¿Por qué está ganando fama el threat hunting?

Redacción20/09/2019

3 minutos de lectura

A decir de Panda Security, hay ciberdelincuentes entrenados por gobiernos, empresas de seguridad y organizaciones criminales, que realizan ataques dirigidos con malware propio e incluso utilizan aplicaciones legítimas y goodware para no ser detectados.

Tal situación requiere de una respuesta equivalente para salvaguardar las redes, advirtió, pues una solución de antivirus no funciona más dado que no ha evolucionado en su modelo para proteger contra ataques que utilizan técnicas desconocidas. Tampoco es capaz de identificar los ataques que no utilizan archivos, y que infectan la memoria al escribir directamente en la memoria RAM en lugar de escribir en los sistemas de archivos.

Un porcentaje significativo de los ataques avanzados de hoy utilizan múltiples vectores, muchos de los cuales ni siquiera involucran archivos, por ejemplo, malware basado en memoria, ataques basados en scripts, exploits y el uso de elementos confiables (goodware) del sistema para realizar acciones maliciosas. Se descubre un ataque de día cero casi todas las semanas y hay casi 1 millón de nuevas variantes de malware lanzadas cada semana, si solo uno de ellos es efectivo podría ocasionar un daño enorme económico y en la reputación de la organización, detalló la firma.

¿Qué ofrece el threat hunting?

Al no utilizar malware de ningún tipo, los sistemas de seguridad deben ser capaces de distinguir un ataque de este tipo basándose en el comportamiento exhibido por los usuarios de la red corporativa. Las tecnologías capaces de realizar estas labores se engloban dentro del concepto de threat hunting, el cual está ganando fama como forma de proteger la ciberseguridad de una compañía, ya que las empresas deben trabajar su defensa mucho antes de que sea necesaria y reciclar la forma en que detectan las posibles amenazas.

En la actualidad es necesaria una plataforma que combine plataformas tecnológicas proactivas orquestadas por procesos automatizados en constante aprendizaje y adaptación, todo eso soportado por un grupo de personas expertas y creativas para identificar nuevas técnicas, tácticas y procedimientos que utilicen los atacantes para comprometer a las organizaciones.

Las plataformas de threat hunting deben ser capaces, entre otras cosas, de monitorizar el comportamiento de los equipos, las aplicaciones que se ejecutan en los mismos y sobre todo de los usuarios de la red. Técnicamente, el proceso de threat hunting se fundamenta en un inmenso almacén de datos con todo el comportamiento de las entidades monitorizadas actualizado en tiempo real a medida que suceden los nuevos eventos.

¿Cómo beneficiarse del threat hunting?

Según la compañía, la respuesta es contar con un servicio gestionado, como el de la marca, Threat Hunting & Investigation Service. El equipo de analistas identifican atacantes que estén usando formas y mecanismos completamente nuevos para ejecutar sus ataques. El objetivo de este servicio es detectar ataques para los cuales no hay IOC (Indicadores de Compromiso) o IOA (Indicadores de Ataque) conocidos, por lo que esta no es una tarea de correlación simple en un SIEM; se trata de descubrir y crear nuevos indicadores de ataque.

Mencionó que la empresa ayuda a identificar ciberdelincuentes, en vivo, que se hacen pasar por administradores de sistemas, sin utilizar malware, sin herramientas personalizadas (que serían muy fáciles de identificar para nosotros), sino herramientas administrativas, scripts, PowerShells, etcétera. Y también empleados malintencionados o usuarios descuidados que intenten dañar a la empresa, intenten robar información o causar algún deterioro.

La labor de los threat hunters se sirve de la tecnología para monitorizar y analizar la actividad del sistema, detectar comportamientos anómalos y comprobar si esa anomalía puede entrañar un riesgo real o se trata de un falso positivo. El objetivo de Panda Security es que sus soluciones puedan clasificar automáticamente el 99.98% de las amenazas, dejando únicamente el 0.02% de ellas a los analistas. De esta forma se pueden centrar en ataques realmente peligrosos, concluyó.

[email protected]