Un punto de referencia de detección y respuesta creado para la nube

La velocidad y la complejidad de los ataques a la nube han reducido rápidamente el tiempo que tienen los equipos de seguridad para detectar y responder antes de que se produzca una infracción. Según el informe Mandiant M Trends 2023., El período de retención para un entorno local es de 16 días. A diferencia de, solo lleva tiempo 10 minutos para realizar un ataque en la nube después de que se descubre un objetivo explotable. Si a eso le sumamos la presión de tener cuatro días hábiles para informar un incidente cibernético importante a la SEC, queda claro que todo sucede más rápido en la nube. Los equipos de seguridad necesitan ayuda.

Los marcos de detección y respuesta heredados no pueden proteger adecuadamente a las organizaciones. La mayoría de los puntos de referencia existentes están diseñados para entornos centrados en endpoints y son simplemente demasiado lentos para los equipos de seguridad que protegen los entornos de nube modernos.

La industria necesita un punto de referencia de detección y respuesta moderno diseñado para la nube. Para ir un paso por delante de los atacantes en la nube, los equipos de seguridad deben cumplir los requisitos 5/5/5 punto de referenciaque especifica cinco segundos para detección, cinco minutos para clasificación y cinco minutos para respuesta a amenazas.

Cuando el costo de una vulneración de la nube es de 4,45 millones de dólares, según el Informe sobre el costo de una vulneración de datos de 2023 de IBM, los equipos de seguridad deben poder detectar y responder a los ataques a la velocidad de la nube. De lo contrario, el radio de la explosión aumentará rápidamente y el impacto financiero empeorará rápidamente. Adherirse al punto de referencia 5/5/5 ayudará a las empresas a operar de forma segura y confiable en la nube.

El punto de referencia de detección y respuesta en la nube 5/5/5

Operar de forma segura en la nube requiere una nueva forma de pensar. Los procesos de desarrollo y lanzamiento nativos de la nube presentan desafíos únicos para la detección y respuesta a amenazas. Los flujos de trabajo de DevOps (incluido el código comprometido, creado e implementado en aplicaciones) involucran nuevos equipos y roles como actores clave en el programa de seguridad. Los ataques a la nube no se centran en explotar las vulnerabilidades tradicionales de ejecución remota de código, sino en comprometer la cadena de suministro de software y hacerse pasar por personas y máquinas. Las cargas de trabajo de corta duración requieren enfoques avanzados de respuesta a incidentes y análisis forense.

Si bien la gestión de identidades y accesos, la gestión de vulnerabilidades y otros controles preventivos son necesarios en entornos de nube, no se puede permanecer seguro sin un programa de detección y respuesta a amenazas para combatir exploits de día cero, amenazas internas y otros comportamientos maliciosos. Es imposible impedirlo todo.

El punto de referencia 5/5/5 desafía a las organizaciones a reconocer la realidad de los ataques modernos y avanzar en sus programas de seguridad en la nube. El punto de referencia se describe en el contexto de los desafíos y oportunidades que los entornos de nube presentan a los defensores. Lograr 5/5/5 requiere la capacidad de detectar y responder a los ataques a la nube más rápido de lo que los atacantes pueden completarlos.

5 segundos para detectar amenazas

Desafío: Las etapas iniciales de los ataques a la nube están altamente automatizadas debido a la uniformidad de las API y arquitecturas de un proveedor de nube. El descubrimiento a esta velocidad requiere datos de telemetría de instancias informáticas, orquestadores y otras cargas de trabajo, que a menudo no están disponibles o están incompletos. El descubrimiento eficaz requiere visibilidad granular en muchos entornos, incluidas implementaciones multinube, aplicaciones SaaS conectadas y otras fuentes de datos.

Oportunidad: La uniformidad de la infraestructura del proveedor de la nube y los conocidos esquemas de terminales API también facilitan la recuperación de datos de la nube. La proliferación de tecnologías de descubrimiento de la nube de terceros, como eBPF, ha hecho posible obtener una visibilidad completa y oportuna de las instancias, contenedores, clústeres y funciones sin servidor de IaaS.

5 minutos para correlación y clasificación

Desafío: Incluso en el contexto de un único proveedor de servicios en la nube, existe una correlación entre componentes y servicios.

desafiante. La abrumadora cantidad de datos disponibles en la nube a menudo carece de un contexto de seguridad, lo que deja la responsabilidad del análisis en el usuario. Por sí sola, es imposible comprender completamente las implicaciones de seguridad de una señal en particular. El plano de control de la nube, los sistemas de orquestación y las cargas de trabajo implementadas están estrechamente entrelazados, lo que facilita a los atacantes moverse entre ellos.

Oportunidad: La combinación de puntos de datos dentro y desde sus entornos proporciona información útil para su equipo de detección de amenazas. La identidad es un control clave en la nube que permite mapear la actividad a través de los límites ambientales. La diferencia entre “alertar ante una señal” y “detectar un ataque real” radica en la capacidad de identificar rápidamente conexiones con el menor esfuerzo manual posible por parte de los equipos de seguridad.

5 minutos para iniciar una respuesta

Desafío: Las aplicaciones en la nube a menudo se desarrollan utilizando funciones y contenedores sin servidor que duran en promedio menos de 5 minutos. Las herramientas de seguridad tradicionales esperan sistemas duraderos y fácilmente disponibles para las investigaciones forenses. La complejidad de los entornos modernos dificulta identificar el alcance completo de los sistemas y datos afectados y determinar las acciones de respuesta adecuadas para los proveedores de servicios en la nube, proveedores de SaaS y socios y proveedores.

Oportunidad: La arquitectura en la nube nos permite automatizar. Los mecanismos basados ​​en API y infraestructura como código para definir e implementar activos permiten una respuesta y reparación rápidas. Es posible destruir rápidamente los activos vulnerables y reemplazarlos con versiones limpias, minimizando la interrupción del negocio. Las empresas suelen necesitar herramientas de seguridad adicionales para automatizar las respuestas y realizar investigaciones forenses.

Próximos pasos

Para profundizar en el mundo de los ataques en la nube, lo invitamos a asumir el papel de atacante y defensor y probar nuestro Kraken Discovery Lab. Lo más destacado del laboratorio Kraken Escarlata, una reconocida operación de ciberataque dirigida a entornos de nube. Los asistentes descubrirán las complejidades de la recopilación de credenciales y la escalada de privilegios, todo dentro de un marco integral de nube. Conectar el próximo laboratorio de descubrimiento de Kraken.

Sobre el Autor

Ryan Davis es director senior de marketing de productos en Sysdig. Ryan se centra en impulsar la estrategia de comercialización de iniciativas y casos de uso clave de seguridad en la nube.