¿Qué es la detección y respuesta ante amenazas (TDR)?

Para abordar las ciberamenazas y otros problemas de seguridad, muchas organizaciones configuran un centro de operaciones de seguridad (SOC), que es una función centralizada o un equipo responsable de mejorar la posición de ciberseguridad de una organización y de evitar, detectar y responder ante las amenazas. Además de supervisar y responder a ciberataques continuos, un SOC también realiza un trabajo proactivo para identificar ciberamenazas emergentes y vulnerabilidades organizativas. La mayoría de los equipos de SOC, que pueden ser internos o subcontratados, funcionan de forma ininterrumpida, los siete días a la semana.

El SOC usa la inteligencia sobre amenazas y la tecnología para descubrir un intento de vulneración de seguridad, o su realización correcta o en curso. Una vez identificada una ciberamenaza, el equipo de seguridad usará herramientas de detección y respuesta ante amenazas para eliminar o mitigar el problema.

La detección y respuesta ante amenazas suelen incluir las siguientes fases:
 

• Detección. Las herramientas de seguridad que supervisan puntos de conexión, identidades, redes, aplicaciones y nubes ayudan a exponer riesgos y posibles infracciones. Los profesionales de seguridad también usan técnicas de búsqueda de ciberamenazas para descubrir ciberamenazas sofisticadas que evitan la detección.
• Investigación. Una vez identificado un riesgo, el SOC usa la inteligencia artificial y otras herramientas para confirmar que la ciberamenaza es real, determinar cómo se ha producido y evaluar qué recursos de la empresa se ven afectados.
• Contención. Para detener la propagación de un ciberataque, los equipos de ciberseguridad y las herramientas automatizadas aíslan los dispositivos infectados, las identidades y las redes del resto de los recursos de la organización.
• Erradicación. Los equipos eliminan la causa principal de un incidente de seguridad con el objetivo de expulsar completamente al actor malintencionado del entorno. También mitigan las vulnerabilidades que pueden poner a la organización en riesgo de un ciberataque similar.
• Recuperación. Una vez que los equipos están razonablemente seguros de que se ha eliminado una ciberataque o vulnerabilidad, vuelven a poner en línea los sistemas aislados.
• Informe. En función de la gravedad del incidente, los equipos de seguridad documentarán e informarán de las acciones a los líderes, ejecutivos o panel directivo sobre lo que ha ocurrido y cómo se ha resuelto.
• Mitigación de riesgos. Para evitar que vuelva a producirse una infracción similar y mejorar la respuesta en el futuro, los equipos estudiarán el incidente e identificarán los cambios que se realizarán en el entorno y los procesos.

La identificación de ciberamenazas se ha vuelto cada vez más difícil a medida que las organizaciones han ampliado su presencia en la nube, han conectado más dispositivos a Internet y han migrado a un lugar de trabajo híbrido. Los actores malintencionados aprovechan esta área expuesta expandida y la fragmentación en las herramientas de seguridad con los siguientes tipos de tácticas:
 

• Campañas de suplantación de identidad (phishing). Una de las formas más comunes de que los actores malintencionados se infiltren en una empresa es mediante el envío de correos electrónicos que tienen como objetivo engañar a los empleados para que descarguen código malintencionado o proporcionen sus credenciales.
• Malware. Muchos ciberataques implementan software diseñado para dañar equipos y sistemas o recopilar información confidencial.
• Ransomware. Es un tipo de malware. Los atacantes de ransomware secuestran sistemas y datos críticos, amenazando con publicar datos privados o robar recursos en la nube para conseguir bitcoin hasta que se paga un rescate. Recientemente, el ransomware operado por personas, en el que un grupo de ciberataques obtiene acceso a toda la red de una organización, se ha convertido en un problema cada vez mayor para los equipos de seguridad.
• Ataques de denegación de servicio distribuido (DDoS). Con una serie de bots, los actores malintencionados interrumpen un sitio web o servicio al saturarlo de tráfico.
• Amenaza interna. No todas las ciberamenazas provienen de fuera de una organización. También existe el riesgo de que las personas de confianza con acceso a datos confidenciales puedan dañar la organización de forma involuntaria o malintencionada.
• Ataques basados en identidad. La mayoría de las infracciones implican identidades en peligro, que es cuando los ciberataques roban o adivinan credenciales de usuario y las usan para obtener acceso a los sistemas y datos de una organización.
• Ataques de Internet de las cosas (IoT). Los dispositivos IoT también son vulnerables al ciberataque, especialmente los dispositivos heredados que no tienen los controles de seguridad integrados que hacen los dispositivos modernos.
• Ataques a la cadena de suministro. A veces, un actor malintencionado opera sobre una organización manipulando el software o el hardware proporcionado por un proveedor de terceros.
• Inserción de código. Al aprovechar vulnerabilidades en la forma en que el código fuente controla los datos externos, los ciberdelincuentes insertan código malintencionado en una aplicación.

Detección de amenazas
Para anticiparse a los crecientes ataques de ciberseguridad, las organizaciones usan el modelado de amenazas para definir los requisitos de seguridad, identificar vulnerabilidades y riesgos, y priorizar la corrección. Con escenarios hipotéticos, el SOC intenta entrar en la mente de los ciberdelincuentes para que puedan mejorar la capacidad de la organización para evitar o mitigar incidentes de seguridad. El marco MITRE ATT&CK® es un modelo útil para comprender técnicas y tácticas comunes de ciberataques.

Una defensa multicapa requiere herramientas que proporcionen supervisión continua en tiempo real del entorno y expongan posibles problemas de seguridad. Las soluciones también deben superponerse para que, si un método de detección está en peligro, otro detecte el problema y notifique al equipo de seguridad. Las soluciones de detección de ciberataques usan diversos métodos para identificar amenazas, entre los que se incluyen:
 

• Detección basada en firmas. Muchas soluciones de seguridad examinan el software y el tráfico para identificar firmas únicas asociadas a un tipo específico de malware.
• Detección basada en el comportamiento. Para ayudar a detectar ciberamenazas nuevas y emergentes, las soluciones de seguridad también buscan acciones y comportamientos comunes en los ciberataques.
• Detección basada en anomalías. La IA y el análisis ayudan a los equipos a comprender los comportamientos típicos de los usuarios, dispositivos y software para que puedan identificar algo inusual que pueda indicar un ciberataque.

Aunque el software es fundamental, las personas desempeñan un papel igualmente importante en la detección de ciberataques. Además de evaluar e investigar las alertas generadas por el sistema, los analistas usan técnicas de búsqueda de ciberamenazas para buscar de forma proactiva indicaciones de riesgo, o buscan tácticas, técnicas y procedimientos que sugieran una posible amenaza. Estos enfoques ayudan al SOC a descubrir y detener rápidamente ataques sofisticados y difíciles de detectar