C\u00f3mo detectar y evitar que los atacantes utilicen estas diversas t\u00e9cnicas<\/span><\/h2>\nLa ofuscaci\u00f3n es una t\u00e9cnica importante para proteger el software que tambi\u00e9n conlleva riesgos, especialmente cuando la utilizan los autores de malware. En este art\u00edculo, analizamos la ofuscaci\u00f3n, sus efectos y las respuestas a ella.<\/p>\n
\u00bfQu\u00e9 es la ofuscaci\u00f3n?<\/h2>\n
La ofuscaci\u00f3n es una t\u00e9cnica que consiste en dificultar intencionalmente la lectura de informaci\u00f3n, especialmente en la codificaci\u00f3n inform\u00e1tica. Un caso de uso importante es la ofuscaci\u00f3n de datos, en la que se hace que los datos confidenciales sean irreconocibles para protegerlos del acceso no autorizado. Para ello se utilizan varios m\u00e9todos. <\/p>\n
Por ejemplo, en el caso de una tarjeta de cr\u00e9dito, por lo general solo se muestran los \u00faltimos cuatro d\u00edgitos, mientras que los d\u00edgitos restantes se reemplazan por equis o asteriscos. En cambio, el cifrado implica convertir los datos en un formato ilegible que solo se puede descifrar utilizando una clave especial.<\/p>\n
Ofuscaci\u00f3n en el c\u00f3digo<\/h2>\n
Cuando se ofusca un c\u00f3digo inform\u00e1tico, se utiliza un lenguaje complejo y una l\u00f3gica redundante para dificultar la comprensi\u00f3n del c\u00f3digo. \u00bfEl objetivo? Enga\u00f1ar tanto a los lectores humanos como a los programas, como los descompiladores. Para ello, se cifran partes del c\u00f3digo, se eliminan metadatos o se sustituyen los nombres significativos por otros que no lo tienen. Insertar c\u00f3digo no utilizado o sin sentido tambi\u00e9n es una pr\u00e1ctica habitual para disfrazar el c\u00f3digo real. <\/p>\n
Un llamado ofuscador puede automatizar estos procesos y modificar el c\u00f3digo fuente para que a\u00fan funcione pero sea m\u00e1s dif\u00edcil de entender. <\/p>\n
Otros m\u00e9todos de ofuscaci\u00f3n incluyen comprimir todo el programa, hacer que el c\u00f3digo sea ilegible y cambiar el flujo de control para crear una l\u00f3gica no estructurada y dif\u00edcil de mantener. <\/p>\n
Tambi\u00e9n es com\u00fan insertar c\u00f3digo ficticio que no afecta la l\u00f3gica ni el resultado del programa. <\/p>\n
A menudo se combinan varias t\u00e9cnicas para lograr un efecto de m\u00faltiples capas y aumentar la seguridad.<\/p>\n
La otra cara<\/h2>\n
Lamentablemente, la ofuscaci\u00f3n no es solo una protecci\u00f3n, sino tambi\u00e9n un desaf\u00edo. La ofuscaci\u00f3n no solo la utilizan los desarrolladores de software leg\u00edtimos, sino tambi\u00e9n los autores de software malicioso. El objetivo de la ofuscaci\u00f3n es anonimizar a los atacantes cibern\u00e9ticos, reducir el riesgo de detecci\u00f3n y ocultar el malware modificando la firma general y la huella digital del c\u00f3digo malicioso, incluso si la carga \u00fatil es una amenaza conocida. La firma es un hash, una representaci\u00f3n alfanum\u00e9rica \u00fanica de un elemento de malware. Las firmas suelen estar en formato hash, pero tambi\u00e9n pueden ser otra representaci\u00f3n breve de un c\u00f3digo \u00fanico dentro de un elemento de malware. <\/p>\n
En lugar de intentar crear una nueva firma modificando el malware en s\u00ed, la ofuscaci\u00f3n se centra en mecanismos de implementaci\u00f3n para enga\u00f1ar a las soluciones antivirus que se basan en firmas. Comparemos esto con el uso del aprendizaje autom\u00e1tico, el an\u00e1lisis predictivo y la inteligencia artificial para mejorar las defensas.<\/p>\n
La ofuscaci\u00f3n, o el disfraz del c\u00f3digo, puede ser tanto “buena” como “mala”. En el caso de la ofuscaci\u00f3n “mala”, los piratas inform\u00e1ticos combinan varias t\u00e9cnicas para ocultar el malware y crear m\u00faltiples capas de disfraz. Una de estas t\u00e9cnicas son los empaquetadores, que son paquetes de software que comprimen el malware para ocultar su presencia y hacer que el c\u00f3digo original sea ilegible. Luego est\u00e1n los cript\u00f3grafos que cifran el malware o partes del software para restringir el acceso al c\u00f3digo que podr\u00eda alertar a los programas antivirus. <\/p>\n
Otro m\u00e9todo es la inserci\u00f3n de c\u00f3digo muerto, que consiste en insertar c\u00f3digo in\u00fatil en el malware para camuflar la apariencia del programa. Los atacantes tambi\u00e9n pueden utilizar la modificaci\u00f3n de comandos, que consiste en cambiar los c\u00f3digos de comando en los programas de malware. Esto cambia la apariencia del c\u00f3digo, pero no su comportamiento.<\/p>\n
![\"Ofuscaci\u00f3n\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/1722547105_883_Ofuscacion-todo-tiene-dos-caras.png\" "\\"Ofuscaci\u00f3n\\"\/")
<\/a><\/div>\nComo hemos visto, la ofuscaci\u00f3n del c\u00f3digo es s\u00f3lo el primer paso, ya que, por mucho trabajo que ponga el hacker en ofuscar el c\u00f3digo para eludir el EDR, el malware debe comunicarse dentro de la red y con el mundo exterior para tener “\u00e9xito”. Esto significa que la comunicaci\u00f3n tambi\u00e9n debe estar ofuscada. A diferencia del pasado, cuando las redes se escaneaban r\u00e1pidamente y se intentaba extraer datos del orden de terabytes de una sola vez, los atacantes de hoy se comunican de forma m\u00e1s silenciosa para que los sensores e interruptores de las herramientas de monitorizaci\u00f3n no ataquen. <\/p>\n
El objetivo de obtener direcciones IP mediante escaneo, por ejemplo, ahora se sigue m\u00e1s lentamente para pasar desapercibido. El reconocimiento, en el que los actores de amenazas intentan recopilar datos sobre sus v\u00edctimas objetivo, por ejemplo a trav\u00e9s de su arquitectura de red, tambi\u00e9n se est\u00e1 volviendo m\u00e1s lento y menos claro.<\/p>\n
Un m\u00e9todo de ofuscaci\u00f3n com\u00fan es el OR exclusivo (XOR). Este m\u00e9todo oculta los datos de tal manera que solo pueden ser le\u00eddos por personas que vinculen el c\u00f3digo con 0x55 XOR. ROT13 es otro truco en el que se reemplazan las letras por un c\u00f3digo.<\/p>\n
Explosiones del pasado:<\/strong><\/h3>\n\n- Un ejemplo conocido de ofuscaci\u00f3n es el ataque a SolarWinds en 2020. Los piratas inform\u00e1ticos utilizaron la ofuscaci\u00f3n para eludir las defensas y ocultar sus ataques. <\/li>\n
- Otro ejemplo interesante es PowerShell, una herramienta de Microsoft Windows que los atacantes est\u00e1n utilizando de forma abusiva. El malware que utiliza PowerShell oculta sus actividades mediante t\u00e9cnicas como la codificaci\u00f3n de cadenas, la ofuscaci\u00f3n de comandos, la ejecuci\u00f3n din\u00e1mica de c\u00f3digo y m\u00e1s. <\/li>\n
- Otro ejemplo es el ataque XLS.HTML. En este caso, los piratas inform\u00e1ticos utilizaron elaboradas t\u00e9cnicas de ofuscaci\u00f3n para ocultar sus actividades maliciosas. Cambiaron sus m\u00e9todos de cifrado al menos diez veces en un a\u00f1o para evitar ser detectados. Sus t\u00e1cticas inclu\u00edan texto sin formato, codificaci\u00f3n de escape, codificaci\u00f3n Base64 e incluso c\u00f3digo Morse.<\/li>\n
- En otra amenaza, los atacantes aprovecharon vulnerabilidades en ThinkPHP para ejecutar c\u00f3digo remoto en servidores. Instalaron un shell web encubierto llamado “Dama” que permit\u00eda el acceso permanente y otros ataques.<\/li>\n<\/ul>\n
Por qu\u00e9 no deber\u00edas confiar solo en las firmas<\/h2>\n
La detecci\u00f3n basada en firmas es como un viejo amigo: es confiable cuando se trata de amenazas conocidas. Pero cuando se trata de amenazas nuevas y desconocidas, a veces puede resultar un misterio. A continuaci\u00f3n, se indican algunas razones por las que no deber\u00eda confiar \u00fanicamente en las firmas: <\/p>\n
\n- Los autores de malware son verdaderos maestros del escondite. Utilizan diversas t\u00e9cnicas para camuflar sus programas maliciosos. Incluso peque\u00f1os cambios en el c\u00f3digo pueden provocar que la detecci\u00f3n de firmas falle. <\/li>\n
- En el caso del malware polim\u00f3rfico, este se comporta como un camale\u00f3n: cambia constantemente su estructura para evitar ser detectado. Cada vez que se ejecuta, el c\u00f3digo tiene un aspecto diferente. <\/li>\n
- \u00bfFirmas est\u00e1ticas? \u00a1Ni hablar! El malware metam\u00f3rfico es a\u00fan m\u00e1s complicado. Se adapta durante la ejecuci\u00f3n y cambia su c\u00f3digo de forma din\u00e1mica, lo que hace que sea casi imposible detectarlo con firmas est\u00e1ticas. <\/li>\n
- Adem\u00e1s, los exploits de d\u00eda cero se comportan como el “nuevo chico del barrio”: son nuevos y desconocidos, y los sistemas basados \u200b\u200ben firmas no tienen posibilidad de reconocerlos. <\/li>\n
- Adem\u00e1s, cuando una soluci\u00f3n basada en firmas arroja demasiados falsos positivos, se vuelve ineficiente. Demasiadas alertas falsas en las actividades diarias afectan a su equipo de seguridad y desperdician recursos valiosos.<\/li>\n<\/ol>\n
En resumen, la detecci\u00f3n de firmas, por ejemplo en un EDR, es una herramienta \u00fatil, pero no es suficiente por s\u00ed sola para evitar todas las amenazas. Es esencial una estrategia de seguridad m\u00e1s integral que tambi\u00e9n incluya an\u00e1lisis de comportamiento, aprendizaje autom\u00e1tico y otras t\u00e9cnicas modernas. <\/p>\n
Por qu\u00e9 son tan importantes las herramientas NDR<\/h2>\n
Las soluciones de detecci\u00f3n de intrusos basadas en anomal\u00edas son como detectives que vigilan el comportamiento normal de un sistema y hacen sonar la alarma cuando detectan una actividad inusual. Herramientas de detecci\u00f3n y respuesta de red (NDR)<\/a> Incluso van un paso m\u00e1s all\u00e1: se adaptan constantemente para mantenerse un paso por delante del cambiante panorama de las amenazas cibern\u00e9ticas y ofrecen un nivel de seguridad significativamente mayor que los enfoques tradicionales basados \u200b\u200ben firmas a trav\u00e9s de su an\u00e1lisis e integraci\u00f3n avanzados. Son capaces de detectar y defenderse tanto de amenazas conocidas como desconocidas.<\/p>\n![\"Ofuscaci\u00f3n\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/1722547106_232_Ofuscacion-todo-tiene-dos-caras.png\" "\\"Ofuscaci\u00f3n\\"\/")
<\/a><\/div>\nAs\u00ed es como lo hacen: <\/strong><\/h3>\n\n- An\u00e1lisis del comportamiento:<\/b> Herramientas NDR<\/a> Monitorean el tr\u00e1fico de la red y analizan el comportamiento. Detectan patrones inusuales que podr\u00edan indicar una comunicaci\u00f3n de comando y control (C&C), como transferencias de datos irregulares.<\/li>\n
- Monitoreo de protocolo: <\/b>Examinan solicitudes HTTP, tr\u00e1fico DNS y otros protocolos para detectar comportamientos o comunicaciones sospechosas que puedan estar asociadas con malware ofuscado.<\/li>\n
- An\u00e1lisis de metadatos: <\/b>Las herramientas NDR analizan metadatos para detectar patrones inusuales que indiquen actividad sospechosa. Los modelos de aprendizaje autom\u00e1tico ayudan a identificar t\u00e9cnicas de ofuscaci\u00f3n t\u00edpicas que son visibles a trav\u00e9s de comportamientos sospechosos en el tr\u00e1fico de la red.<\/li>\n
- Monitoreo de la comunicaci\u00f3n a largo plazo: <\/b>Como la ofuscaci\u00f3n de las comunicaciones es ahora crucial para los piratas inform\u00e1ticos, ya que adoptan t\u00e9cnicas m\u00e1s lentas y sigilosas para evadir la detecci\u00f3n y recopilar datos dentro y fuera de las redes, es \u00fatil que NDR tambi\u00e9n tenga en cuenta per\u00edodos de tiempo m\u00e1s largos, por ejemplo, 3 d\u00edas, adem\u00e1s de su capacidad para realizar ejecuciones por lotes, por ejemplo, en minutos, para tener valores comparativos y monitorear y detectar irregularidades, y la alerta en tiempo real dar\u00eda lugar a una gran cantidad de alertas si se detecta un escaneo con un ping cada minuto aproximadamente. Pero, \u00bfcada ping es un ataque? \u00a1Por supuesto que no!<\/li>\n
- Mitre ATT&CK y ZEEK<\/b>:Estos protocolos brindan informaci\u00f3n valiosa sobre las amenazas que utilizan la ofuscaci\u00f3n. Su integraci\u00f3n con herramientas NDR mejora significativamente las capacidades de detecci\u00f3n de amenazas.<\/li>\n
- Intercambio de datos sobre amenazas:<\/b> Las herramientas NDR comparten datos sobre amenazas con otras soluciones de seguridad. Esto permite una detecci\u00f3n m\u00e1s r\u00e1pida de t\u00e9cnicas de ofuscaci\u00f3n conocidas y comportamientos sospechosos. La integraci\u00f3n con herramientas EDR les permite correlacionar la actividad sospechosa en los endpoints con el tr\u00e1fico de la red, lo que mejora significativamente el an\u00e1lisis de seguridad.<\/li>\n<\/ul>\n
![\"Por](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/1722547107_213_Ofuscacion-todo-tiene-dos-caras.png\" "\\"Por")
<\/a><\/div>\nPara m\u00e1s informaci\u00f3n sobre Por qu\u00e9 el NDR es una herramienta de seguridad crucial<\/strong> y c\u00f3mo detecta incluso las amenazas m\u00e1s avanzadas y formas complejas de ofuscaci\u00f3n, Descargue nuestro informe t\u00e9cnico<\/a> sobre la detecci\u00f3n de amenazas persistentes avanzadas (APT).<\/p>\nPara ver c\u00f3mo act\u00faa NDR en su red corporativa y exactamente c\u00f3mo detecta y responde a las APT, Mire nuestro video grabado de detecci\u00f3n de APT<\/a>.<\/p>\n
![\"Ofuscaci\u00f3n\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/Ofuscacion-todo-tiene-dos-caras.png\" "\\"Ofuscaci\u00f3n\\"\/")
<\/a><\/div>\nComo hemos visto, la ofuscaci\u00f3n del c\u00f3digo es s\u00f3lo el primer paso, ya que, por mucho trabajo que ponga el hacker en ofuscar el c\u00f3digo para eludir el EDR, el malware debe comunicarse dentro de la red y con el mundo exterior para tener “\u00e9xito”. Esto significa que la comunicaci\u00f3n tambi\u00e9n debe estar ofuscada. A diferencia del pasado, cuando las redes se escaneaban r\u00e1pidamente y se intentaba extraer datos del orden de terabytes de una sola vez, los atacantes de hoy se comunican de forma m\u00e1s silenciosa para que los sensores e interruptores de las herramientas de monitorizaci\u00f3n no ataquen. <\/p>\n
El objetivo de obtener direcciones IP mediante escaneo, por ejemplo, ahora se sigue m\u00e1s lentamente para pasar desapercibido. El reconocimiento, en el que los actores de amenazas intentan recopilar datos sobre sus v\u00edctimas objetivo, por ejemplo a trav\u00e9s de su arquitectura de red, tambi\u00e9n se est\u00e1 volviendo m\u00e1s lento y menos claro.<\/p>\n
Un m\u00e9todo de ofuscaci\u00f3n com\u00fan es el OR exclusivo (XOR). Este m\u00e9todo oculta los datos de tal manera que solo pueden ser le\u00eddos por personas que vinculen el c\u00f3digo con 0x55 XOR. ROT13 es otro truco en el que se reemplazan las letras por un c\u00f3digo.<\/p>\n
Explosiones del pasado:<\/strong><\/h3>\n\n- Un ejemplo conocido de ofuscaci\u00f3n es el ataque a SolarWinds en 2020. Los piratas inform\u00e1ticos utilizaron la ofuscaci\u00f3n para eludir las defensas y ocultar sus ataques. <\/li>\n
- Otro ejemplo interesante es PowerShell, una herramienta de Microsoft Windows que los atacantes est\u00e1n utilizando de forma abusiva. El malware que utiliza PowerShell oculta sus actividades mediante t\u00e9cnicas como la codificaci\u00f3n de cadenas, la ofuscaci\u00f3n de comandos, la ejecuci\u00f3n din\u00e1mica de c\u00f3digo y m\u00e1s. <\/li>\n
- Otro ejemplo es el ataque XLS.HTML. En este caso, los piratas inform\u00e1ticos utilizaron elaboradas t\u00e9cnicas de ofuscaci\u00f3n para ocultar sus actividades maliciosas. Cambiaron sus m\u00e9todos de cifrado al menos diez veces en un a\u00f1o para evitar ser detectados. Sus t\u00e1cticas inclu\u00edan texto sin formato, codificaci\u00f3n de escape, codificaci\u00f3n Base64 e incluso c\u00f3digo Morse.<\/li>\n
- En otra amenaza, los atacantes aprovecharon vulnerabilidades en ThinkPHP para ejecutar c\u00f3digo remoto en servidores. Instalaron un shell web encubierto llamado “Dama” que permit\u00eda el acceso permanente y otros ataques.<\/li>\n<\/ul>\n
Por qu\u00e9 no deber\u00edas confiar solo en las firmas<\/h2>\n
La detecci\u00f3n basada en firmas es como un viejo amigo: es confiable cuando se trata de amenazas conocidas. Pero cuando se trata de amenazas nuevas y desconocidas, a veces puede resultar un misterio. A continuaci\u00f3n, se indican algunas razones por las que no deber\u00eda confiar \u00fanicamente en las firmas: <\/p>\n
\n- Los autores de malware son verdaderos maestros del escondite. Utilizan diversas t\u00e9cnicas para camuflar sus programas maliciosos. Incluso peque\u00f1os cambios en el c\u00f3digo pueden provocar que la detecci\u00f3n de firmas falle. <\/li>\n
- En el caso del malware polim\u00f3rfico, este se comporta como un camale\u00f3n: cambia constantemente su estructura para evitar ser detectado. Cada vez que se ejecuta, el c\u00f3digo tiene un aspecto diferente. <\/li>\n
- \u00bfFirmas est\u00e1ticas? \u00a1Ni hablar! El malware metam\u00f3rfico es a\u00fan m\u00e1s complicado. Se adapta durante la ejecuci\u00f3n y cambia su c\u00f3digo de forma din\u00e1mica, lo que hace que sea casi imposible detectarlo con firmas est\u00e1ticas. <\/li>\n
- Adem\u00e1s, los exploits de d\u00eda cero se comportan como el “nuevo chico del barrio”: son nuevos y desconocidos, y los sistemas basados \u200b\u200ben firmas no tienen posibilidad de reconocerlos. <\/li>\n
- Adem\u00e1s, cuando una soluci\u00f3n basada en firmas arroja demasiados falsos positivos, se vuelve ineficiente. Demasiadas alertas falsas en las actividades diarias afectan a su equipo de seguridad y desperdician recursos valiosos.<\/li>\n<\/ol>\n
En resumen, la detecci\u00f3n de firmas, por ejemplo en un EDR, es una herramienta \u00fatil, pero no es suficiente por s\u00ed sola para evitar todas las amenazas. Es esencial una estrategia de seguridad m\u00e1s integral que tambi\u00e9n incluya an\u00e1lisis de comportamiento, aprendizaje autom\u00e1tico y otras t\u00e9cnicas modernas. <\/p>\n
Por qu\u00e9 son tan importantes las herramientas NDR<\/h2>\n
Las soluciones de detecci\u00f3n de intrusos basadas en anomal\u00edas son como detectives que vigilan el comportamiento normal de un sistema y hacen sonar la alarma cuando detectan una actividad inusual. Herramientas de detecci\u00f3n y respuesta de red (NDR)<\/a> Incluso van un paso m\u00e1s all\u00e1: se adaptan constantemente para mantenerse un paso por delante del cambiante panorama de las amenazas cibern\u00e9ticas y ofrecen un nivel de seguridad significativamente mayor que los enfoques tradicionales basados \u200b\u200ben firmas a trav\u00e9s de su an\u00e1lisis e integraci\u00f3n avanzados. Son capaces de detectar y defenderse tanto de amenazas conocidas como desconocidas.<\/p>\n<\/a><\/div>\nAs\u00ed es como lo hacen: <\/strong><\/h3>\n\n- An\u00e1lisis del comportamiento:<\/b> Herramientas NDR<\/a> Monitorean el tr\u00e1fico de la red y analizan el comportamiento. Detectan patrones inusuales que podr\u00edan indicar una comunicaci\u00f3n de comando y control (C&C), como transferencias de datos irregulares.<\/li>\n
- Monitoreo de protocolo: <\/b>Examinan solicitudes HTTP, tr\u00e1fico DNS y otros protocolos para detectar comportamientos o comunicaciones sospechosas que puedan estar asociadas con malware ofuscado.<\/li>\n
- An\u00e1lisis de metadatos: <\/b>Las herramientas NDR analizan metadatos para detectar patrones inusuales que indiquen actividad sospechosa. Los modelos de aprendizaje autom\u00e1tico ayudan a identificar t\u00e9cnicas de ofuscaci\u00f3n t\u00edpicas que son visibles a trav\u00e9s de comportamientos sospechosos en el tr\u00e1fico de la red.<\/li>\n
- Monitoreo de la comunicaci\u00f3n a largo plazo: <\/b>Como la ofuscaci\u00f3n de las comunicaciones es ahora crucial para los piratas inform\u00e1ticos, ya que adoptan t\u00e9cnicas m\u00e1s lentas y sigilosas para evadir la detecci\u00f3n y recopilar datos dentro y fuera de las redes, es \u00fatil que NDR tambi\u00e9n tenga en cuenta per\u00edodos de tiempo m\u00e1s largos, por ejemplo, 3 d\u00edas, adem\u00e1s de su capacidad para realizar ejecuciones por lotes, por ejemplo, en minutos, para tener valores comparativos y monitorear y detectar irregularidades, y la alerta en tiempo real dar\u00eda lugar a una gran cantidad de alertas si se detecta un escaneo con un ping cada minuto aproximadamente. Pero, \u00bfcada ping es un ataque? \u00a1Por supuesto que no!<\/li>\n
- Mitre ATT&CK y ZEEK<\/b>:Estos protocolos brindan informaci\u00f3n valiosa sobre las amenazas que utilizan la ofuscaci\u00f3n. Su integraci\u00f3n con herramientas NDR mejora significativamente las capacidades de detecci\u00f3n de amenazas.<\/li>\n
- Intercambio de datos sobre amenazas:<\/b> Las herramientas NDR comparten datos sobre amenazas con otras soluciones de seguridad. Esto permite una detecci\u00f3n m\u00e1s r\u00e1pida de t\u00e9cnicas de ofuscaci\u00f3n conocidas y comportamientos sospechosos. La integraci\u00f3n con herramientas EDR les permite correlacionar la actividad sospechosa en los endpoints con el tr\u00e1fico de la red, lo que mejora significativamente el an\u00e1lisis de seguridad.<\/li>\n<\/ul>\n<\/a><\/div>\n
Para m\u00e1s informaci\u00f3n sobre Por qu\u00e9 el NDR es una herramienta de seguridad crucial<\/strong> y c\u00f3mo detecta incluso las amenazas m\u00e1s avanzadas y formas complejas de ofuscaci\u00f3n, Descargue nuestro informe t\u00e9cnico<\/a> sobre la detecci\u00f3n de amenazas persistentes avanzadas (APT).<\/p>\nPara ver c\u00f3mo act\u00faa NDR en su red corporativa y exactamente c\u00f3mo detecta y responde a las APT, Mire nuestro video grabado de detecci\u00f3n de APT<\/a>.<\/p>\n
Por qu\u00e9 no deber\u00edas confiar solo en las firmas<\/h2>\n
La detecci\u00f3n basada en firmas es como un viejo amigo: es confiable cuando se trata de amenazas conocidas. Pero cuando se trata de amenazas nuevas y desconocidas, a veces puede resultar un misterio. A continuaci\u00f3n, se indican algunas razones por las que no deber\u00eda confiar \u00fanicamente en las firmas: <\/p>\n
- \n
- Los autores de malware son verdaderos maestros del escondite. Utilizan diversas t\u00e9cnicas para camuflar sus programas maliciosos. Incluso peque\u00f1os cambios en el c\u00f3digo pueden provocar que la detecci\u00f3n de firmas falle. <\/li>\n
- En el caso del malware polim\u00f3rfico, este se comporta como un camale\u00f3n: cambia constantemente su estructura para evitar ser detectado. Cada vez que se ejecuta, el c\u00f3digo tiene un aspecto diferente. <\/li>\n
- \u00bfFirmas est\u00e1ticas? \u00a1Ni hablar! El malware metam\u00f3rfico es a\u00fan m\u00e1s complicado. Se adapta durante la ejecuci\u00f3n y cambia su c\u00f3digo de forma din\u00e1mica, lo que hace que sea casi imposible detectarlo con firmas est\u00e1ticas. <\/li>\n
- Adem\u00e1s, los exploits de d\u00eda cero se comportan como el “nuevo chico del barrio”: son nuevos y desconocidos, y los sistemas basados \u200b\u200ben firmas no tienen posibilidad de reconocerlos. <\/li>\n
- Adem\u00e1s, cuando una soluci\u00f3n basada en firmas arroja demasiados falsos positivos, se vuelve ineficiente. Demasiadas alertas falsas en las actividades diarias afectan a su equipo de seguridad y desperdician recursos valiosos.<\/li>\n<\/ol>\n
En resumen, la detecci\u00f3n de firmas, por ejemplo en un EDR, es una herramienta \u00fatil, pero no es suficiente por s\u00ed sola para evitar todas las amenazas. Es esencial una estrategia de seguridad m\u00e1s integral que tambi\u00e9n incluya an\u00e1lisis de comportamiento, aprendizaje autom\u00e1tico y otras t\u00e9cnicas modernas. <\/p>\n
Por qu\u00e9 son tan importantes las herramientas NDR<\/h2>\n
Las soluciones de detecci\u00f3n de intrusos basadas en anomal\u00edas son como detectives que vigilan el comportamiento normal de un sistema y hacen sonar la alarma cuando detectan una actividad inusual. Herramientas de detecci\u00f3n y respuesta de red (NDR)<\/a> Incluso van un paso m\u00e1s all\u00e1: se adaptan constantemente para mantenerse un paso por delante del cambiante panorama de las amenazas cibern\u00e9ticas y ofrecen un nivel de seguridad significativamente mayor que los enfoques tradicionales basados \u200b\u200ben firmas a trav\u00e9s de su an\u00e1lisis e integraci\u00f3n avanzados. Son capaces de detectar y defenderse tanto de amenazas conocidas como desconocidas.<\/p>\n
<\/a><\/div>\nAs\u00ed es como lo hacen: <\/strong><\/h3>\n
- \n
- An\u00e1lisis del comportamiento:<\/b> Herramientas NDR<\/a> Monitorean el tr\u00e1fico de la red y analizan el comportamiento. Detectan patrones inusuales que podr\u00edan indicar una comunicaci\u00f3n de comando y control (C&C), como transferencias de datos irregulares.<\/li>\n
- Monitoreo de protocolo: <\/b>Examinan solicitudes HTTP, tr\u00e1fico DNS y otros protocolos para detectar comportamientos o comunicaciones sospechosas que puedan estar asociadas con malware ofuscado.<\/li>\n
- An\u00e1lisis de metadatos: <\/b>Las herramientas NDR analizan metadatos para detectar patrones inusuales que indiquen actividad sospechosa. Los modelos de aprendizaje autom\u00e1tico ayudan a identificar t\u00e9cnicas de ofuscaci\u00f3n t\u00edpicas que son visibles a trav\u00e9s de comportamientos sospechosos en el tr\u00e1fico de la red.<\/li>\n
- Monitoreo de la comunicaci\u00f3n a largo plazo: <\/b>Como la ofuscaci\u00f3n de las comunicaciones es ahora crucial para los piratas inform\u00e1ticos, ya que adoptan t\u00e9cnicas m\u00e1s lentas y sigilosas para evadir la detecci\u00f3n y recopilar datos dentro y fuera de las redes, es \u00fatil que NDR tambi\u00e9n tenga en cuenta per\u00edodos de tiempo m\u00e1s largos, por ejemplo, 3 d\u00edas, adem\u00e1s de su capacidad para realizar ejecuciones por lotes, por ejemplo, en minutos, para tener valores comparativos y monitorear y detectar irregularidades, y la alerta en tiempo real dar\u00eda lugar a una gran cantidad de alertas si se detecta un escaneo con un ping cada minuto aproximadamente. Pero, \u00bfcada ping es un ataque? \u00a1Por supuesto que no!<\/li>\n
- Mitre ATT&CK y ZEEK<\/b>:Estos protocolos brindan informaci\u00f3n valiosa sobre las amenazas que utilizan la ofuscaci\u00f3n. Su integraci\u00f3n con herramientas NDR mejora significativamente las capacidades de detecci\u00f3n de amenazas.<\/li>\n
- Intercambio de datos sobre amenazas:<\/b> Las herramientas NDR comparten datos sobre amenazas con otras soluciones de seguridad. Esto permite una detecci\u00f3n m\u00e1s r\u00e1pida de t\u00e9cnicas de ofuscaci\u00f3n conocidas y comportamientos sospechosos. La integraci\u00f3n con herramientas EDR les permite correlacionar la actividad sospechosa en los endpoints con el tr\u00e1fico de la red, lo que mejora significativamente el an\u00e1lisis de seguridad.<\/li>\n<\/ul>\n
<\/a><\/div>\nPara m\u00e1s informaci\u00f3n sobre Por qu\u00e9 el NDR es una herramienta de seguridad crucial<\/strong> y c\u00f3mo detecta incluso las amenazas m\u00e1s avanzadas y formas complejas de ofuscaci\u00f3n, Descargue nuestro informe t\u00e9cnico<\/a> sobre la detecci\u00f3n de amenazas persistentes avanzadas (APT).<\/p>\n
Para ver c\u00f3mo act\u00faa NDR en su red corporativa y exactamente c\u00f3mo detecta y responde a las APT, Mire nuestro video grabado de detecci\u00f3n de APT<\/a>.<\/p>\n
- Monitoreo de protocolo: <\/b>Examinan solicitudes HTTP, tr\u00e1fico DNS y otros protocolos para detectar comportamientos o comunicaciones sospechosas que puedan estar asociadas con malware ofuscado.<\/li>\n
- An\u00e1lisis del comportamiento:<\/b> Herramientas NDR<\/a> Monitorean el tr\u00e1fico de la red y analizan el comportamiento. Detectan patrones inusuales que podr\u00edan indicar una comunicaci\u00f3n de comando y control (C&C), como transferencias de datos irregulares.<\/li>\n