¿Qué es la detección y respuesta ante amenazas (TDR)?

La identificación de ciberamenazas se ha vuelto cada vez más difícil a medida que las organizaciones han ampliado su presencia en la nube, han conectado más dispositivos a Internet y han migrado a un lugar de trabajo híbrido. Los actores malintencionados aprovechan esta área expuesta expandida y la fragmentación en las herramientas de seguridad con los siguientes tipos de tácticas:

• Campañas de suplantación de identidad (phishing). Una de las formas más comunes de que los actores malintencionados se infiltren en una empresa es mediante el envío de correos electrónicos que tienen como objetivo engañar a los empleados para que descarguen código malintencionado o proporcionen sus credenciales.
• Malware. Muchos ciberataques implementan software diseñado para dañar equipos y sistemas o recopilar información confidencial.
• Ransomware. Es un tipo de malware. Los atacantes de ransomware secuestran sistemas y datos críticos, amenazando con publicar datos privados o robar recursos en la nube para conseguir bitcoin hasta que se paga un rescate. Recientemente, el ransomware operado por personas, en el que un grupo de ciberataques obtiene acceso a toda la red de una organización, se ha convertido en un problema cada vez mayor para los equipos de seguridad.
• Ataques de denegación de servicio distribuido (DDoS). Con una serie de bots, los actores malintencionados interrumpen un sitio web o servicio al saturarlo de tráfico.
• Amenaza interna. No todas las ciberamenazas provienen de fuera de una organización. También existe el riesgo de que las personas de confianza con acceso a datos confidenciales puedan dañar la organización de forma involuntaria o malintencionada.
• Ataques basados en identidad. La mayoría de las infracciones implican identidades en peligro, que es cuando los ciberataques roban o adivinan credenciales de usuario y las usan para obtener acceso a los sistemas y datos de una organización.
• Ataques de Internet de las cosas (IoT). Los dispositivos IoT también son vulnerables al ciberataque, especialmente los dispositivos heredados que no tienen los controles de seguridad integrados que hacen los dispositivos modernos.
• Ataques a la cadena de suministro. A veces, un actor malintencionado opera sobre una organización manipulando el software o el hardware proporcionado por un proveedor de terceros.
• Inserción de código. Al aprovechar vulnerabilidades en la forma en que el código fuente controla los datos externos, los ciberdelincuentes insertan código malintencionado en una aplicación.

Detección de amenazas
Para anticiparse a los crecientes ataques de ciberseguridad, las organizaciones usan el modelado de amenazas para definir los requisitos de seguridad, identificar vulnerabilidades y riesgos, y priorizar la corrección. Con escenarios hipotéticos, el SOC intenta entrar en la mente de los ciberdelincuentes para que puedan mejorar la capacidad de la organización para evitar o mitigar incidentes de seguridad. El marco MITRE ATT&CK® es un modelo útil para comprender técnicas y tácticas comunes de ciberataques.

Una defensa multicapa requiere herramientas que proporcionen supervisión continua en tiempo real del entorno y expongan posibles problemas de seguridad. Las soluciones también deben superponerse para que, si un método de detección está en peligro, otro detecte el problema y notifique al equipo de seguridad. Las soluciones de detección de ciberataques usan diversos métodos para identificar amenazas, entre los que se incluyen:

• Detección basada en firmas. Muchas soluciones de seguridad examinan el software y el tráfico para identificar firmas únicas asociadas a un tipo específico de malware.
• Detección basada en el comportamiento. Para ayudar a detectar ciberamenazas nuevas y emergentes, las soluciones de seguridad también buscan acciones y comportamientos comunes en los ciberataques.
• Detección basada en anomalías. La inteligencia artificial y el análisis ayudan a los equipos a comprender los comportamientos típicos de los usuarios, dispositivos y software para que puedan identificar algo inusual que pueda indicar un ciberataque.

Aunque el software es fundamental, las personas desempeñan un papel igualmente importante en la detección de ciberataques. Además de evaluar e investigar las alertas generadas por el sistema, los analistas usan técnicas de búsqueda de ciberamenazas para buscar de forma proactiva indicaciones de riesgo, o buscan tácticas, técnicas y procedimientos que sugieran una posible amenaza. Estos enfoques ayudan al SOC a descubrir y detener rápidamente ataques sofisticados y difíciles de detectar.