Lo que no sabes, no te asustará

Lo que no sabes, no te asustará

Por Matthias Maier, director de marketing de productos de Splunk

Amenazas internas, amenazas persistentes avanzadas, suplantación de identidad (spear phishing): estos términos son suficientes para mantener despiertos a los CISO por la noche. En el pasado, podía identificar malware, agregarlo a una lista de amenazas y eliminarlo. Pero la nueva generación de amenazas a la seguridad es mucho más difícil de encontrar: son nuevas cada vez y, a menudo, se adaptan a la víctima.
Como resultado, un nuevo informe de Quocirca muestra que cuanto más visibilidad tienen las empresas de estas nuevas amenazas de seguridad, más se preocupan por ellas. ‘Master of Machines II: Conquistando la complejidad con inteligencia operativa’ preguntó a las organizaciones europeas sobre sus principales preocupaciones tecnológicas y su capacidad para capturar datos de máquinas. Algunas de las principales preocupaciones, como el tiempo de inactividad y la gestión del caos de datos, se redujeron con una mayor inteligencia operativa. El extraño es la seguridad. Las empresas con niveles más altos de inteligencia operativa (la capacidad de extraer inteligencia de los datos de las máquinas) en realidad están más preocupadas por las amenazas a la seguridad.
Aquellos con el nivel máximo de inteligencia operativa tenían una calificación de preocupación promedio de 3.88 para la seguridad. El promedio de la investigación fue de 2,58. Aquellos con inteligencia operativa muy baja, calificaron la seguridad con 2.09, lo que sugiere que tal vez tengan la cabeza en la arena.
Sin embargo, aunque la visión general se aplica en toda Europa, el nivel nacional de enfoque de seguridad provoca variaciones de un país a otro. Francia, por ejemplo, tiene el nivel más alto de inteligencia operativa (2.04). Sin embargo, eso no los hace los más preocupados por la seguridad, un fenómeno que existe en el Reino Unido (3.27).
Entonces, ¿estamos en peor posición?
La mayor preocupación proviene del hecho de que hay más visibilidad y conciencia de lo que realmente está sucediendo. La escala y gravedad de las amenazas es más evidente; aquellos con la cabeza en la arena no tienen esta conciencia, lo que resulta en un enfoque complaciente del panorama de amenazas moderno.
«Hay quienes han sido pirateados … y quienes no lo saben» – John Chambers, CEO de Cisco en el Foro Económico Mundial
Pero este también es el beneficio crucial. Las amenazas internas, los spear phishers y las APT dejan anomalías en la red a través de la actividad y los rastros de comunicación. Las empresas no detectarán estas anomalías a menos que tengan dos cosas:
1 – Conocimiento de cómo se ve la actividad normal
2 – La analítica para detectar cualquier variación de lo normal
Comprender la línea de base de lo que es normal es más fácil de decir que de hacer. Toda la red debe verse y entenderse en un entorno «normal», y ¿con qué frecuencia existe realmente?
Es demasiado para una persona y difícil de lograr para muchas herramientas tecnológicas. Necesita cada byte de datos de registro recopilados juntos para configurar esa línea de base. Luego, debe comparar cada byte de información nueva con él … casi en tiempo real.
La naturaleza de algunas amenazas es que causarán pequeñas anomalías y luego permanecerán inactivas en la red durante semanas y meses. Son difíciles de detectar en este punto, es solo su entrada lo que causa una onda.
La visibilidad y la información adicionales también ayudan a proteger contra ataques de ingeniería social. Si los piratas informáticos han obtenido credenciales de usuario genuinas, se verán como si fueran reales. Sin embargo, sus intenciones serán más maliciosas; en algún momento accederán a un servidor o imprimirán documentos que no se espera que hagan o que provengan de una fuente que no se esperaba. Estas anomalías pueden desencadenar acciones para abordar la amenaza «autorizada».
Es un entorno de desafíos complejo y cambiante. La próxima generación de amenazas, ya sea que provengan de la ingeniería social en el terreno u otros métodos como el spear phishing, son reales, peligrosas y difíciles de detectar. Las organizaciones deben adoptar un enfoque basado en análisis si quieren establecer cómo se ve lo ‘normal’ y tener la oportunidad de identificar las huellas dactilares muy débiles de una amenaza avanzada.