¿Qué es la caza de amenazas?

La caza de amenazas es importante porque ayuda a las organizaciones a reforzar su postura deseguridad contra el secuestro de datos (ransomware), amenazas internas y otros ataques cibernéticos que de otro modo podrían pasar desapercibidos.

Mientras que las herramientas de seguridad automatizadas y los analistas vigilantes de los centros de operaciones de seguridad (SOC) pueden detectar la mayoría de las amenazas de ciberseguridad antes de que causen daños importantes, ciertas amenazas sofisticadas pueden eludir estas defensas.

Cuando un actor malicioso entra en un sistema, puede acechar durante semanas o incluso meses antes de ser descubierto. Según el Informe del costo de una filtración de datos de IBM, en promedio toma 194 días identificar que se ha producido una filtración de datos. Mientras tanto, los atacantes sustraen datos y roban credenciales para desbloquear más acceso. 

¿Cuánto daño pueden causar estas amenazas potenciales? Según el Informe del costo de una filtración de datos, la filtración promedio le cuesta a una empresa 4.88 millones de dólares. Cuanto más tiempo transcurra entre el acceso inicial y la contención, mayor puede ser el costo para la organización.  

La caza de amenazas eficaz implica que los equipos de seguridad busquen de forma proactiva estas amenazas ocultas. De este modo, las organizaciones pueden descubrir intrusiones e implementar medidas de mitigación mucho más rápido, reduciendo así el daño que pueden causar los atacantes.

Los cazadores de ciberamenazas son profesionales expertos en ciberseguridad —por lo general analistas de seguridad del departamento de TI que conocen bien las operaciones de la organización, pero a veces son analistas externos—. Los equipos de caza de amenazas utilizan la automatización de seguridad para ayudar a buscar, registrar, supervisar y neutralizar las amenazas antes de que puedan causar problemas graves.

Los programas de caza de amenazas se basan en datos—específicamente, los conjuntos de datos recopilados por los sistemas de detección de amenazas de una organización y otras soluciones de seguridad empresarial—.  

Durante el proceso de caza de amenazas, los cazadores de amenazas analizan estos datos de seguridad en busca de malware oculto, atacantes sigilosos y cualquier otro indicio de actividad sospechosa que los sistemas automatizados puedan haber pasado por alto.  

Cuando los cazadores de amenazas encuentran algo, entran en acción, erradicando la amenaza y reforzando las defensas para asegurarse de que eso no vuelva a suceder.

Comienzan con una hipótesis basada en sus observaciones, datos de seguridad o algún otro desencadenante. La hipótesis sirve como punto de partida para una investigación más profunda sobre las amenazas potenciales.  

Las investigaciones suelen adoptar una de tres formas: caza estructurada, caza no estructurada o caza situacional.

La búsqueda basada en inteligencia se apoya en indicadores de compromiso (IoC) procedentes de fuentes de inteligencia sobre amenazas. Los cazadores de amenazas utilizan herramientas tales como sistemas de gestión de información y eventos de seguridad (SIEM) para supervisar los IoC conocidos, entre ellos los valores hash, las direcciones IP, los nombres de dominio y los artefactos de host. Cuando descubren IoC, investigan posibles actividades maliciosas examinando el estado de la red antes y después de la alerta.

La caza basada en hipótesis se guía por los IoA conocidos registrados en infraestructuras como MITRE ATT&CK. Este tipo de caza explorar la posibilidad de que los atacantes utilicen determinadas TTP para acceder a una red concreta. Cuando se identifica un comportamiento, los cazadores de amenazas pueden supervisar los patrones de actividad para detectar, identificar y aislar cualquier amenaza sustentada en ese comportamiento.  

Debido a su naturaleza proactiva, las cacerías basadas en hipótesis pueden ayudar a identificar y detener las amenazas persistentes avanzadas (APT) antes de que causen daños grandes.

La caza personalizada se basa en el contexto de una organización: incidentes de seguridad anteriores, cuestiones geopolíticas, ataques selectivos, alertas de los sistemas de seguridad y otros factores. Puede combinar las cualidades de las metodologías de caza basadas en inteligencia y en hipótesis.  

Los equipos de seguridad emplean diversas herramientas para ayudar en la búsqueda de amenazas. Algunas de las más comunes son:

SIEM, una solución de seguridad que ayuda a las organizaciones a reconocer y enfrentar las amenazas y vulnerabilidades antes de que puedan perturbar las operaciones comerciales. La SIEM puede ayudar a detectar ataques más rápidamente y reducir la cantidad de falsos positivos que los cazadores de amenazas deben investigar.

Software EDR, que utiliza análisis en tiempo real y automatización impulsada por IA para proteger a los usuarios finales, los dispositivos endpoint y los activos de TI de una organización contra las amenazas cibernéticas que superan las herramientas de seguridad endpoint tradicionales.

MDR, un servicio de ciberseguridad que supervisa y detecta las amenazas y responde a ellas en tiempo real. Combina tecnología avanzada y análisis de expertos para impulsar la caza proactiva de amenazas, permitir respuestas eficaces a incidentes y llevar a cabo una rápida corrección de las amenazas.

Estos sistemas ofrecen insights más profundos sobre los datos de seguridad al combinar big data con sofisticadas herramientas de machine learning e inteligencia artificial. Los analytics de seguridad pueden acelerar la caza de amenazas cibernéticas proporcionando datos de observabilidad detallados.

La inteligencia de amenazas, también llamada “inteligencia de ciberamenazas”, es información detallada y aplicable en la práctica que las organizaciones pueden utilizar para prevenir y combatir las amenazas de ciberseguridad.

La inteligencia de amenazas ofrece a las organizaciones insights sobre las últimas amenazas dirigidas a sus redes y el escenario de amenazas más amplio. 

Los cazadores de amenazas utilizan la inteligencia de amenazas para realizar búsquedas exhaustivas y sistemáticas en busca de actores maliciosos. En otras palabras, la caza de amenazas comienza donde termina la inteligencia de amenazas. Convierte los insights de la inteligencia de amenazas en acciones concretas necesarias para erradicar las amenazas existentes y prevenir ataques futuros.