El papel de las evaluaciones de compromiso en la seguridad empresarial

¿Por qué una evaluación de compromiso?

La función de detección y prevención de intrusiones suele estar a cargo de sistemas de protección y detección de intrusiones en tiempo real y de software antivirus, en combinación con una estrategia de monitoreo continuo. Una evaluación de vulnerabilidades o amenazas se diferencia de la detección de intrusiones en que es una evaluación independiente, basada en evidencia, que informa sobre tus vulnerabilidades, comportamientos sospechosos, posibles exploits e indicadores de una intrusión exitosa.

Piensa en una evaluación de vulnerabilidades o en una evaluación de amenazas como una auditoría independiente de las prácticas de seguridad de una organización, basada en la evidencia recopilada durante la investigación.

Durante la evaluación, los proveedores recurren a expertos que cuentan con una autoridad más amplia para profundizar más allá de lo que se espera en el monitoreo en tiempo real del día a día. Además, la evaluación incorpora herramientas y técnicas como el análisis forense digital y el análisis de comportamiento, que por lo general se reservan para la respuesta a incidentes y que son más adecuadas para detectar actividades posteriores a una intrusión. Las evaluaciones de intrusión son la medida de defensa en profundidad más eficaz que una organización puede utilizar para garantizar que se conozcan las vulnerabilidades y que ninguna amenaza logre burlar sus defensas.

Muchas organizaciones no cuentan con los niveles adecuados de inversión en ciberseguridad o no disponen del tiempo ni de los recursos necesarios para implementar todos los controles cibernéticos requeridos. Estas organizaciones siguen las recomendaciones para cumplir con las normas de cumplimiento y, luego, aceptan o transfieren el riesgo restante a su póliza de seguro cibernético. Para estas organizaciones, se debe incorporar una evaluación periódica en sus respectivas estrategias de mitigación de riesgos, a fin de garantizar que su entorno no se vea comprometido por ataques más sofisticados de lo que la organización puede detectar con su nivel actual de inversión.

Además, a muchas organizaciones les cuesta justificar un aumento en su presupuesto o en sus recursos cuando se desconoce su nivel de seguridad. Una evaluación independiente de vulnerabilidades puede revelar brechas que tal vez hayan pasado desapercibidas, proporcionando así la evidencia necesaria para justificar inversiones adicionales en seguridad.

En algunos casos y sectores, una evaluación periódica de vulnerabilidades puede ser una alternativa viable para la gestión de riesgos cuando el monitoreo continuo a través del MDR resulta prohibitivamente costoso.

Objetivos para una evaluación de compromiso exitosa

A lo largo de los años, las evaluaciones de compromiso solo existían de manera limitada, como servicios especializados prestados por empresas pequeñas y especializadas en respuesta a incidentes. Esta práctica ha crecido rápidamente a medida que las violaciones de seguridad reveladas públicamente alcanzaron un punto álgido. Desafortunadamente, las metodologías, los enfoques y la efectividad de estas ofertas varían ampliamente, ya que aún no existe una estandarización.

El primer paso para estandarizar esta práctica de seguridad es definir qué es una evaluación de vulnerabilidades, así como sus metas y objetivos, para que podamos entender cuál es la mejor manera de llevarla a cabo y cuáles serían los requisitos mínimos.

Para que tenga una amplia aplicabilidad, la evaluación de compromiso debería:

• Eficaz: en la detección de todas las variantes conocidas de malware, herramientas de acceso remoto e indicios de comportamientos sospechosos y acceso no autorizado.

• Rápido: evalúa una red grande en cuestión de horas o días mediante la detección automática de redes y los protocolos estándar de acceso de TI para analizar el entorno.

• Asequible: una organización promedio debería poder llevarla a cabo de manera proactiva y periódica (es decir, mensualmente o trimestralmente) con un precio fijo por dispositivo inspeccionado.

• Independiente – La evaluación no debe basarse exclusivamente en las herramientas de seguridad o el personal existentes.

Las ofertas y soluciones avanzadas deben tener la capacidad de profundizar en la detección de nuevas vulnerabilidades (Solarigate, Kaseya, etc.) y también de variantes de malware desconocidas (de día cero). Cualquier metodología de evaluación seleccionada debe cumplir con estos requisitos y buscar optimizar el tiempo, el costo y la eficacia. Debe ser lo suficientemente eficiente y accesible como para ejecutarse al menos una vez al mes en una organización de tamaño promedio. Además, la eficacia de la evaluación no debe variar significativamente según las diferentes pilas de seguridad, prácticas de monitoreo y registro, o topologías de red. La independencia permite que la evaluación sea igualmente útil tanto para una empresa regional con solo protecciones básicas, como un firewall y un antivirus, como para una institución global sofisticada equipada con su propio Centro de Operaciones de Seguridad.

En última instancia, el objetivo de la evaluación es identificar rápidamente vulnerabilidades críticas, actividades hostiles o lógica maliciosa, y no realizar un análisis forense completo. Una vez finalizada la evaluación, se deben formular recomendaciones sobre la respuesta adecuada y se deben compilar las pruebas recopiladas para que la organización pueda llevar a cabo una investigación sobre la causa raíz o los responsables del ataque.