios para detectar y responder de manera proactiva a amenazas persistentes avanzadas, considere la posibilidad de subcontratar sus servicios de seguridad a un proveedor de detección y respuesta gestionadas (MDR). Las empresas de MDR le asesoran de forma independiente, le alertan de amenazas inmediatas y le brindan asistencia para responder a dichas amenazas y eliminarlas.

Contáctanospara obtener más información sobre los servicios de detección gestionada y respuesta a incidentes.