¿Qué son los indicadores públicos de riesgo (IOC)?

Indicadores de riesgo explicados

Un indicador de riesgo (IOC) es prueba de que alguien puede haber vulnerado la red o punto de conexión de una organización. Estos datos forenses no solo indican una amenaza potencial, sino que indican que ya se ha producido un ataque, como malware, credenciales en peligro o filtración de datos. Los profesionales de seguridad buscan IOC en los registros de eventos, soluciones de detección y respuesta extendidas (XDR) y soluciones de administración de eventos e información de seguridad (SIEM). Durante un ataque, el equipo usa IOC para eliminar la amenaza y mitigar los daños. Después de la recuperación, los IOC ayudan a una organización a comprender mejor lo que ha sucedido, por lo que el equipo de seguridad de la organización puede reforzar la seguridad y reducir el riesgo de otro incidente similar.

Ejemplos de IOC

En la seguridad de IOC, TI supervisa el entorno en busca de las siguientes pistas de que haya un ataque en curso:

Anomalías de tráfico de red

En la mayoría de las organizaciones hay patrones coherentes para el tráfico de red que pasa y sale del entorno digital. Cuando se producen cambios, como, por ejemplo, si hay mucho más datos saliendo de la organización o si hay actividad procedente de una ubicación inusual en la red, puede ser un signo de un ataque.

Intentos de inicio de sesión inusuales

Al igual que el tráfico de red, los hábitos de trabajo de las personas son predecibles. Normalmente inician sesión desde las mismas ubicaciones y aproximadamente las mismas horas durante la semana. Los profesionales de seguridad pueden detectar una cuenta en peligro prestando atención a los inicios de sesión a horas extrañas del día o desde zonas geográficas inusuales, como un país donde una organización no tiene una oficina. También es importante tomar nota de varios inicios de sesión erróneos de la misma cuenta. Aunque los usuarios olvidan periódicamente sus contraseñas o tienen problemas para iniciar sesión, normalmente pueden resolver el problema después de unos cuantos intentos. Los intentos de inicio de sesión erróneos repetidos pueden indicar que alguien está intentando acceder a la organización con una cuenta robada.

Anomalías en los privilegios de la cuenta

Muchos atacantes, ya sean internos o externos, están interesados en acceder a cuentas administrativas y adquirir datos confidenciales. Un comportamiento inusual asociado a estas cuentas, como un intento de escalar privilegios, puede ser indicador de una vulneración.

Cambios en la configuración de los sistemas

A menudo, el malware se programa para realizar cambios en las configuraciones de los sistemas, como habilitar el acceso remoto o deshabilitar el software de seguridad. Mediante la supervisión de estos cambios de configuración inesperados, los profesionales de seguridad pueden identificar una vulneración antes de que se produzcan demasiados daños.

Instalaciones o actualizaciones de software inesperadas

Muchos ataques comienzan con la instalación de software, como malware o ransomware, que está diseñado para hacer que los archivos sean inaccesibles o para proporcionar a los atacantes acceso a la red. Mediante la supervisión de instalaciones y actualizaciones de software no planeadas, las organizaciones pueden detectar estos IOC rápidamente.

Numerosas solicitudes para el mismo archivo

Varias solicitudes de un solo archivo pueden indicar que un actor incorrecto está intentando robarlo y ha intentado varios métodos para acceder a él.

Solicitudes inusuales de sistemas de nombres de dominio

Algunos actores malintencionados usan un método de ataque denominado comando y control. Instalan malware en el servidor de una organización que crea una conexión a un servidor de su propiedad. A continuación, envían comandos desde su servidor al equipo infectado para intentar robar datos o interrumpir las operaciones. Las solicitudes inusuales de sistemas de nombres de dominio (DNS) ayudan a TI a detectar estos ataques.

Cómo identificar IOC

Los signos de un ataque digital se registran en los archivos de registro. Como parte de la ciberseguridad de IOC, los equipos supervisan periódicamente los sistemas digitales en busca de actividad sospechosa. Las soluciones modernas de SIEM y XDR simplifican este proceso con algoritmos de inteligencia artificial y aprendizaje automático que establecen una línea base para lo que es normal en la organización y, a continuación, alertan al equipo sobre anomalías. También es importante involucrar a todos los empleados, no solo los encargados de seguridad, que puedan recibir correos electrónicos sospechosos o descargar accidentalmente un archivo infectado. Los buenos programas de aprendizaje de seguridad ayudan a los trabajadores a detectar correos electrónicos en peligro y les proporcionan formas de informar de cualquier cosa extraña.

Por qué son importantes los IOC

La supervisión de IOC es fundamental para reducir el riesgo de seguridad de una organización. La detección temprana de IOC permite a los equipos de seguridad responder a los ataques y resolverlos rápidamente, lo que reduce la cantidad de tiempo de inactividad e interrupciones. La supervisión regular también proporciona a los equipos más información sobre las vulnerabilidades de la organización, que luego se pueden mitigar.

Respuesta a los indicadores de riesgo

Una vez que los equipos de seguridad identifican un IOC, deben responder de forma eficaz para garantizar el menor daño posible a la organización. Los pasos siguientes ayudan a las organizaciones a mantenerse centradas y a detener las amenazas lo más rápido posible:

Establecer un plan de respuesta a incidentes

Responder a un incidente resulta estresante y el tiempo cuenta, ya que cuanto más tiempo permanezcan los atacantes sin detectar, más probabilidades hay de que alcancen sus objetivos. Muchas organizaciones desarrollan un plan respuesta a incidentes para ayudar a guiar a los equipos durante las fases críticas de una respuesta. El plan describe cómo la organización define un incidente, los roles y las responsabilidades, los pasos necesarios para resolver un incidente y cómo el equipo debe comunicarse con los empleados y las partes interesadas externas.

Aislar sistemas y dispositivos en riesgo

Una vez que la organización identifica una amenaza, el equipo de seguridad aísla rápidamente las aplicaciones o sistemas víctimas de un ataque del resto de las redes. Esto ayuda a evitar que los atacantes accedan a otras partes de la empresa.

Realizar análisis forense

El análisis forense ayuda a las organizaciones a descubrir todos los aspectos de una vulneración, incluido el origen, el tipo de ataque y los objetivos del atacante. El análisis se realiza durante el ataque para comprender el alcance del riesgo. Una vez que la organización se ha recuperado del ataque, el análisis adicional ayuda al equipo a comprender las posibles vulnerabilidades y otras conclusiones.

Eliminar la amenaza

El equipo expulsa al atacante y elimina el malware que haya afectado a los sistemas y recursos, algo que puede conllevar la desconexión de los sistemas.

Implementar mejoras de seguridad y procesos

Una vez que la organización se haya recuperado del incidente, es importante evaluar por qué se produjo el ataque y si hay algo que la organización podría haber hecho para evitarlo. Es posible que haya mejoras de procesos y directivas sencillas que reducen el riesgo de un ataque similar en el futuro, o que el equipo identifique soluciones de mayor alcance para agregarlas a una hoja de ruta de seguridad.

Soluciones IOC

La mayoría de las infracciones de seguridad dejan trazos forenses en los sistemas y archivos de registro. Aprender a identificar y supervisar estos IOC ayuda a las organizaciones a aislar y eliminar rápidamente a los atacantes. Muchos equipos recurren a soluciones SIEM, como Microsoft Sentinel y Microsoft Defender XDR, que usan inteligencia artificial y automatización para exponer E/S por segundo y correlacionar con otros eventos. Un plan de respuesta a incidentes permite a los equipos anticiparse a los ataques para apagarlos rápidamente. En lo que respecta a la ciberseguridad, cuanto más rápido se comprende lo sucedido, más probable es detener un ataque antes de que este cueste dinero o dañe su reputación. La seguridad de IOC es clave para ayudar a las organizaciones a reducir el riesgo de vulneraciones costosas.

Recursos

Más información acerca de Seguridad de Microsoft

Un hombre y una mujer sentados en una mesa, con la mujer escribiendo en un libro y un portátil visibles.

Protección contra amenazas de Microsoft

Identifique y responda a incidentes en toda su organización con lo último en protección contra amenazas.

Más información

Una persona sentada en un escritorio con un portátil.

Microsoft Sentinel

Unifique los datos de seguridad y el contexto para potenciar la defensa basada en agentes con la plataforma SIEM & con prioridad en la IA.

Más información

Microsoft Defender XDR

Detenga los ataques en puntos de conexión, correos electrónicos, identidades, aplicaciones y datos con soluciones XDR.

Más información

Un grupo de tres personas en una oficina brillante, sonriente y comprometida mientras mira un portátil mantenido por una persona.

Comunidades de inteligencia sobre amenazas

Obtenga las actualizaciones más recientes sobre Inteligencia contra amenazas de Microsoft Defender, versión de la comunidad.

Más información

Preguntas más frecuentes

Hay varios tipos de IOC. Algunos de las más comunes son:
Anomalías de tráfico de red
Intentos de inicio de sesión inusuales
Anomalías en los privilegios de la cuenta
Cambios en la configuración del sistema
Instalaciones o actualizaciones de software inesperadas
Numerosas solicitudes para el mismo archivo
Solicitudes inusuales de sistemas de nombres de dominio
Un indicador de riesgo es una prueba digital de que ya se ha producido un ataque. Un indicador de un ataque es una prueba de que es probable que se produzca un ataque. Por ejemplo, una campaña de suplantación de identidad (phishing) es un indicador de ataque porque no hay ninguna prueba de que el atacante haya infringido la empresa. Sin embargo, si alguien hace clic en un vínculo de suplantación de identidad (phishing) y descarga malware, la instalación del malware es un indicador de riesgo.
Los indicadores de riesgo en el correo electrónico incluyen una avalancha repentina de correo no deseado, datos adjuntos o vínculos extraños o un correo electrónico inesperado de una persona conocida. Por ejemplo, si un empleado envía a un compañero de trabajo un correo electrónico con datos adjuntos extraños, puede indicar que su cuenta se ha puesto en peligro.
Hay varias maneras de identificar un sistema en peligro. Un cambio en el tráfico de red desde un equipo determinado podría ser un indicador de que se ha puesto en peligro. Si una persona que normalmente no necesita un sistema comienza a acceder a este con regularidad, es un indicador de que algo va mal. Los cambios en las configuraciones del sistema o en una instalación de software inesperada también pueden indicar que se ha puesto en peligro.
Tres ejemplos de IOC son:
Una cuenta de usuario ubicada en Norteamérica comienza a iniciar sesión en los recursos de la empresa desde Europa.
Miles de solicitudes de acceso en varias cuentas de usuario, lo que indica que la organización es víctima de un ataque por fuerza bruta.
Nuevas solicitudes de sistemas de nombres de dominio procedentes de un nuevo host o de un país en el que los empleados y los clientes no residen.

¿Qué son los indicadores públicos de riesgo (IOC)?

Indicadores de riesgo explicados

Ejemplos de IOC

Anomalías de tráfico de red

Intentos de inicio de sesión inusuales

Anomalías en los privilegios de la cuenta

Cambios en la configuración de los sistemas

Instalaciones o actualizaciones de software inesperadas

Numerosas solicitudes para el mismo archivo

Solicitudes inusuales de sistemas de nombres de dominio

Cómo identificar IOC

Por qué son importantes los IOC

Respuesta a los indicadores de riesgo

Establecer un plan de respuesta a incidentes

Aislar sistemas y dispositivos en riesgo

Realizar análisis forense

Eliminar la amenaza

Implementar mejoras de seguridad y procesos

Soluciones IOC

Más información acerca de Seguridad de Microsoft

Protección contra amenazas de Microsoft

Microsoft Sentinel

Microsoft Defender XDR

Comunidades de inteligencia sobre amenazas

Preguntas más frecuentes

¿Cuáles son los tipos de IOC?

¿Qué diferencia hay entre los indicadores de ataque y los indicadores de riesgo?

¿Cuáles son los indicadores de riesgo en el correo electrónico?

¿Cómo identificaría un sistema en peligro?

Nombre tres ejemplos de IOC.

Seguir a Seguridad de Microsoft