Cómo las PYMES utilizan la inteligencia sobre amenazas y MDR para crear una ventaja defensiva

Los equipos de seguridad y TI corporativos tienen la poco envidiable tarea de mantener a raya a adversarios implacables y cada vez más sofisticados. A menudo se enfrentan a recursos limitados y superficies de ataque cada vez mayores, pero reclutar y retener a los mejores profesionales de seguridad para administrar un Centro de Operaciones de Seguridad (SOC) interno está fuera del alcance de muchas organizaciones. Al mismo tiempo, las amenazas evolucionan y los adversarios perfeccionan sus técnicas, lo que genera incidentes que a menudo interrumpen las operaciones comerciales.

Para evitar quedarse atrás, los defensores necesitan un enfoque proactivo que combine la prevención, la detección y la corrección con inteligencia sobre amenazas precisa y oportuna. Si no es práctico desarrollar esta capacidad internamente, alquilar o comprar como servicio es una opción más realista. Por supuesto, este no es un concepto nuevo: las organizaciones más pequeñas han estado cosechando los beneficios de las nuevas innovaciones de TI a través de oficinas, proveedores de servicios gestionados y computación en la nube durante décadas.

Hay buenas razones para hacer lo mismo con los servicios avanzados de ciberseguridad, y aquí es donde la Detección y Respuesta Gestionadas (MDR) pueden tener un gran impacto. MDR proporciona a las organizaciones una capacidad de búsqueda y monitoreo de amenazas proactiva, impulsada por expertos y escalable, sin el costo de un SOC de élite. No hace mucho, un MDR era caro y complejo, aunque menos que una instalación interna dedicada. Ahora resulta cada vez más práctico que las organizaciones más pequeñas consideren esto.

Recientemente nos reunimos con el director de ESET Threat Research Jean-Ian Boutin para hablar sobre el trabajo de su equipo y cómo la investigación y la inteligencia sobre amenazas fluyen en los flujos de trabajo de MDR. Jean-Ian también nos dio una idea de dónde la combinación de tecnología de punta y experiencia humana proporciona el mayor beneficio práctico, particularmente para los entornos de las PYME.

¿Qué beneficia a la mayoría de los usuarios de pequeñas empresas? Investigación de amenazas de ESET? ¿Cómo cambia esto si utiliza ESET MDR?

ESET cuenta con un equipo de investigación de amenazas repartido en múltiples regiones. Soy parte del equipo en Montreal, pero tenemos investigadores en toda Europa y también en Estados Unidos.

Hay cosas que todos pueden ver: nuestras publicaciones en WeLiveSecurityy hablar y presentar en conferencias sobre ciberseguridad en todo el mundo.

Luego hay cosas que sólo obtienen los clientes empresariales de ESET: todo tipo de “consejos y trucos”; Es decir, información sobre los actores de amenazas: qué hacen, cómo operan, todo lo que ayuda a nuestros clientes a mantenerse seguros.

Cuando se trata de eso detección y respuesta gestionadas, Inteligencia de amenazas es un componente clave que ayuda a nuestro equipo de detección y respuesta a comprender cómo operan los diferentes actores de amenazas y cómo pueden usar esta información para proteger a nuestros clientes de violaciones de seguridad.

Hemos hablado un poco sobre la punta del iceberg: todo el backend de MDR que los usuarios rara vez ven pero que es absolutamente crucial. ¿Podrías explicar eso?

Las diversas alertas que puede ver en su consola a veces son detecciones de puntos finales que queremos investigar. Y mi equipo es responsable de garantizar que todas las muestras y amenazas nuevas en los entornos de los clientes se aborden y detecten. Entonces, una de las tareas del equipo es garantizar que todas estas nuevas tendencias, todos estos nuevos patrones, se vean, examinen y luego se descubran in situ con nuestros clientes. Este es uno de los aspectos clave.

Ponemos un fuerte énfasis en la organización de datos de inteligencia sobre amenazas sobre delitos electrónicos, ransomware, grupos APT y actores de estados-nación que apuntan a organizaciones globales. Nuestros investigadores utilizan estos conocimientos para vincular nuevas infracciones con casos anteriores.

También evalúan la gravedad de la infracción y nosotros también podemos evaluar cuál podría ser el propósito del ataque. Realmente le brinda al cliente una descripción completa de lo que pudo haber sucedido, si se produjo o no una infracción, o incluso el grupo específico que lo atacó.

¿Qué agrega MDR a la protección existente de endpoints de ESET?

MDR está más personalizado y la relación con el cliente mejora y se amplía. Pero la producción de mi equipo se distribuye en todo el conjunto de productos.

se habló de eso Informes privados de ESET Recientemente: ¿Cuán relevantes son para los desafíos que enfrentan la mayoría de las pequeñas y medianas empresas? ¿Se enfrenta a ataques dirigidos? ¿Qué pasa con los actores del Estado-nación?

El perfil de amenaza varía de una organización a otra, y un actor-estado-nación normalmente tiene objetivos predefinidos y apunta a víctimas que se alinean bien con esos objetivos.

Cuando se trata de delitos electrónicos, esto tiene un gran alcance. Esto está dirigido a las masas. Vemos muchos ladrones de información. También vemos mucho ransomware.

Entonces, nuestro trabajo es comprender cómo funcionan todos estos grupos y asegurarnos de que cuando tengan nuevas técnicas, podamos actuar muy rápidamente y asegurarnos de bloquear cualquier intento.

Este es el objetivo final, pero también hay muchos actores de amenazas que hacen cosas como esta y hay muchas más familias de malware. Garantizar que los clientes estén protegidos es verdaderamente una tarea diaria. Definitivamente no falta trabajo.

James Rodewald, uno de los analistas de seguridad de ESET, utiliza este concepto de triangulación: ver algo en la naturaleza, escuchar a un cliente afectado e informar al equipo de inteligencia de amenazas. Un ejemplo que utilizó es un ataque con Gorrión famoso. ¿Puedes explicar esto con más detalle desde tu perspectiva?

Es importante tener relaciones cercanas con las personas que realmente se ocupan de casos como este, porque el trabajo principal de mi equipo es observar la telemetría, recopilar datos de todos los puntos finales e intentar encontrar casos interesantes y casos en los que necesitamos trabajar para mejorar la protección general.

Pero a veces el equipo de MDR se encuentra con algo que hemos visto en el pasado y eso también nos da una mejor comprensión de cómo opera realmente el actor de la amenaza.

En este caso particular, esto nos abrió los ojos, ya que no habíamos visto a este actor de amenazas en bastante tiempo. Si hay un caso en el que un cliente utiliza MDR, es mejor desde una perspectiva de investigación porque a través de una relación más estrecha con el cliente sabemos más sobre su infraestructura y, por lo tanto, podemos ayudarlo mejor. Podemos comprender mejor el impacto del caso. Y eso luego se transmite a otros clientes de inteligencia sobre amenazas. Es por eso que intentamos estar lo más cerca posible de todos estos equipos y vincular estos incidentes para que podamos mejorar nuestros informes y nuestra comprensión de todas estas amenazas.

Hablaste sobre trabajar con los analistas de MDR y el equipo de D&R (detección y respuesta). ¿Cómo cambia eso la forma en que trabaja y comprende las amenazas cuando tiene esa relación uno a uno con los analistas y quizás con el cliente?

Cambia todo porque con MDR ya tenemos una relación de trabajo con la persona responsable de la seguridad de esa organización, por lo que podemos comprender muy rápidamente la escala del ataque, qué sucedió exactamente, por qué los atacantes estaban allí, etc.

La información disponible para nosotros es exponencialmente mayor que la que podemos obtener con puntos finales regulares. Por lo tanto, para nosotros esta relación es invaluable en términos de conocimiento, visibilidad y comprensión del caso.

El año pasado hubo una ola de ataques en el Reino Unido, y grandes empresas como Jaguar Land Rover y Marks & Spencer se vieron comprometidas a través de servicios de asistencia técnica subcontratados. Las pequeñas y medianas empresas también han subcontratado servicios como estos como parte de su cadena de suministro y, a menudo, son las partes menos protegidas de la cadena de suministro de una empresa más grande. ¿Deberían estar preocupados?

El riesgo que plantean los ataques a la cadena de suministro es significativo. A lo largo de los años, ha habido numerosos casos documentados de actores de amenazas que apuntan a las vulnerabilidades de la cadena de suministro, a menudo centrándose en terceros con medidas de seguridad menos estrictas. De dichos proveedores comprometenLos atacantes primero pueden obtener acceso a la red de una organización.

Un beneficio de MDR es su visibilidad integral, lo que garantiza una descripción general completa de todas las detecciones y alertas. Esta capacidad nos permite detectar anomalías aún más pequeñas de manera más efectiva. Debido a que nuestro equipo monitorea continuamente estas organizaciones en busca de posibles incidentes, podemos detectar y responder rápidamente a errores sutiles cometidos por actores de amenazas.

Los ataques a la cadena de suministro plantean desafíos importantes porque es difícil proteger a todos los terceros. Sin embargo, implementar una solución efectiva mejora nuestra capacidad de responder a tales eventos de manera rápida y eficiente.

Como líder de un equipo de inteligencia sobre amenazas, ¿qué diferencia cree que supone MDR para los clientes? ¿Qué implicaciones tiene esto para una organización que tiene un servicio MDR y para una organización que aún no necesariamente ha dado este paso?

En general, como mencioné, la visibilidad continua es mucho mejor con MDR. Si su organización se ve afectada por una campaña, tendrá mejores herramientas para resumir las diversas acciones de los atacantes y comprender lo que han hecho en su red.

En pocas palabras, MDR proporciona una visión más profunda de los ataques. Desde la perspectiva de la investigación de amenazas, esta es la mayor ventaja y otra razón importante para valorar dicha transparencia es la velocidad de respuesta. Con MDR, ya existe un canal seguro entre los investigadores y su organización, lo que facilita llegar a alguien que pueda tomar medidas para contener rápidamente una infracción.

Última pregunta: ¿Qué les diría a las organizaciones que puedan pensar que MDR es demasiado complicado o demasiado caro?

MDR actúa como una póliza de seguro, ayudando a detectar amenazas como ransomware de manera temprana, a menudo antes de que surjan problemas importantes. Los atacantes suelen utilizar intermediarios de acceso inicial para obtener acceso, pero se pueden identificar varias señales de advertencia de antemano. Aunque nunca se recomienda pagar un rescate, la recuperación aún puede ser perjudicial. MDR respalda la continuidad del negocio para que pueda continuar concentrándose en sus ofertas principales.

¡Muchas gracias!