Cómo la inteligencia de amenazas cibernéticas te protege contra ataques

La inteligencia de amenazas es como un radar potenciado.

A diferencia de un radar tradicional, que solo ofrece una lectura a la vez, la inteligencia de amenazas tiene más capas y significado. Te proporciona múltiples niveles de datos y análisis simultáneamente. Ayuda a los equipos de seguridad a detectar amenazas antes de que ataquen, con información más significativa sobre los desafíos de seguridad.

Un buen software de inteligencia de amenazas puede ayudarte a identificar nuevas vulnerabilidades antes de que un hacker las explote, advirtiéndote cuando cambian las tácticas de un atacante para que puedas adaptar tus defensas.

El contexto es el pilar de la inteligencia de amenazas. Sin él, la inteligencia de amenazas se transforma en un flujo inmanejable de alertas. Se vería como el contenido desorganizado de tu aplicación de Notas esparcido por múltiples sistemas.

Cuando los analistas de seguridad tienen contexto, están mejor equipados para entender la amenaza y los actores de amenazas con los que están tratando para crear un plan de respuesta adecuado para cada situación.

Si el contexto es el pilar de la inteligencia de amenazas, relevancia, oportunidad, y capacidad de acción se convierten en sus ejes de apoyo. Estos tres elementos de la inteligencia de amenazas cibernéticas (CTI) aseguran que los datos de amenazas relevantes se recojan y analicen rápidamente, proporcionando consejos accionables para la toma de decisiones.

Caza de amenazas vs. inteligencia de amenazas

La caza de amenazas es el proceso de encontrar amenazas en los sistemas utilizando inteligencia de amenazas recopilada y procesada. Se lleva a cabo para probar o refutar una hipótesis de amenazas identificadas en la red de una organización.

Los equipos de seguridad asumen que al menos un sistema ha sido comprometido mientras realizan el proceso de caza de amenazas. Buscan evidencia de amenazas utilizando herramientas como software de detección y respuesta de endpoints (EDR) y herramientas de gestión de información y eventos de seguridad (SIEM). La caza de amenazas está dirigida a reducir el tiempo de compromiso del sistema y respuesta a incidentes. 

Por otro lado, la inteligencia de amenazas detalla información sobre las amenazas presentes y emergentes. Las organizaciones obtienen estos datos a través de fuentes de inteligencia de amenazas y elaboran un informe detallado. Una vez que la empresa utiliza esta información para identificar tendencias, el equipo de seguridad puede establecer defensas relevantes para evitar que una amenaza dañe los activos de la organización. 

¿Por qué es importante la inteligencia de amenazas?

La inteligencia de amenazas cibernéticas (CTI) es un criterio imprescindible para las organizaciones si quieren tomar las decisiones correctas en el momento adecuado antes, durante y después de una situación cibernética hostil. Los ciberdelincuentes han mejorado sus tácticas, técnicas y procedimientos (TTP), haciendo que la inteligencia de amenazas sea indispensable para los equipos de seguridad que recopilan datos de inteligencia de amenazas y remediando con éxito las vulnerabilidades antes de que sean comprometidas.

La inteligencia de amenazas pinta un cuadro claro del panorama de amenazas de una organización. Simplifica y facilita los esfuerzos de una organización en desarrollar, mantener y refinar los requisitos de inteligencia, todo lo cual apoya la operación comercial en la etapa de planificación y operación del ciclo de vida de la inteligencia de amenazas. 

Algunas organizaciones equipan a su equipo con fuentes de datos de amenazas en su red, pero en última instancia, eso sobrecarga a los trabajadores con datos que carecen de inteligencia accionable para trabajar. Con herramientas de inteligencia de amenazas, los analistas de seguridad pueden priorizar mejor las acciones sobre las amenazas.

Tipos de inteligencia de amenazas

La inteligencia de amenazas cibernéticas se puede clasificar ampliamente en tres tipos: estratégica, táctica y operativa. Atienden propósitos únicos y proporcionan una visión general completa del panorama de amenazas cuando se juntan.

CTI Estratégica

La inteligencia de amenazas cibernéticas estratégica proporciona una visión general de alto nivel de la postura de seguridad de una organización, riesgos, tendencias de ciberataques e impactos financieros. El público principal para la CTI estratégica es la alta dirección o la gerencia superior. Un informe de CTI estratégica se aleja de las tecnicidades pesadas y generalmente discute el impacto comercial de una amenaza cibernética y los riesgos futuros.  

Si tienes una comprensión razonable de las amenazas presentes y futuras, estás mejor equipado para fortalecer tu postura de seguridad y mitigar los riesgos. Los tomadores de decisiones clave utilizan los informes de CTI estratégica para evaluar sus decisiones e investigar su impacto. La inteligencia estratégica puede provenir de fuentes internas y externas. Por ejemplo, puedes extraer datos de inteligencia estratégica de expertos, documentos técnicos y medios de comunicación locales y nacionales.

CTI Táctica

La inteligencia de amenazas táctica (TTI) se centra en identificar y mitigar las amenazas potenciales que enfrenta una organización. En comparación con otros tipos de CTI, la TTI es un proceso a corto plazo. Ayuda a las empresas a reconocer tácticas, técnicas y procedimientos (TTP) maliciosos y requiere una comprensión profunda de los atacantes, su conjunto de habilidades y su entorno de trabajo. 

La CTI táctica atiende las necesidades del personal de seguridad y los administradores y establece un contexto técnico. Los informes de los proveedores de seguridad son un gran lugar para buscar CTI táctica. Puedes profundizar en ellos para buscar técnicas de ataque, herramientas e infraestructura. 

Esta información de inteligencia es mayormente de corta duración porque cualquier indicador de compromiso podría volverse obsoleto en solo unas pocas horas. 

Este tipo de inteligencia de amenazas es mayormente automatizado ya que el equipo puede generarlo rápidamente.

CTI Operativa

La inteligencia de amenazas operativa (OTI) es más útil cuando la amenaza está activa. La información en tiempo real ayuda a los equipos de seguridad a defenderse contra un ciberataque en curso. Permite a los equipos identificar las capacidades y motivaciones de un atacante y obtener una idea de sus próximos pasos. 

Tu fuente de inteligencia de amenazas operativa comprende indicadores de compromiso, hashes, URLs, nombres de dominio e IPs. Puedes consumir esta información de manera eficiente a través de herramientas como firewall, sistemas de gestión de información y eventos de seguridad (SEIM), y sistemas de detección y prevención de intrusiones.

Este tipo de inteligencia de amenazas proporciona información técnica como qué vulnerabilidades están siendo explotadas o qué dominios de comando y control se están utilizando. Facilita a los analistas identificar y responder a una amenaza cibernética a tiempo. 

Fuentes de inteligencia de amenazas

La inteligencia de amenazas puede provenir de sistemas de detección internos, pares de confianza, servicios de suscripción pagados, agencias gubernamentales, comunidades de código abierto o de colaboración, y blogs. Estas fuentes se pueden categorizar ampliamente en tres categorías, como se describe a continuación.

• Interna: Datos de amenazas recopilados de la red interna de la organización y SEIM. Por ejemplo, registros de eventos, alertas, registros de firewall, informes de respuesta a incidentes o registros del sistema de nombres de dominio (DNS). 
• Externa: Datos de inteligencia de amenazas acumulados de investigadores de seguridad independientes, listas de bloqueo y blogs de proveedores. Esta inteligencia de código abierto proporciona contexto sin costo. Sin embargo, determinar la calidad y relevancia de este tipo de datos es complicado. Una fuente externa también incluye datos de servicios pagados que proporcionan informes de datos estructurados y fuentes de inteligencia. Estas suscripciones pagadas tienen acuerdos de nivel de servicio sobre la calidad de los datos. 
• Comunitaria: La información de amenazas se recopila de canales de confianza con miembros con los mismos intereses, por ejemplo, Centros de Intercambio y Análisis de Información (ISACs). 

Ciclo de vida de la inteligencia de amenazas

El ciclo de vida de la inteligencia de amenazas comprende seis fases iterativas y adaptables que convierten datos en bruto en conclusiones. Esto construye un marco de inteligencia de amenazas para programas de ciberseguridad y los guía para mantener altos estándares de higiene de datos y extraer ideas accionables de los datos. 

Planificación y dirección

La fase de planificación y dirección establece la base para el análisis de inteligencia de amenazas. Implica establecer el propósito y el alcance y luego identificar metas y tareas significativas necesarias para lograr la visión de un programa de inteligencia de amenazas. Los analistas a menudo se refieren a estos elementos como requisitos de inteligencia (IRs), y los profesionales en organizaciones del sector público los llaman elementos esenciales de inteligencia (EEIs). 

Los analistas de seguridad también pueden identificar posibles atacantes, sus motivaciones, posibles superficies de ataque y medidas de seguridad para defenderse contra posibles ciberataques. Esta fase proporciona una visión general más amplia y razones para ejecutar un programa de inteligencia de amenazas sin profundizar demasiado en tecnicidades. 

El Director de Seguridad de la Información (CISO) de una organización generalmente guía esta etapa y ayuda al equipo de seguridad a establecer las bases para llevar a cabo actividades de inteligencia de amenazas. Implica identificar toda la información necesaria para lograr las metas establecidas, definir indicadores clave de rendimiento (KPIs) y abordar posibles desafíos que los analistas puedan encontrar durante el análisis. 

Las fases de planificación y dirección también incluyen estudiar el impacto de las interrupciones y la pérdida de activos para la organización. 

Recopilación

El propósito de la fase de recopilación es reunir una buena cantidad de datos de alta calidad. Una buena calidad de datos te ayuda a evitar falsos positivos y centrarte en eventos de amenazas críticas. La fase de recopilación identifica tipos de datos y fuentes de inteligencia de amenazas que pueden proporcionar información de calidad para el análisis. 

Los analistas recopilan datos de fuentes de tráfico, redes sociales, pares de confianza, expertos de la industria y vulnerabilidades y exploits comunes (CVEs) de acuerdo con las metas definidas en la primera fase. Los datos pueden provenir de fuentes internas, externas o comunitarias, siempre que sean confiables. 

Procesamiento

La fase de procesamiento implica dar formato a los datos recopilados para hacerlos adecuados para el análisis. Los analistas organizan los datos en hojas de cálculo, descifran archivos, extraen metadatos de muestras de malware, traducen datos de fuentes extranjeras y verifican la calidad de los datos. También eliminan redundancias y falsos positivos. 

Los analistas tienen que trabajar con grandes volúmenes de datos en la etapa de procesamiento. El procesamiento manual parece poco realista con la cantidad de IoCs que manejan las organizaciones. Los CISOs prefieren la automatización para acelerar el proceso y hacerlo viable para su equipo. 

Análisis

Durante la fase de análisis, los analistas trabajan en descifrar el conjunto de datos y producir elementos de acción, recomendaciones y sugerencias para los interesados críticos del programa de inteligencia de amenazas. Examina a fondo el conjunto de datos para responder preguntas en la fase de planificación. 

La fase de análisis del ciclo de vida de la inteligencia de amenazas tiene como objetivo convertir los datos procesados en contexto a través de correlación avanzada y modelado de datos. Aunque esta es una fase en gran medida orientada al ser humano, algunas decisiones mundanas o de bajo riesgo podrían automatizarse a medida que la inteligencia artificial y el aprendizaje automático avanzan.

Diseminación

Las fases de diseminación trabajan en informar los hallazgos de la fase de análisis a los interesados, ayudándoles a tomar las decisiones correctas en el momento adecuado. Debes registrar estos hallazgos y hacer un seguimiento de ellos. Te ayuda a retener información de la primera iteración del ciclo de vida de la inteligencia de amenazas y te impide perderla mientras realizas iteraciones posteriores. 

En una empresa, múltiples equipos dependen de la inteligencia de amenazas y tienen necesidades y habilidades únicas. Al informar, asegúrate de que los elementos de acción y las recomendaciones del análisis de inteligencia de amenazas sean comprensibles y accionables para cada equipo. Puedes informar el análisis utilizando gráficos, tablas y tablas fáciles de digerir para que los diversos departamentos puedan derivar conclusiones lógicas.

En tu informe, haz recomendaciones con árboles de decisión y procesos necesarios para iniciar una respuesta a incidentes, remediación de amenazas y gestión de vulnerabilidades.

Retroalimentación

La fase de retroalimentación te permite entender cómo puedes mejorar en tu próxima iteración de las etapas de inteligencia de amenazas. Asegúrate de que los interesados te digan con qué frecuencia necesitan recibir informes de inteligencia de amenazas y cómo quieren que se presenten los datos. Documenta la retroalimentación que recibes de los interesados y aprende de ella. 

La fase de retroalimentación está estrechamente relacionada con la fase de planificación y dirección, ya que ayuda a los interesados clave a guiar su ciclo de vida de inteligencia de amenazas. Asegura que se estén cumpliendo las necesidades de inteligencia y permite a los interesados hacer modificaciones basadas en prioridades cambiantes. 

El objetivo final de la fase de retroalimentación es refinar continuamente el programa de inteligencia de amenazas y obtener información precisa para las personas que la necesitan. 

Desafíos de la inteligencia de amenazas

Estructurar las estrategias, defensas y contramedidas de ciberseguridad de una organización no está exento de desafíos. A continuación se presentan algunos de los obstáculos que enfrentan los clientes y productores de inteligencia de amenazas. 

Sobrecarga de datos de inteligencia de amenazas

Existen numerosas fuentes de inteligencia de amenazas que suministran datos en bruto. El volumen de datos plantea un desafío para los analistas de seguridad que deben identificar, priorizar y trabajar en conjuntos de datos específicos para producir inteligencia accionable de manera oportuna. 

Las organizaciones han abordado este problema identificando recursos confiables, optimizando sus técnicas y aprovechando plataformas de inteligencia de amenazas.

Calidad e interoperabilidad de los datos de amenazas

La calidad de los datos de inteligencia de amenazas prevalece como uno de los principales problemas de CTI. Los proveedores de fuentes de seguridad necesitan mejorar sus sensores y técnicas para capturar datos relevantes para hacer que la inteligencia de amenazas sea más valiosa.

Por otro lado, la falta de estandarización en la forma en que se comparten los datos de inteligencia de amenazas en bruto entre pares contribuye a la fricción en la interoperabilidad. Para abordar esto, el grupo MITRE lanzó algunos estándares: Structured Threat Information Expression (STIX) y Trusted Automated Exchange of Indicator Information (TAXII). 

Sin embargo, si no se puede establecer la estandarización al compartir datos debido a restricciones, los pares pueden usar transformación de datos.

Problemas legales y de privacidad

Pueden surgir problemas de privacidad y legales sobre cómo se comparten los datos y las leyes que los rigen. Algunas empresas se abstienen de compartir datos de amenazas por múltiples razones, como el daño a la reputación. 

A veces, esto puede llevar a una escasez de datos de amenazas sobre un ciberataque operativo que sigue dañando a las empresas.

ML adversarial

Los ciberdelincuentes pueden detectar fallas en aprendizaje automático (ML)  aumentado de inteligencia de amenazas cibernéticas y alimentar entradas maliciosas para aumentar su tasa de clasificación errónea. Esto resulta en fugas de datos.  Los atacantes pueden aprovechar indebidamente los modelos de ML que generalmente están entrenados para procesar datos de distribuciones originales similares, lo que potencialmente causa que estos modelos funcionen mal.

Software de inteligencia de amenazas

El software de inteligencia de amenazas proporciona información sobre nuevas formas de ciberataques como ataques de día cero, malware, inyección SQL y secuencias de comandos entre sitios. El software adapta la información específica a la red, dispositivos de punto final e infraestructura de la organización. Los equipos de seguridad utilizan la inteligencia accionable generada por el software para defenderse contra amenazas emergentes y crear planes para remediar vulnerabilidades.

Para calificar para la inclusión en la lista de software de inteligencia de amenazas, un producto debe:

• Informar al usuario sobre vulnerabilidades y amenazas emergentes
• Proporcionar detalles sobre prácticas de remediación de amenazas comunes
• Examinar amenazas globales en diferentes redes y dispositivos
• Ofrecer información de amenazas a soluciones de TI específicas

* A continuación se presentan los cinco principales software de inteligencia de amenazas del Informe Grid® de Verano 2022 de G2. Algunas reseñas pueden estar editadas para mayor claridad.

1. CrowdStrike Falcon: Protección de Endpoint

CrowdStrike Falcon: Protección de Endpoint ayuda a los equipos de seguridad a proteger los sistemas contra ciberataques utilizando un sensor ligero. No es necesario instalar ningún equipo en las instalaciones ni escanear los sistemas con frecuencia con el software. La plataforma es flexible y extensible al satisfacer tus necesidades de seguridad.

Lo que les gusta a los usuarios:

“La plataforma de gestión central de CrowdStrike es fantástica. Como un departamento con poco personal en nuestra organización, necesitamos hacer mucho más con menos, y absolutamente no podemos sacrificar cuando se trata de seguridad. Podemos gestionar fácilmente todos nuestros endpoints en cualquier momento y lugar.”

- Reseña de CrowdStrike Falcon: Protección de Endpoint, Ryan M.

Lo que no les gusta a los usuarios:

“La interfaz de usuario podría ser mejor. Debería proporcionar más acceso a los informes.”

- Reseña de CrowdStrike Falcon: Protección de Endpoint, Abhimanyu S.

2. FortiGate NGFW

El firewall de próxima generación FortiGate es un dispositivo de seguridad de red que agrega prevención de intrusiones, inspección de capa de sockets seguros (SSL), visibilidad de aplicaciones y usuarios, y detección de amenazas desconocidas al firewall tradicional. Las organizaciones confían en FortiGate para defenderse contra amenazas de red basadas en la web.

Lo que les gusta a los usuarios:

“Hemos estado usando el firewall FortiGate como perímetro durante más de cinco años. Dependemos completamente de un firewall de próxima generación porque tenemos muchas aplicaciones web accesibles externamente.

La consola de administración es simple, y el proceso de aprendizaje es igualmente sencillo. Es muy fácil hacer las configuraciones iniciales. Además, un firewall de próxima generación ayuda a conectar nuestras diversas oficinas sucursales. También hemos configurado una VPN SSL para la conectividad de sucursales.”

- Reseña de FortiGate NGFW, Samurthika A.

Lo que no les gusta a los usuarios:

“A veces puede ser complicado bloquear contenido de un sitio web con filtrado web porque las páginas web contienen sitios web que consumen otros recursos. La administración en un dispositivo móvil es muy complicada. No se adapta a la pantalla de teléfonos inteligentes o tabletas, y la opción de FortiExplore tiene un costo adicional en tiendas en línea.”

- Reseña de FortiGate NGFW, Luis O.

3. Dataminr

Dataminr’s AI platform provides the earliest signals of emerging risks and high-impact events from publicly available data. It improves event detection accuracy by using deep learning-based multi-modal AI fusion methods. 

Lo que les gusta a los usuarios:

“Realmente me gustan las funciones del mapa y la posibilidad de ver alertas en tiempo real cuando aparecen en el mapa, así como la posibilidad de recibir alertas por correo electrónico/ventana emergente para esos momentos en los que no puedes seguir mirando la pantalla en Dataminr.

También me gusta mucho el soporte que proporciona nuestro punto de contacto: responde muy rápido y siempre es útil.”

- Reseña de Dataminr, Usuario en Seguridad e Investigaciones

Lo que no les gusta a los usuarios:

“Ocasionalmente, tenemos sobrecarga de información, pero el equipo de Dataminr proporciona un soporte inigualable a los miembros individuales del equipo para abordar cualquier problema.”

- Reseña de Dataminr, Usuario en Seguros

4. Intezer Analyze

Intezer Analyze acelera la respuesta a incidentes automatizando la clasificación de alertas, la respuesta a incidentes y la caza de amenazas. Se integra fácilmente en el centro de operaciones de seguridad y los flujos de trabajo de los equipos de respuesta a incidentes y elimina falsos positivos al reducir el tiempo de respuesta a alertas. 

Lo que les gusta a los usuarios:

“Intezer es una de las mejores herramientas de análisis de amenazas y virus en línea, y tiene características e integraciones únicas en comparación con otras herramientas de seguridad. Me gusta más la herramienta de análisis en línea de Intezer a través de la carga de archivos, donde puedes cargar tu archivo sospechoso para analizar las amenazas. Intezer también tiene otras herramientas de análisis como URL, volcado de memoria, endpoint y protege tu implementación en la nube usando Intezer Protect.

Intezer te da acceso a varias plataformas de interacción con complementos para Chrome y más.”

- Reseña de Intezer Analyze, Ajay R.

Lo que no les gusta a los usuarios:

“El modelo de precios es confuso y arbitrario. A veces, los escaneos son un poco ambiguos en términos de "¿es este archivo malicioso o no?". Entiendo que ese es el nombre del juego, pero un sistema de votación comunitaria como Virus Total sería de gran ayuda para hacer que los resultados sean un poco más amigables para los humanos.”

- Reseña de Intezer Analyze, Derek W.

5. Silo by Authentic8

Silo by Authentic8 ejecuta todo el código web en servidores en la nube seguros mientras asegura que las investigaciones en línea se mantengan seguras y las amenazas web no toquen activos de confianza. Mantiene registros de auditoría completamente encriptados y control total de políticas sobre la actividad del usuario independientemente de la computadora, red o aplicación en la nube.

Lo que les gusta a los usuarios: 

“Implementé esto de diferentes maneras para apoyar diferentes casos de uso, y cada vez fue simple y rápido de poner en marcha. Además, encontrar información como quién está hablando con qué dominios, o qué dominios ves siendo malware, o C2 es solo una búsqueda sencilla sin requerir mucha búsqueda de datos. 

¡No es necesario configurar ninguna configuración adicional en el lado del endpoint! Necesitamos ingresar la IP del servidor DNS de umbrella. Proporciona políticas de bloqueo sobresalientes para evitar que el usuario visite sitios no deseados.”

- Reseña de Silo by Authentic8, Hegar M.

Lo que no les gusta a los usuarios:

“Hay algunos aspectos técnicos y de servicio que podrían mejorarse. Por ejemplo, el servicio al usuario suele tardar mucho tiempo sin necesidad. Los tiempos de respuesta por correo electrónico pueden tardar varios días para problemas que se pueden solucionar fácilmente.”

- Reseña de Silo by Authentic8, Akio Y.

Devuelve la mirada a cada mirada maliciosa

No es noticia para nadie que el panorama digital se está volviendo cada vez más peligroso, con amenazas y vulnerabilidades surgiendo por todos lados. La inteligencia de amenazas te ayuda a identificar esas amenazas en primer lugar y mitigar los riesgos antes de que puedan afectar tu negocio. 

La inteligencia de amenazas te permite reconocer posibles superficies de ataque, remediar vulnerabilidades en tus sistemas antes de que los atacantes las exploten y mantenerte firme contra los ciberdelincuentes.

Descubre cómo puedes remediar eficazmente las vulnerabilidades en tus redes y sistemas con un sólido proceso de gestión de vulnerabilidades.