Qué es la inteligencia sobre amenazas

En seguridad informática, la dinámica entre atacantes y defensores se asemeja mucho a una partida de ajedrez: ambas partes elaboran continuamente estrategias para derrotar al adversario. Los responsables de las amenazas buscan nuevas vías de ataque, mientras que los defensores hacen todo lo posible para bloquearlos, y ambos bandos repiten y adaptan sus tácticas cada vez. La mejor razón para que una organización invierta en inteligencia avanzada sobre amenazas digitales es poder hallar la manera de salir victoriosa en este combate permanente.

Los mecanismos de defensa básicos, como los cortafuegos y los sistemas de prevención contra intrusos (IPS), son importantes, pero, básicamente, son de naturaleza pasiva. Como parte de un modelo de seguridad activa, la inteligencia sobre amenazas se centra en derrotar los ataques, entre los que se incluyen las amenazas persistentes avanzadas (APT).

Las APT corren a cargo de delincuentes muy capacitados que persiguen invadir el sistema para robar datos, espiar e, incluso, destruir o inutilizar el sistema durante un período de tiempo prolongado, lo que puede culminar con un ransomware una vez que se hayan extraído los datos útiles. Una profunda comprensión de las estrategias de APT aporta ventajas a la hora de estructurar una defensa eficaz.

Una filosofía más activa de la seguridad informática consiste en aprovechar la inteligencia sobre amenazas para que los equipos de seguridad no actúen a ciegas. La inteligencia sobre amenazas saca a la luz no solo las motivaciones, sino también las tácticas, técnicas y procedimientos (TTP) que podrían utilizar los adversarios que hay detrás de ellas.

Por último, los departamentos de informática pueden aprovechar la inteligencia sobre amenazas como una herramienta para ampliar los debates sobre los riesgos con las partes interesadas, como directores de tecnología o Consejos de Administración. Pueden armarse con conocimientos sobre las amenazas y aplicarlos para que sus decisiones estratégicas sintonicen mejor con la tolerancia al riesgo de la empresa.

La inteligencia sobre amenazas digitales (CTI) ofrece un amplio abanico de capacidades, desde casos de uso tácticos y operativos hasta otros más estratégicos.

Inteligencia táctica sobre amenazas

La inteligencia táctica sobre amenazas va dirigida a un público más técnico: desde el personal del centro de operaciones de seguridad (SOC) y los encargados de la respuesta ante incidentes hasta expertos en seguridad. La inteligencia táctica sobre amenazas suele estar disponible en formatos de lectura electrónica. Se integra fácilmente en diversas herramientas y plataformas de inteligencia sobre amenazas mediante API y fuentes programáticas de inteligencia sobre amenazas.

Los datos aprovechados para detectar actividades maliciosas se denominan indicadores de compromiso (IoC) y son elementos cruciales para este tipo de suministro de inteligencia sobre amenazas. Los IoC incluyen direcciones IP vinculadas a amenazas conocidas, nombres de dominio maliciosos y hashes de archivos identificados como dañinos.

Estos indicadores evolucionan muy rápidamente, por lo que es importante contar con una fuente que se actualice constantemente.

Dado que proporciona datos inmediatos y prácticos sin un análisis a largo plazo ni amplia información, la inteligencia táctica sobre amenazas complementa la operativa y estratégica. Si una organización se basa únicamente en la inteligencia táctica sobre amenazas, corre un riesgo mayor de caer en falsos positivos, es decir, casos en los que actividades benignas se etiqueten erróneamente como maliciosas.

Usos y ejemplos de la inteligencia sobre amenazas digitales (CTI) táctica

· Fuentes de amenazas: flujos continuos de datos que aportan información sobre posibles amenazas.

· Alertas en tiempo real: notificaciones inmediatas que informan a las organizaciones sobre las amenazas activas en su entorno.

· Análisis automatizado de malware: procesos automatizados que examinan el software malicioso para comprender su objetivo y el nivel de amenaza que suponen.

Inteligencia operativa sobre amenazas

La inteligencia operativa sobre amenazas se basa en el contexto. Reúne valiosa información sobre los ataques informáticos para identificar cuestiones esenciales sobre operaciones y campañas de los atacantes. Se pone el foco de atención en las tácticas, técnicas y procedimientos (TTP), así como en la intención y el momento de los ataques.

Obtener información no es tarea fácil, ya que se bebe de múltiples fuentes, desde salas de chat, redes sociales y registros de antivirus hasta datos de ataques pasados. Los desafíos que plantea este enfoque derivan del hecho de que los responsables de las amenazas suelen recurrir al cifrado, el lenguaje ambiguo o codificado y las salas de chat privadas. A menudo se aprovecha la minería de datos y el machine learning para procesar grandes volúmenes de datos, pero para generar un análisis definitivo, la información ha de ser contextualizada por expertos.

La inteligencia operativa sobre amenazas, que aprovechan los centros de operaciones de seguridad (SOC), enriquece las metodologías de seguridad, como la gestión de vulnerabilidades, la monitorización de amenazas, la respuesta ante incidentes, etc.

Usos y ejemplos de la inteligencia sobre amenazas digitales (CTI) operativa

· Creación de perfiles de los responsables: comprender y catalogar a los atacantes según sus tácticas, técnicas y procedimientos.

· Priorización de parches: determinar qué vulnerabilidades de software abordar en primer lugar basándose en la inteligencia sobre amenazas.

· Respuesta ante incidentes: medidas adoptadas para gestionar y mitigar las amenazas una vez detectadas.

Inteligencia estratégica sobre amenazas

La inteligencia estratégica sobre amenazas traduce información compleja y detallada a un lenguaje útil y asequible para las partes interesadas, lo que incluye miembros del Consejo de Administración, ejecutivos y responsables de la toma de decisiones de alto nivel. Los resultados de la inteligencia estratégica sobre amenazas pueden incluir presentaciones, informes de riesgos a nivel de toda la organización y comparaciones de riesgos pasados, presentes y futuros, tanto dentro de una organización como respecto a los estándares y mejores prácticas del sector. Identificar las brechas en el cumplimiento es una motivación fundamental de la inteligencia estratégica sobre amenazas.

Aunque se resume en informes, el suministro de este tipo de inteligencia sobre amenazas también debe incluir un amplio análisis de las tendencias locales e internacionales, los riesgos digitales emergentes e, incluso, los factores geopolíticos. Las ofertas de inteligencia estratégica sobre amenazas constituyen un componente esencial de la planificación a largo plazo, la administración de riesgos y las decisiones más amplias en cuanto a políticas. La inteligencia estratégica sobre amenazas es parte integral de la planificación estratégica a largo plazo para guiar a las organizaciones de cara a armonizar las estrategias de seguridad informática con los objetivos empresariales.

Usos y ejemplos de la inteligencia sobre amenazas digitales (CTI) estratégica

· Amenazas internas: desarrollar estrategias integrales para identificar y atajar amenazas originadas dentro de la organización, mediante métodos como el análisis de patrones del comportamiento y registros de acceso.

· Operaciones engañosas: diseñar e implementar estrategias para engañar y desviar a posibles atacantes de forma que revelen sus técnicas e intenciones sin poner en riesgo activos reales.

· Asignación de recursos: determinar cómo asignar mejor los recursos de la seguridad informática basándose en el panorama de amenazas, invertir en nuevas tecnologías de seguridad, contratar personal especializado o destinar fondos a programas de formación de empleados.

Incorporar información sobre amenazas a la estrategia general de seguridad informática de su organización hará que sus defensas sean más proactivas y le permitirá ir un paso por delante de posibles vulneraciones. El proceso de adopción es más estratégico que una mera selección de herramientas, y una implementación eficaz de la inteligencia sobre amenazas requiere de la cooperación de los equipos internos.

·       ¿Cómo se integra la CTI (inteligencia sobre amenazas) con los objetivos de facturación de mi empresa?

Un adecuado enfoque de la CTI protege directamente sus fuentes de facturación y sus procesos manteniendo a salvo los sistemas críticos, preservando la confianza de los clientes y garantizando que su negocio funcione sin problemas ni interrupciones. Asegúrese un correcto equilibrio entre su inversión en CTI y el nivel de protección necesario.

·       ¿En qué consiste una información práctica?

Una información práctica proporcionada por la CTI brinda las medidas claras que puede adoptar inmediatamente un equipo de operaciones o de seguridad para mejorar las defensas de la empresa. Es importante definir claramente y elaborar lo máximo posible este tipo de información, dado que conduce a una mayor seguridad y a una reducción del coste de posibles vulneraciones.

·       ¿Cómo puedo integrar mejor la inteligencia sobre amenazas con mis sistemas actuales?

La integración de la CTI con sus sistemas actuales le ayuda a aprovechar la solidez de su infraestructura de seguridad y mejorar sus capacidades con una mínima inversión adicional. Por ejemplo, mediante la automatización de procesos manuales, su equipo se libera de tareas rutinarias y puede responder más rápidamente ante las amenazas. La integración de la información sobre amenazas debería contribuir a que su equipo actual haga más, más rápidamente y con más precisión, lo que aumenta el retorno de la inversión.

·       ¿Cómo puedo mejorar a largo plazo mi inteligencia sobre amenazas?

Para mejorar a largo plazo su inteligencia sobre amenazas, seleccione una solución de CTI en consonancia con sus necesidades únicas. Busque sistemas que ofrezcan mecanismos de retroalimentación adaptables, que le permitan la optimización y el avance continuados. Encuentre partners de seguridad informática que le ayuden a implementar un sistema de CTI que no solo se ajuste a sus operaciones actuales, sino que evolucione con ellas y le aporte valor y mejoras a largo plazo.

Además de las tres vertientes principales de la inteligencia sobre amenazas digitales descritas anteriormente (táctica, operativa y estratégica), merece la pena mencionar otras herramientas y técnicas empleadas en este campo de las cuales convendría estar al tanto durante el proceso de implementación:

• ·Plataformas de inteligencia sobre amenazas (TIP): Centros como los TIP son vitales para consolidar, enriquecer y analizar la información sobre amenazas recabada en tiempo real desde múltiples fuentes. Para aplicaciones prácticas, hay que plantearse plataformas que ofrezcan períodos de prueba o demostraciones, que permitirán a su equipo evaluar la compatibilidad con sus sistemas existentes. Una plataforma como Advanced Threat Intelligence (ATI) de Bitdefender brinda una idea de esto con IntelliZone, que proporciona datos de una enorme red de sensores y un ecosistema de licencias de tecnología.

• ·Inteligencia de seguridad: Esta filosofía más amplia integra datos externos e internos para plasmar una imagen completa de su panorama de amenazas. Empiece por realizar auditorías internas para identificar las fuentes de datos que puedan enriquecer su inteligencia de seguridad e integrarlas con los datos sobre amenazas externas.

• ·Inteligencia sobre amenazas de código abierto: Aprovechar los datos públicos permite descubrir tendencias y patrones con un coste mínimo o incluso nulo. Empiece por foros y bases de datos fiables, como los que brindan las divisiones del CERT o la información divulgada por organizaciones de confianza en el campo de la seguridad informática. Quienes dan sus primeros pasos en este aspecto, deben buscar una guía reputada para principiantes sobre la inteligencia de amenazas de código abierto o un curso online que pueda guiarles por el proceso de recopilación y análisis de los datos públicos. Hay que asegurarse de verificar toda información contrastándola con otras fuentes fiables para mantener la integridad de los datos.

Todas estas herramientas y técnicas requieren una cuidadosa consideración y un enfoque estratégico en cuanto a su integración. Adáptelos para que se ajusten a sus necesidades y objetivos concretos en materia de seguridad y no dude en buscar asesoramiento profesional para maximizar su eficacia.