A medida que el brote se acelera, la ciberseguridad preventiva ocupa un lugar central

Los actores de amenazas utilizan la IA para acelerar los TTP probados. Cuando los ataques avanzan tan rápidamente, los ciberdefensores deben repensar su propia estrategia.

7 de abril de 2026
•
,
4 minutos de lectura

Estamos en un punto interesante de la interminable carrera armamentista entre atacantes y defensores. Los primeros utilizan inteligencia artificial, automatización y una variedad de técnicas, a veces con efectos devastadores. De hecho, reclama un informe que el 80% de los grupos de ransomware como servicio (RaaS) ahora ofrecen inteligencia artificial o automatización como características y, por supuesto, también existe un mercado próspero con herramientas diseñadas específicamente para esto. Evitar las herramientas de seguridad. Violaciones de datos y costos asociados han aumentado considerablemente como resultado.

Por otro lado, los actores de amenazas simplemente están haciendo lo que ya han hecho antes: mejorar las tácticas, técnicas y procedimientos (TTP) existentes para acelerar los ataques. Por ejemplo, el tiempo entre el acceso inicial y el movimiento lateral (tiempo de ruptura) ahora se mide en minutos. Las cosas deben cambiar para los abogados defensores que están acostumbrados a trabajar durante horas o días seguidos.

Un aviso de media hora

El momento de la fuga es importante porque si los defensores de la red no pueden detener a sus adversarios en este punto, una brecha inicial puede convertirse muy rápidamente en un incidente importante. El tiempo medio hasta la erupción lateral es ahora de unos 30 minutos, aproximadamente un 29% más rápido que el año anterior, según algunos observadores. lo vi suceder en menos de un minuto después del primer acceso.

Hay varias razones por las que la ventana de acción se está cerrando rápidamente. Los actores de amenazas son:

• Mejore en el robo, descifrado o phishing de credenciales legítimas de empleados. Las contraseñas débiles, reutilizadas y rara vez cambiadas les ayudan en este sentido (por ejemplo, facilitando los ataques de fuerza bruta). También falta la autenticación multifactor (MFA). También mejoran en el restablecimiento de contraseñas. vistiendo Ataques que implican hacerse pasar por el servicio de asistencia técnica o llamar al servicio de asistencia técnica bajo la identidad de un empleado. Los inicios de sesión legítimos les permiten hacerse pasar por usuarios sin activar alarmas internas.
• Uso de exploits de día cero para atacar dispositivos periféricos, por ejemplo Ivanti EPMM para afianzarse en las redes mientras permanece oculto a las herramientas de seguridad internas.
• Mejorar la inteligencia mediante el uso de técnicas de código abierto e inteligencia artificial para buscar en Internet información disponible públicamente sobre objetivos de alto valor (con credenciales privilegiadas). Recopilan información sobre la estructura organizacional, los procesos internos y el entorno de TI para racionalizar los ataques y diseñar guiones de ingeniería social.
• Automatice las actividades posteriores a la explotación utilizando scripts basados ​​en IA para la recopilación de credenciales, la vida rural e incluso la generación de malware.
• Explota las brechas entre equipos aislados y soluciones puntuales. Como resultado, las actividades que parecen legítimas para los primeros pueden parecer inusuales para los segundos, pero sin una visibilidad holística, es posible que los casos extremos no puedan investigarse. En algunos casos, los actores de amenazas toman acciones deliberadas. Deshabilitar o omitir EDR.
• Manténgase oculto utilizando técnicas de vida de la tierra (LOTL). Esto significa que se deben utilizar credenciales válidas, herramientas legítimas de acceso remoto y protocolos como SMB y RDP, lo que significa que se combinan con la actividad habitual.

Detectar a los actores de amenazas en este momento es fundamental, especialmente porque la IA también acelera la exfiltración (cuando comienza). El caso más rápido registrado el año pasado duró sólo seis minutos; Disminución de 4 horas 29 minutos en 2024.

Combatir incendios con fuego (IA)

Cuando los atacantes pueden acceder a su red con privilegios elevados u ocultarse en puntos finales no observados y luego propagarse lateralmente sin dar la alarma, la respuesta humana suele ser demasiado lenta. Necesitan limitar la ingeniería social, mejorar la postura defensiva para detectar mejor comportamientos sospechosos y reducir los tiempos de respuesta.

Impulsado por IA detección y respuesta avanzadas (XDR) y detección y respuesta gestionadas (MDR) puede ayudar en este caso al señalar automáticamente comportamientos sospechosos, utilizar datos contextuales para mejorar la fidelidad de las alertas y brindar soluciones cuando sea necesario. Ofertas avanzadas También puede ayudar al agrupar alertas y generar respuestas automatizadas para equipos SOC con exceso de trabajo, liberándolos para trabajar en tareas importantes como la búsqueda de amenazas.

Un proveedor único y unificado con visibilidad en todos los puntos finales, redes, nubes y otras capas también puede descubrir las brechas entre soluciones puntuales y proporcionar visibilidad completa de posibles rutas de ataque. Asegúrese de que dichas herramientas también tengan visibilidad de los dispositivos perimetrales y funcionen perfectamente con sus herramientas de gestión de eventos e información de seguridad (SIEM) y herramientas de respuesta y orquestación de seguridad (SOAR).

La inteligencia y la caza de amenazas también son fundamentales para seguir el ritmo de los adversarios impulsados ​​por la IA. Un enfoque que aprovecha ambos ayuda a los equipos a centrarse en lo más importante: cómo los atacan los atacantes y hacia dónde podrían dirigirse a continuación. Con el tiempo, los agentes de IA podrán asumir más de estas tareas de forma autónoma para reducir aún más los tiempos de respuesta.

Recuperar la iniciativa

Hay otras formas de acelerar los tiempos de respuesta, que incluyen:

• Monitoreo e inteligencia continuos en endpoints, redes y entornos de nube.
• Pasos automatizados (como la finalización de la sesión, el restablecimiento de la contraseña o el aislamiento del host) que se deben tomar para abordar actividades sospechosas y, cuando corresponda, análisis automatizados combinados con el juicio humano para investigar alertas e informar los pasos necesarios para contener rápidamente una amenaza.
• Políticas de acceso con privilegios mínimos, microsegmentación y otras características de Confianza cero para garantizar controles de acceso estrictos y minimizar el radio de ataque de la explosión.
• Seguridad mejorada centrada en la identidad basada en credenciales sólidas y únicas administradas en un administrador de contraseñas y respaldadas por MFA resistente al phishing.
• Medidas anti-vishing que incluyen procesos de asistencia técnica actualizados (por ejemplo, devoluciones de llamada fuera de banda) y entrenamiento de concientización efectivo
• Protección de fuerza bruta que bloquea los ataques automatizados de adivinación de contraseñas al ingresar.
• Supervise continuamente las redes sociales y la web oscura en busca de información expuesta de los empleados y de la empresa que pueda utilizarse como arma.
• Monitorear scripts y procesos a medida que se «desenmascaran» en la memoria para detectar y bloquear el comportamiento LOTL.
• Ejecución en la nube de archivos sospechosos para evitar amenazas de exploits de día cero.

Ninguno de estos pasos por sí solo es una panacea. Pero cuando los superpones y te concentras en MDR/XDR impulsados ​​por IA desde un proveedor acreditadoPueden ayudar a los defensores a recuperar la iniciativa. Puede que sea una carrera armamentista, pero en esencia no hay un final a la vista. Esto significa que hay tiempo para ponerse al día.