La detecci¨®n y respuesta extendidas (XDR) usa un conjunto m¨¢s amplio de fuentes de datos para permitir la detecci¨®n, investigaci¨®n y respuesta a lo largo de m¨²ltiples capas de seguridad. XDR rompe con los silos de seguridad para identificar y revelar la historia completa de un ataque en una sola vista.
XDR: contando la historia completa
Cuando se trata de la detecci¨®n de amenazas, el trabajo del analista del centro de operaciones de seguridad (SOC) es unir los puntos desde la infiltraci¨®n inicial, durante el movimiento lateral, y hasta cualquier exfiltraci¨®n. Este proceso permite un entendimiento m¨¢s r¨¢pido del impacto del ataque y las acciones necesarias de respuesta.
Entre m¨¢s fuentes de datos y vectores de seguridad converjan en una sola plataforma integrada de XDR, mayores ser¨¢n las oportunidades de correlaci¨®n y m¨¢s acertada ser¨¢ la investigaci¨®n y respuesta.
Por ejemplo, hoy un analista podr¨ªa usar una herramienta EDR (endpoint detection and response) para obtener visibilidad de la actividad sospechosa en endpoints gestionados ¨C pero entonces tendr¨¢ una visi¨®n separada de las alertas de seguridad en la red y el an¨¢lisis del tr¨¢fico. En lo que se refiere a las workloads en la nube, el analista probablemente tiene visibilidad limitada para identificar la actividad sospechosa.
Todas las partes del entorno generan una gran cantidad de alertas que es posible sean enviadas a un SIEM (security information and event management). El analista puede ver las alertas, pero le hace falta un registro detallado de toda la actividad entre alertas. Sin correlaci¨®n adicional, el analista no podr¨¢ ver detalles importantes del ataque que se entierran entre las alertas sin contexto o alguna forma de conectar eventos relacionados.
XDR junta las capas para que los analistas de seguridad puedan ver el panorama completo y puedan explicar r¨¢pidamente qu¨¦ es lo que podr¨ªa estar pasando en la empresa, incluyendo c¨®mo se infect¨® el usuario, cu¨¢l fue el primer punto de entrada y qui¨¦n o qu¨¦ m¨¢s forma parte del mismo ataque.
Endpoint
El registro eficiente de la actividad en endpoints es necesario para analizar c¨®mo es que una amenaza pudo haber llegado, cambiado y propagado a lo largo de endpoints. Usando XDR, puede buscar indicadores de compromiso (IoCs) y hacer hunting de amenazas basado en indicadores de ataque(IOAs).
Detecte: Busque e identifique eventos sospechosos y peligrosos en sus endpoints
Investigue: ?Qu¨¦ fue lo que pas¨® en el endpoint? ?De d¨®nde vino el evento? ?C¨®mo se propag¨® hacia otros endpoints?
Responda: A¨ªsle el evento, detenga los procesos, elimine/restaure archivos
Muchas organizaciones pueden empezar con los endpoints, a trav¨¦s de herramientas EDR. Aunque EDR es un buen primer paso, puede pasar por alto el principio y/o el final de la historia del ataque. ?Qu¨¦ fue lo que ocurri¨® antes de que llegara al endpoint? ?Lleg¨® a trav¨¦s de un correo electr¨®nico, y otros han recibido ese mismo correo? ?Qu¨¦ fue lo que pas¨® despu¨¦s de que lleg¨® al endpoint? ?Hubo movimiento lateral hacia un servidor o un container? ?Se propag¨® hacia un dispositivo no gestionado?
Correo electr¨®nico
Dado que el 94% de las brechas comienzan a trav¨¦s del correo electr¨®nico,[1]? tener la capacidad de detectar cuentas comprometidas y detectar amenazas maliciosas de correo electr¨®nico es una pieza cr¨ªtica de la capacidad general de una organizaci¨®n de detecci¨®n de amenazas.
Detecte: Busque e identifique amenazas de correo electr¨®nico, cuentas comprometidas, usuarios atacados y patrones de ataque de correo electr¨®nico
Investigue: ?Qui¨¦n realiz¨® la infiltraci¨®n? ?Qui¨¦n m¨¢s recibi¨® el email malicioso?
Responda:? Ponga correos electr¨®nicos en cuarentena, bloquee remitentes, reinicie cuentas
El correo electr¨®nico, como el vector de ataque n¨²mero uno, debe de ser un punto prioritario de expansi¨®n hacia la detecci¨®n y respuesta entre capas. Las amenazas de correo electr¨®nico a menudo no tienen impacto en los endpoints hasta que un usuario hace click en un archivo adjunto o un link inclu¨ªdo en el correo. Una amenaza no detonada podr¨ªa estar en varias bandejas de entrada sin ser detectada. Conectar la detecci¨®n de endpoints con el correo de origen significa que puede autom¨¢ticamente escanear bandejas de entrada para saber qui¨¦n m¨¢s ha recibido el correo malicioso y si el archivo adjunto o URL malicioso tambi¨¦n se encuentra en los correos de otros usuarios. Puede entonces poner en cuarentena los correos y eliminar la amenaza para prevenir cualquier da?o adicional.
Red
Los anal¨ªticos de red son una gran forma de encontrar ataques dirigidos mientras se propagan lateralmente o se comunican con servidores comando y control (C&C). Los anal¨ªticos de red pueden ayudar a filtrar los eventos del ruido y reducir los puntos ciegos, como IoT (internet de las cosas) y los dispositivos no gestionados.
Detecte: Busque e identifique comportamientos sospechosos conforme se propagan las amenazas.
Investigue: ?C¨®mo se comunica una amenaza? ?C¨®mo se mueve a trav¨¦s de la organizaci¨®n??
Responda: Delimite el alcance del ataque
Los logs de red ofrecen una fuente de datos importante para poder entender el alcance de un ataque, pero sin correlacionar esos logs con otras alertas de seguridad, es dif¨ªcil obtener el contexto necesario para saber qu¨¦ est¨¢ relacionado y qu¨¦ es importante. Por esta raz¨®n, redes y endpoints son una combinaci¨®n poderosa. Al correlacionar esos datos, algo que pudo haber parecido benigno solamente en la capa del endpoint, como actividad sospechosa de PowerShell, se convierte en una alerta de alta prioridad cuando se le considera junto con comunicaci¨®n asociada a un servidor comando y control (C&C).
Servidores y Workloads en la Nube
De forma similar a los endpoints, esto involucra el registro eficiente de actividades para analizar c¨®mo es que una amenaza pudo haber llegado e infectado servidores y workloads en la nube. Puede hacer sweeping de IoCs y hunting basado en IoAs.
Detecte: Busque e identifique amenazas dirigidas espec¨ªficamente a servidores, workloads en la nube y containers
Investigue: ?Qu¨¦ fue lo que pas¨® dentro del workload? ?C¨®mo se propag¨®??
Responda: A¨ªsle el servidor, detenga los procesos
Las organizaciones pueden emplear herramientas EDR para los servidores y workloads en la nube, pero pueden sacrificar su efectividad al hacerlo. El EDR por s¨ª solo no est¨¢ equipado para abordar nuevos modelos en la nube u ofrecer el tipo necesario de datos y de visibilidad. Como con cualquier vector, correlacionar informaci¨®n de entornos de servidor puede validar actividades sospechosas como maliciosas ¨C como cuando un servidor se comunica con una direcci¨®n IP en un pa¨ªs con el que nunca se hab¨ªa comunicado antes ¨C al vincularlos directamente con datos de actividades en otras capas, ya sea en el endpoint y/o en la red.