El ciclo ha terminado. Durante años, la ciberseguridad ha seguido un patrón familiar de altibajos a medida que las defensas mejoran y los atacantes se adaptan. Hoy en día, los atacantes impulsados por IA simplemente superan en número a las defensas. Hoy en día, la mayoría de las intrusiones eluden por completo la detección basada en malware y en endpoints.
El Informe sobre amenazas globales de CrowdStrike estima que aproximadamente el 79 % de los ataques están libres de malware, ya que los atacantes utilizan técnicas de robo de credenciales y descarga de DLL para eludir la supervisión a nivel de host. Las vulnerabilidades perimetrales exacerban aún más este riesgo. Las infracciones de firewalls y puertas de enlace VPN aumentaron un 19%, según el último informe de investigaciones de violaciones de datos de Verizon.
Una vez que un atacante obtiene acceso, a menudo se produce una fuga en cuestión de segundos. Claude Mythos y modelos similares enfrentaron presiones operativas aún mayores. Esto permite descubrir y explotar rápidamente vulnerabilidades previamente desconocidas, cerrando efectivamente la ventana entre el descubrimiento inicial y el compromiso total.
Las medidas de seguridad deben adaptarse para priorizar la contención rápida y el análisis del comportamiento posterior a la infracción, y las capacidades de defensa requieren detección en tiempo real más allá del nivel del host. Aquí es donde entra en juego la detección de redes de múltiples capas para extender las defensas más allá del punto final, pero su efectividad depende en gran medida de los datos detrás de ella.
La evidencia de la red mejora la detección
Los puntos finales, las identidades y las plataformas en la nube brindan perspectivas valiosas sobre la seguridad empresarial. Las herramientas de host rastrean los procesos en la memoria, las soluciones de identidad monitorean las credenciales y los entornos de nube registran los cambios de configuración. Aunque cada fuente proporciona visibilidad, estos sistemas funcionan de forma aislada, lo que deja lagunas en la visibilidad que los atacantes pueden explotar fácilmente.
Cada herramienta sólo ve una parte de la cadena de ataque. Los actores de amenazas pueden comprometer las estaciones de trabajo, explotar puntos ciegos entre los puntos finales y los sistemas de identidad para ocultar el robo de credenciales, moverse lateralmente a la infraestructura de la nube y filtrar datos antes de que el SOC se dé cuenta. Por lo tanto, la telemetría integrada y correlacionada en estos dominios es esencial para proporcionar una imagen completa.
La detección y respuesta de red (NDR) utiliza datos de la red para validar, enriquecer y conectar estas señales separadas. Debido a que los datos se recopilan fuera de banda, permanecen sin cambios incluso si el agente local desaparece o un actor de amenazas desactiva la herramienta de punto final. NDR también captura el tráfico en toda la empresa, brinda contexto crítico y registra cada conversación, transacción y transferencia de datos, brindando a los defensores la evidencia innegable que necesitan para responder.
Por ejemplo, cuando una herramienta de identidad detecta un inicio de sesión inusual, los datos de la red verifican si esa cuenta inició una consulta de base de datos no autorizada. Las alertas de endpoints que marcan el acceso a las credenciales pueden ayudar a verificar si un atacante ha intentado un movimiento lateral.
La detección multicapa aumenta la confianza en la toma de decisiones
La mayoría de las organizaciones ya tienen algún tipo de visibilidad de red, como sistemas de detección de intrusiones (IDS) heredados, dispositivos de captura de paquetes (PCAP) o registros básicos de NetFlow. Sin embargo, estas herramientas tradicionales operan de forma aislada y la mayoría no puede mantener el ritmo que los analistas necesitan para responder a los ataques modernos. NDR reemplaza estas herramientas heredadas fragmentadas.
Al integrar firmas, análisis de paquetes y registros de flujo en un único flujo de trabajo, NDR proporciona un conjunto completo de detecciones y funciones que reduce significativamente la carga cognitiva de los analistas. En lugar de buscar entre grandes cantidades de alarmas individuales y no coordinadas, los defensores utilizan múltiples capas integradas de detección de redes para establecer pruebas contundentes.
Detección basada en firmas e inteligencia de amenazas: validan rápidamente exploits documentados, capturan amenazas conocidas y archivos maliciosos históricos con alta precisión y detectan la comunicación con la infraestructura adversaria establecida. Sin embargo, para identificar la actividad posterior a la explotación, los kits de herramientas automatizados modernos requieren capas avanzadas de comportamiento y anomalías. Detección de comportamiento: los modelos de comportamiento identifican tácticas, técnicas y procedimientos (TTP) del adversario, independientemente de archivos específicos o códigos de explotación. Por ejemplo, puede detectar tácticas sospechosas de comando y control sin depender de indicadores específicos. Detección de anomalías: la detección de anomalías señala cambios estructurales a partir del tráfico de red de referencia. Por ejemplo, su estación de trabajo puede actuar repentinamente como un escáner de puertos interno, identificar conexiones a varios hosts previamente desconocidos o exhibir patrones de conexión que indican recopilación de datos. Modelos de aprendizaje automático supervisados: estos modelos de aprendizaje automático son mejores para identificar patrones que son difíciles de capturar mediante firmas o lógica basada en reglas, ampliando la cobertura a amenazas que evaden los métodos de detección tradicionales. Le ayuda a ver signos de compromiso en su tráfico cifrado, identificar dominios maliciosos y descubrir túneles dentro de su red. IA: un motor de inteligencia artificial avanzado correlaciona alertas entre diferentes fuentes y capas de telemetría para mapear el comportamiento de los atacantes, en lugar de entregar alertas independientes que obliguen a los analistas a adivinar la gravedad. Esta integración reduce la confusión, rastrea la cadena de eliminación completa y genera confianza en las decisiones operativas. Con inteligencia verificada y correlacionada, los analistas pasan de la validación de alertas a una clasificación y contención rápidas.
Para lograr este nivel de claridad operativa, los líderes de seguridad deben invertir en protección durante todo el ciclo de vida. Esta postura supone una telemetría de red avanzada que puede detectar la actividad del adversario lo suficientemente rápido como para igualar el ritmo operativo de las amenazas de clase Mythos.
La IA es tan efectiva como la evidencia que la respalda
Como capa de defensa, la IA ahora es mejor para clasificar amenazas, automatizar flujos de trabajo y resumir incidentes. Sin embargo, las reglas básicas son absolutas. En otras palabras, la basura entra y sale.
La eficacia de la automatización de la seguridad impulsada por la IA está limitada por un «techo de conocimiento» determinado por los datos de origen, no por la selección del modelo. Incluso los modelos más sofisticados no pueden superar las limitaciones impuestas por la mala calidad o la falta de datos. Invierta en sus datos. Todo lo demás seguirá.
La telemetría de red enriquecida proporciona a la IA la verdad que necesita para llegar a las conclusiones correctas, mapear con precisión la exposición de una empresa, reconstruir rutas de ataque y verificar si el exploit tuvo éxito. Sin esto, las herramientas de IA pueden generar falsos positivos, perder actividades importantes y ralentizar la respuesta a incidentes.
El tráfico de red es una prueba inequívoca de un entorno corporativo. Cuando la IA se basa en estos datos demostrables, proporciona valor de seguridad en lugar de ruido.
De los silos de datos a la defensa unificada
Este contexto de red no es una solución independiente. Lograr el máximo impacto requiere la integración y el enriquecimiento de datos de múltiples herramientas SOC. La verdadera fortaleza de este enfoque radica en su arquitectura de datos abiertos y su alta capacidad de configuración.
Si la plataforma admite estándares de datos abiertos, los analistas pueden correlacionar rápidamente la telemetría de la red con las alertas de identidad y host. Esta perfecta integración proporciona a los equipos de seguridad un rico contexto de red al alcance de sus manos para resolver eventos ambiguos y mapear rutas de ataque desde la intrusión inicial hasta la ejecución. Los datos estructurados y accesibles permiten a los equipos de respuesta a incidentes contener con precisión las intrusiones antes de que se propaguen.
Puntos importantes
La aparición de potentes motores de explotación autónomos como Mythos requiere una evolución en las defensas empresariales. En este contexto, los equipos de seguridad deben evolucionar hacia una arquitectura de defensa que se centre en los datos de la red, conectando datos y herramientas de seguridad dispares. Esta integración proporciona evidencia y contexto que reduce los puntos ciegos y las incertidumbres. A medida que la IA se convierta en un componente central de los SOC modernos, el valor estratégico de la evidencia de la red crecerá exponencialmente.
La evidencia de red integrada y la visibilidad integral permiten a los analistas humanos y los modelos de IA trabajar exactamente desde la misma perspectiva del entorno. Esta perspectiva común reemplaza la especulación con hechos claros y estructurados. Esta estrategia ofrece consistentemente tres resultados operativos clave:
Calidad de detección mejorada: Identifique ataques complejos de varios pasos que evaden las herramientas de una sola capa Investigación más rápida: Utilice registros de red enriquecidos para reconstruir rápidamente incidentes de seguridad Mayor confianza en los resultados: Elimine preguntas operativas y realice una contención de amenazas más rápida
Con una base sólida de evidencia de redes, las organizaciones pueden convertir sus redes en sus activos defensivos más poderosos.
Acerca de la luz central
Corelight proporciona soluciones de detección y respuesta de red (NDR) que aceleran la investigación de amenazas a través de protección impulsada por IA. La plataforma Corelight Open NDR combina una visibilidad integral de la red con un análisis de comportamiento detallado para proporcionar a los equipos de seguridad un contexto procesable y detecciones respaldadas por evidencia. Los profesionales de la seguridad pueden explorar Corelight Network Defense o visitar el sitio web de Corelight para aprender cómo defender su empresa híbrida.
Source link
