Todos los SOC luchan con una pila de alertas. Muy pocas de esas alertas explican cómo comenzó o progresó un ataque. Los datos de red, como los de una plataforma de detección y respuesta de red (NDR), conectan alertas individuales en una línea de tiempo y alimentan los sistemas defensivos que pueden unir todos los eventos en una vista coordinada.
Los equipos de SOC a menudo ven por primera vez la forma de una intrusión a través de una serie de alertas menores que se activan (por ejemplo, cuando una firma coincide con un hash de malware conocido, un umbral marca un pico inusual en inicios de sesión fallidos, o un agente de endpoint detecta actividad sospechosa). Visto a través del panel del SIEM, un ataque a menudo comienza como una serie de eventos distintos con marcas de tiempo relacionadas o superpuestas.
La inteligencia artificial ha acelerado los ataques modernos, permitiendo a los atacantes automatizar el reconocimiento, elaborar cargas útiles dirigidas y ejecutar scripts en segundos. Sin embargo, la velocidad no oculta la necesidad de sigilo. Para evadir la detección, los adversarios deliberadamente prolongan las operaciones, se esconden dentro de herramientas de administración estándar y trabajan en los intervalos silenciosos entre alarmas.
Los adversarios pueden pasar días o semanas dentro de un entorno empresarial antes de que una acción genere una alerta de seguridad de alta prioridad. Cuando finalmente surge una alerta, no necesariamente marca el inicio de un compromiso. De hecho, puede ser un evento en una secuencia mucho más larga. Los analistas que investigan solo el evento desencadenante pueden pasar por alto la actividad encadenada que explica cómo se desarrolló la intrusión.
La anatomía de la progresión silenciosa
Entre el acceso inicial y una alerta de alta gravedad, la actividad del adversario puede mezclarse con las operaciones comerciales ordinarias. Los adversarios comprenden los límites operativos de los equipos de seguridad y los explotan; si cada consulta DNS, solicitud LDAP, conexión SMB o intento de autenticación generara una investigación, las colas del SOC se volverían rápidamente (aún más) inmanejables.
El arte del ataque aprovecha deliberadamente esa realidad.
Los adversarios pueden distribuir el reconocimiento a lo largo de horas o fuentes distribuidas. En lugar de lanzar un escaneo obvio, pueden usar una cuenta comprometida para consultar un controlador de dominio a través de LDAP a un ritmo moderado para mapear usuarios, grupos y sistemas. Un puñado de solicitudes de tickets de servicio Kerberos puede proporcionar credenciales para descifrar fuera de línea, muy lejos de la vista del SOC. Las credenciales válidas luego abren la puerta a SMB o RDP, los mismos servicios que los administradores usan a diario, y el atacante se mueve de host en host. Los archivos pueden reunirse en un sistema interno y comprimirse. Más tarde, ese sistema puede comunicarse con un destino externo a través de HTTPS o DNS a intervalos regulares, con la variación suficiente en el tiempo para parecer tráfico normal mientras exfiltra datos.
Cada paso toma prestado algo de lo que la empresa ya depende.
Si bien las acciones individuales pueden no parecer sospechosas, su importancia a menudo surge de las relaciones y secuencias. Por ejemplo, un host que se comunica con un nuevo sistema una vez puede ser intrascendente. Un host que consulta varios servicios internos, se autentica en un par, establece una sesión SMB y luego se conecta a un destino externo presenta un panorama de investigación diferente. La actividad cobra más sentido cuando se ve a lo largo del tiempo.
Cuando las herramientas aisladas solo ven fragmentos de este tipo de transacción, pueden perder la visión general. El contexto solo se vuelve evidente cuando las actividades y señales se combinan y correlacionan mediante la observación de la red.
Además, los atacantes utilizan cada vez más la IA para automatizar el reconocimiento y moverse más rápido. Los defensores deben aplicar la IA al mismo problema, pero necesitan evidencia de red detallada de un NDR para buscar.
La evidencia entre las alertas
Los equipos de SecOps no tienen que bajar los umbrales de detección y ahogar a los analistas en más alertas solo para detectar la actividad del adversario. Hacerlo sería insostenible de todos modos. Un SOC no puede investigar cada consulta DNS, solicitud de autenticación o conexión como si fuera un incidente. Además, muchos equipos operan con herramientas que muestran que se disparó una alerta pero ofrecen escasos detalles sobre cómo se desarrolló la actividad subyacente.
Para evitar puntos ciegos, los equipos de SOC pueden conservar la telemetría de red subyacente para que un analista pueda volver y revisar qué sucedió cuando una alerta, una interrupción u otra señal les dé una razón para mirar.
Sin embargo, eso requiere más que saber cuándo dos sistemas intercambiaron tráfico. Los datos de red con reconocimiento de protocolo de una plataforma NDR pueden mostrar el tipo de interacción que tuvo lugar, quién o qué participó, cuándo ocurrió y cómo evolucionó esa relación con el tiempo.
Por ejemplo, si una estación de trabajo activa una alerta de endpoint a las 2:14 p.m., la alerta puede mostrar al analista qué sucedió en el endpoint en ese momento. La evidencia de red de un NDR puede extender la línea de tiempo y responder algunas preguntas cruciales:
- ¿La estación de trabajo estaba consultando un dominio inusual antes ese día?
- ¿Se autenticó en otro sistema o estableció conexiones SMB con pares internos?
- ¿Esos sistemas se comunicaron con hosts adicionales?
- ¿La estación de trabajo estableció más tarde una sesión cifrada con un destino externo?
Cada evento individual puede tener explicaciones perfectamente legítimas. Sin embargo, solo en combinación la secuencia proporciona un nivel diferente de contexto.
Para un investigador, ese contexto ayuda a establecer si el evento del endpoint fue un problema aislado o una etapa discreta en una progresión más amplia. Para una investigación asistida por IA, el contexto derivado del NDR proporciona la evidencia necesaria para buscar actividad relacionada en hosts, usuarios, protocolos y tiempo en lugar de tratar cada alerta como un evento separado.
Por qué esto es importante para el SOC de IA
La IA en el SOC cambia la economía de una investigación. Mientras que un analista humano tiene que decidir qué sistemas, usuarios, sesiones y períodos de tiempo merecen atención, un SOC asistido por IA puede buscar en esa misma amplitud de evidencia mucho más rápido, llevando datos relevantes a una vista en minutos en lugar de horas. La correlación y el análisis pueden ocurrir de forma asincrónica, permitiendo a los analistas revisar y consultar un conjunto más amplio de datos mucho antes. Cuando la IA se encarga de la síntesis, el proceso de identificación de patrones es aún más rápido.
Cuando un atacante es paciente y sincroniza metódicamente las acciones a lo largo de períodos más largos, la evidencia puede estar dispersa en cientos de transacciones aparentemente ordinarias. Dado que un analista humano no puede investigar razonablemente cada pieza de evidencia manualmente, el enfoque más práctico es construir un flujo de trabajo automatizado en una plataforma NDR para identificar el contexto y buscar relaciones, y luego dar al analista la evidencia para que pueda tomar una decisión.
El resultado es más actividad examinada, en más sistemas, durante un período más largo. Los beneficios son:
- Ahorro de tiempo: el trabajo manual se reduce significativamente
- Perspectivas más claras: más contexto puede ser descubierto por algoritmos avanzados que buscan entre miles de puntos de datos
- Mejores decisiones: los analistas pueden centrarse en tomar decisiones estratégicas de riesgo en lugar de desmenuzar piezas de alertas
El mismo proceso puede ayudar con problemas operativos. Si una aplicación se cae, por ejemplo, la telemetría de red mostrará qué servicios se estaban comunicando, dónde comenzaron a fallar las comunicaciones, qué dependencias se vieron afectadas y qué cambió alrededor del evento. Si la causa resulta ser maliciosa, la investigación ya tiene un registro de la actividad.
Más allá de las alertas individuales
Las alertas dan a los analistas un punto de partida para una investigación. No necesariamente explican qué sucedió antes, qué sucedió después, qué está sucediendo simultáneamente o si otra actividad en el entorno está relacionada. Los problemas que parecen rutinarios de forma aislada pueden verse muy diferentes cuando se correlacionan los datos y se agrega contexto.
La telemetría de red proporciona la evidencia circundante necesaria para construir un contexto crítico. Los datos con reconocimiento de protocolo del NDR preservan los detalles de las interacciones de red, incluidos ambos extremos de una comunicación, los protocolos y servicios involucrados, las marcas de tiempo de esas interacciones y cómo cambian las interacciones con el tiempo. Es la telemetría que da a los flujos de trabajo de investigación automatizados un cuerpo de evidencia más amplio con el que trabajar al clasificar una alerta de alta prioridad.
Con evidencia disponible para el análisis automatizado, los agentes de IA pueden correlacionar actividad a lo largo del tiempo, conectar comunicaciones entre sistemas y descubrir secuencias que de otro modo permanecerían como eventos separados que parecen inocuos. La capacidad de aplicar contexto a través de comunicaciones y secuencias dispares es lo que permite a los equipos de SOC encontrar la actividad más riesgosa. Sin esta evidencia, las alertas y secuencias individuales pueden seguir presentándose como inofensivas. Los atacantes ya han identificado la oportunidad; ahora es el momento de que los defensores apliquen los mismos principios y se mantengan al día.
Acerca de Corelight:
Su SOC de IA es tan efectivo como los datos que lo respaldan. La detección y respuesta de red (NDR) de Corelight ofrece datos abiertos, transparentes y explicables que ayudan a detectar amenazas evasivas, reducir el tiempo de clasificación y permitir la IA agéntica en todo el SOC. La evidencia de red estructurada de Corelight preserva el contexto a nivel de protocolo para producir un conjunto de datos más completo para la investigación y la IA. Cuando los analistas y la IA pueden razonar a partir de la evidencia en lugar de alertas aisladas o metadatos, pueden validar hallazgos, reconstruir actividades y llegar a conclusiones más confiables. Obtenga más información sobre Corelight en https://corelight.com/cp/elitedefense
Acerca del autor
