Iris de DomainTools ayuda a L3Harris Technologies a investigar amenazas persistentes avanzadas y ataques de espionaje cibernético

Como una de las empresas de defensa más grandes del mundo, L3Harris proporciona soluciones de misión crítica para conectar y proteger el mundo, al servicio de clientes en más de 130 países. Dada la naturaleza de la industria de la compañía, L3Harris enfrenta numerosas facetas de amenazas de ciberseguridad de adversarios avanzados y estados nacionales. Los analistas del equipo de respuesta a incidentes de seguridad informática (CSIRT, por sus siglas en inglés) las 24 horas del día, los 7 días de la semana, operan en una atmósfera de seguridad altamente avanzada que se vuelve cada vez más compleja.

Devin McLean, gerente de SOC e ingeniero de IRT en L3Harris dice que el panorama de amenazas de ciberseguridad se ha vuelto notablemente más desafiante en los últimos años. Él atribuye esto a una variedad de factores convergentes, incluido un
aumento en el volumen de alertas de seguridad que su equipo recibe cada día y una superficie de ataque cada vez mayor. La escasez de recursos de ciberseguridad global es otro desafío, exprimiendo el ancho de banda y dificultando
organizaciones para dotar de personal a sus equipos con apoyo adicional. El proceso de enriquecimiento de indicadores también se ha vuelto más complicado. McLean apunta a una matriz creciente y variada de datos (por ejemplo, información DNS, datos SSL, evidencia superficial, etc.) que los analistas deben revisar para comprender mejor sus indicadores. La capacidad de investigar rápidamente y girar sobre los indicadores es fundamental para una respuesta eficaz a los incidentes.

“El ciberespionaje es una de las mayores amenazas que caras de la organización. La actividad del Estado-nación va en aumento para muchas industrias, pero es particularmente agresivo en el industria de defensa. Cuanto más entendemos sobre estos adversarios altamente sofisticados, el más efectivo nuestro equipo está reforzando nuestras protecciones contra ellos. También nos ayuda a establecer posibles conexiones entre dominios que sabemos que son nefastos y nuevos que aparecen en alertas «. – McLean

Centrado en mantenerse a la vanguardia de las amenazas persistentes avanzadas (APT), el equipo utiliza los conocimientos proporcionados por DomainTools para comprender mejor las redes y la infraestructura de los actores patrocinados por el estado y otras partes que buscan ingresar y / o espiar a la organización. L3Harris implementó inicialmente DomainTools para habilitar
alertas de monitoreo de marca, para que el equipo supiera cuándo un actor de amenazas estaba organizando una campaña de phishing o intentando registrar un dominio asociado con el nombre de la empresa. Con las capacidades complementarias
en Iris, el equipo ha profundizado su uso de la información del dominio para informar las investigaciones de amenazas.

McLean y el equipo de analistas de L3Harris utilizan Iris para girar en torno a estos puntos de datos y ampliar su lista de dominios asociados con direcciones IP sospechosas y la información del registrante de dominios. Esa información se compara con otros dominios en el entorno. Este enfoque ha descubierto conexiones entre los registros de numerosos dominios, proporcionando al equipo una inteligencia sólida para investigar más a fondo las redes de adversarios y bloquear las que se conocían anteriormente. En Iris, las puntuaciones de riesgo de dominio que predicen la probabilidad de que un dominio sea malicioso, incluso antes de que se convierta en un arma, y ​​los paneles de datos de perfil SSL que permiten a los analistas examinar los certificados en detalle, son características clave para el equipo de L3Harris. Con estas herramientas, pueden cerrar
la ventana de vulnerabilidad entre el momento en que se registra un dominio malicioso y el momento en que se observa que causa
dañar. También ayudan al equipo a comprender mejor el perfil y las capturas de pantalla de un sitio web sin tener que navegar hasta él y, en algunos casos, descubren puntos de pivote adicionales que de otro modo no están disponibles.

“Nuestro equipo aumenta en promedio un 96 por ciento mes a mes en alertas de seguridad, y todos los días procesamos indicadores de informes de inteligencia y más de 1,000 correos electrónicos reportados como sospechosos por nuestros usuarios. Muchos de estos incluyen algún nivel de información de dominio. La capacidad de procesar automáticamente esos indicadores y direcciones IP sospechosas rápidamente en lugar de hacerlo manualmente reduce significativamente la cantidad de tiempo que lleva realizar la investigación, lo que es un gran impulso para nuestro trabajo «. – McLean

Los conocimientos de dominio y las capacidades de pivote que ofrece Iris ayudan a McLean y sus colegas a combatir con éxito una gama de amenazas cada vez más desafiante, maximizando la eficacia de los recursos disponibles de las organizaciones de seguridad. DomainTools también está ayudando a L3Harris a mejorar la calidad de sus investigaciones al brindarle al equipo una forma de enriquecer automáticamente los indicadores rápidamente y dedicar menos tiempo a recopilar información manualmente. Esto, combinado con una interfaz de usuario altamente intuitiva, permite a los analistas acelerar la respuesta a incidentes y concentrarse en la búsqueda de amenazas. Con una gran cantidad de datos al alcance de la mano, pueden actuar más rápidamente, tomar decisiones precisas sobre las alertas y escalarlas rápidamente cuando sea necesario.