Hist\u00f3ricamente, el v\u00ednculo entre las pr\u00e1cticas de detecci\u00f3n y respuesta (DR) y la seguridad en la nube ha sido d\u00e9bil. A medida que las organizaciones globales adoptan cada vez m\u00e1s entornos de nube, las estrategias de seguridad se han centrado en gran medida en pr\u00e1cticas de “giro a la izquierda”: proteger el c\u00f3digo, garantizar una postura adecuada en la nube y corregir errores de configuraci\u00f3n. Sin embargo, este enfoque ha llevado a una dependencia excesiva de una multitud de herramientas de recuperaci\u00f3n ante desastres que abarcan infraestructura de nube, cargas de trabajo e incluso aplicaciones. A pesar de estas herramientas avanzadas, las organizaciones suelen tardar semanas o incluso meses en identificar y resolver incidentes. <\/p>\n
![\"Detecci\u00f3n](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/Cinco-pasos-para-impulsar-la-deteccion-y-la-respuesta-en.jpg\" "\\"Detecci\u00f3n")
<\/a><\/div>\nSi a esto le sumamos los desaf\u00edos de la proliferaci\u00f3n de herramientas, los crecientes costos de seguridad en la nube y los abrumadores vol\u00famenes de falsos positivos, queda claro que los equipos de seguridad est\u00e1n al l\u00edmite. Muchos se ven obligados a tomar decisiones dif\u00edciles sobre qu\u00e9 intrusiones en la nube pueden defenderse de manera realista. <\/p>\n
Siguiendo estos cinco pasos espec\u00edficos, los equipos de seguridad pueden mejorar enormemente sus capacidades de detecci\u00f3n y respuesta en tiempo real para ataques en la nube.<\/p>\n
Paso 1: agregar visibilidad y protecci\u00f3n en tiempo de ejecuci\u00f3n <\/h2>\n
Cuando los equipos de seguridad carecen de visibilidad en tiempo real, esencialmente operan a ciegas, incapaces de responder eficazmente a las amenazas. Si bien las herramientas de monitoreo nativas de la nube, las soluciones de seguridad de contenedores y los sistemas EDR ofrecen informaci\u00f3n valiosa, tienden a centrarse en capas espec\u00edficas del entorno. Se logra un enfoque m\u00e1s completo mediante el uso de sensores eBPF (filtro de paquetes extendido Berkeley). eBPF permite una observabilidad profunda y en tiempo real en toda la pila (red, infraestructura, cargas de trabajo y aplicaciones) sin interrumpir los entornos de producci\u00f3n. Al operar a nivel de kernel, ofrece visibilidad sin agregar sobrecarga de rendimiento, lo que la convierte en una poderosa soluci\u00f3n para la seguridad en tiempo de ejecuci\u00f3n.<\/p>\n
A continuaci\u00f3n se muestran algunas capacidades clave que se pueden aprovechar en este paso:<\/p>\n
- \n
- Gr\u00e1ficos de topolog\u00eda:<\/strong> Muestra c\u00f3mo se comunican y conectan los activos h\u00edbridos o de m\u00faltiples nubes.<\/li>\n
- Visibilidad total de los activos:<\/strong> Muestra todos los activos del entorno, incluidos cl\u00fasteres, redes, bases de datos, secretos y sistemas operativos, todo en un solo lugar.<\/li>\n
- Informaci\u00f3n sobre conectividad externa:<\/strong> Identifica conexiones a entidades externas, incluidos detalles sobre el pa\u00eds de origen e informaci\u00f3n DNS.<\/li>\n
- Evaluaciones de riesgos: <\/strong>Evaluar el nivel de riesgo de cada activo, junto con su impacto en el negocio.<\/li>\n<\/ul>\n
![\"Detecci\u00f3n](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/1728924937_300_Cinco-pasos-para-impulsar-la-deteccion-y-la-respuesta-en.png\" "\\"Detecci\u00f3n")
<\/a><\/div>\nPaso 2: utilice una estrategia de detecci\u00f3n de varias capas <\/h2>\n
A medida que los atacantes contin\u00faan evolucionando y evadiendo la detecci\u00f3n, se vuelve m\u00e1s dif\u00edcil encontrar y detener las infracciones. antes<\/em> se desarrollan. El mayor desaf\u00edo al hacerlo radica en detectar intentos de ataque a la nube en los que los adversarios son sigilosos y explotan m\u00faltiples superficies de ataque (desde la explotaci\u00f3n de la red hasta la inyecci\u00f3n de datos dentro de un servicio administrado) y al mismo tiempo evaden la detecci\u00f3n mediante la detecci\u00f3n y respuesta en la nube (CDR), la detecci\u00f3n de cargas de trabajo en la nube y respuesta (CWPP\/EDR) y soluciones de detecci\u00f3n y respuesta de aplicaciones (ADR). Esta estrategia fragmentada ha demostrado ser inadecuada y permite a los atacantes aprovechar las brechas entre capas para pasar desapercibidos.<\/p>\n
La supervisi\u00f3n de la nube, las cargas de trabajo y las capas de aplicaciones en una \u00fanica plataforma proporciona la cobertura y protecci\u00f3n m\u00e1s amplias. Permite correlacionar la actividad de las aplicaciones con los cambios de infraestructura en tiempo real, garantizando que los ataques ya no pasen desapercibidos. <\/p>\n
A continuaci\u00f3n se presentan algunas capacidades clave que se pueden aprovechar en este paso:<\/p>\n
- \n
- Detecci\u00f3n de pila completa<\/strong>: Detecta incidentes de m\u00faltiples fuentes en la nube, aplicaciones, cargas de trabajo, redes y API. <\/li>\n
- Detecci\u00f3n de anomal\u00edas<\/strong>: Utiliza aprendizaje autom\u00e1tico y an\u00e1lisis de comportamiento para identificar desviaciones de los patrones de actividad normales que pueden indicar una amenaza.<\/li>\n
- Detecta amenazas conocidas y desconocidas:<\/strong> Identifica eventos seg\u00fan firmas, IoC, TTP y t\u00e1cticas conocidas de MITRE.<\/li>\n
- Correlaci\u00f3n de incidentes:<\/strong> Correlaciona eventos de seguridad y alertas entre diferentes fuentes para identificar patrones y amenazas potenciales.<\/li>\n<\/ul>\n
![\"Detecci\u00f3n](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/1728924938_675_Cinco-pasos-para-impulsar-la-deteccion-y-la-respuesta-en.png\" "\\"Detecci\u00f3n")
<\/a><\/div>\nComience hoy con la detecci\u00f3n y respuesta de m\u00faltiples capas.<\/a><\/p>\n
Paso 3: vea las vulnerabilidades en el mismo panel que sus incidentes <\/h2>\n
Cuando las vulnerabilidades se a\u00edslan de los datos del incidente, aumenta la posibilidad de retrasos en las respuestas y la supervisi\u00f3n. Esto se debe a que los equipos de seguridad terminan careciendo del contexto que necesitan para comprender c\u00f3mo se explotan las vulnerabilidades o la urgencia de parchearlas en relaci\u00f3n con los incidentes en curso.<\/p>\n
Adem\u00e1s, cuando los esfuerzos de detecci\u00f3n y respuesta aprovechan el monitoreo del tiempo de ejecuci\u00f3n (como se explic\u00f3 anteriormente), la gesti\u00f3n de vulnerabilidades se vuelve mucho m\u00e1s efectiva, centr\u00e1ndose en los riesgos activos y cr\u00edticos para reducir el ruido en m\u00e1s del 90%<\/a>.<\/p>\n
A continuaci\u00f3n se muestran algunas capacidades clave que se pueden aprovechar en este paso:<\/p>\n
- \n
- Priorizaci\u00f3n de riesgos <\/strong>– Eval\u00faa las vulnerabilidades seg\u00fan criterios cr\u00edticos (como si est\u00e1n cargadas en la memoria de las aplicaciones, si se ejecutan, si son p\u00fablicas, si son explotables o reparables) para centrarse en las amenazas que realmente importan.<\/li>\n
- Descubrimiento de la causa ra\u00edz <\/strong>– Encuentra la causa ra\u00edz de cada vulnerabilidad (hasta la capa de la imagen) para abordar la ra\u00edz lo antes posible y corregir m\u00faltiples vulnerabilidades a la vez.<\/li>\n
- Validaci\u00f3n de correcciones<\/strong> – Aprovecha el escaneo ad hoc de im\u00e1genes antes de implementarlas para garantizar que se aborden todas las vulnerabilidades.<\/li>\n
- Cumplimiento de la regulaci\u00f3n<\/strong> – Enumera todas las vulnerabilidades activas como SBOM para cumplir con las regulaciones regionales y de cumplimiento.<\/li>\n<\/ul>\n
Paso 4: Incorporar identidades para comprender “qui\u00e9n”, “cu\u00e1ndo” y “c\u00f3mo”<\/h2>\n
Los actores de amenazas a menudo aprovechan las credenciales comprometidas para ejecutar sus ataques, participando en robo de credenciales, apropiaci\u00f3n de cuentas y m\u00e1s. Esto les permite hacerse pasar por usuarios leg\u00edtimos dentro del entorno y pasar desapercibidos durante horas o incluso d\u00edas. La clave es poder detectar esta suplantaci\u00f3n y la forma m\u00e1s eficaz de hacerlo es estableciendo una l\u00ednea de base para cada identidad, humana o no. Una vez que se comprende el patr\u00f3n de acceso t\u00edpico de una identidad, es f\u00e1cil detectar comportamientos inusuales. <\/p>\n
![\"Detecci\u00f3n](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/1728924939_9_Cinco-pasos-para-impulsar-la-deteccion-y-la-respuesta-en.png\" "\\"Detecci\u00f3n")
<\/a><\/div>\nA continuaci\u00f3n se muestran algunas capacidades clave que se pueden aprovechar en este paso:<\/p>\n
- \n
- Monitoreo de l\u00ednea base:<\/strong> Implementa herramientas de monitoreo que capturan y analizan el comportamiento b\u00e1sico tanto de los usuarios como de las aplicaciones. Estas herramientas deben rastrear los patrones de acceso, el uso de recursos y la interacci\u00f3n con los datos.<\/li>\n
- Seguridad de las identidades humanas: <\/strong>Se integra con proveedores de identidad para obtener visibilidad del uso de la identidad humana, incluidos tiempos de inicio de sesi\u00f3n, ubicaciones, dispositivos y comportamientos, lo que permite una detecci\u00f3n r\u00e1pida de intentos de acceso inusuales o no autorizados.<\/li>\n
- Seguridad de identidades no humanas:<\/strong> Realiza un seguimiento del uso de identidades no humanas, proporcionando informaci\u00f3n sobre sus interacciones con los recursos de la nube y destacando cualquier anomal\u00eda que pueda indicar una amenaza a la seguridad.<\/li>\n
- Seguridad de secretos:<\/strong> Identifica cada secreto en su entorno de nube, rastrea c\u00f3mo se usa en tiempo de ejecuci\u00f3n y resalta si est\u00e1n administrados de forma segura o en riesgo de exposici\u00f3n.<\/li>\n<\/ul>\n
Paso 5: Tener una multitud de acciones de respuesta disponibles para la intervenci\u00f3n contextual<\/h2>\n
Cada intento de infracci\u00f3n tiene sus propios desaf\u00edos que superar, por lo que es esencial contar con una estrategia de respuesta flexible que se adapte a la situaci\u00f3n espec\u00edfica. Por ejemplo, un atacante podr\u00eda implementar un proceso malicioso que requiera una terminaci\u00f3n inmediata, mientras que un evento en la nube diferente podr\u00eda implicar una carga de trabajo comprometida que deba ponerse en cuarentena para evitar da\u00f1os mayores. Una vez que se detecta un incidente, los equipos de seguridad tambi\u00e9n necesitan el contexto para poder investigar r\u00e1pidamente, como historias completas de ataques, evaluaciones de da\u00f1os y gu\u00edas de respuesta. <\/p>\n
A continuaci\u00f3n se presentan algunas capacidades clave que se pueden aprovechar en este paso:<\/p>\n
- \n
- Libros de jugadas: <\/strong>Proporcione respuestas paso a paso para cada incidente detectado para intervenir con confianza y poner fin a la amenaza.<\/li>\n
- Intervenci\u00f3n de ataque personalizada: <\/strong>Ofrece la capacidad de aislar cargas de trabajo comprometidas, bloquear el tr\u00e1fico de red no autorizado o finalizar procesos maliciosos.<\/li>\n
- An\u00e1lisis de causa ra\u00edz:<\/strong> Determina la causa subyacente del incidente para evitar que se repita. Esto implica analizar el vector de ataque, las vulnerabilidades explotadas y las debilidades de las defensas.<\/li>\n
- Integraci\u00f3n con SIEM<\/strong>: Se integra con sistemas de gesti\u00f3n de eventos e informaci\u00f3n de seguridad (SIEM) para mejorar la detecci\u00f3n de amenazas con datos contextuales.<\/li>\n<\/ul>\n
Al implementar estos cinco pasos, los equipos de seguridad pueden aumentar sus capacidades de detecci\u00f3n y respuesta y detener eficazmente las infracciones de la nube en tiempo real con total precisi\u00f3n. El momento de actuar es ahora \u2013 Comience hoy con Sweet Security<\/a>. <\/p>\n
- Intervenci\u00f3n de ataque personalizada: <\/strong>Ofrece la capacidad de aislar cargas de trabajo comprometidas, bloquear el tr\u00e1fico de red no autorizado o finalizar procesos maliciosos.<\/li>\n
- Seguridad de las identidades humanas: <\/strong>Se integra con proveedores de identidad para obtener visibilidad del uso de la identidad humana, incluidos tiempos de inicio de sesi\u00f3n, ubicaciones, dispositivos y comportamientos, lo que permite una detecci\u00f3n r\u00e1pida de intentos de acceso inusuales o no autorizados.<\/li>\n
- Descubrimiento de la causa ra\u00edz <\/strong>– Encuentra la causa ra\u00edz de cada vulnerabilidad (hasta la capa de la imagen) para abordar la ra\u00edz lo antes posible y corregir m\u00faltiples vulnerabilidades a la vez.<\/li>\n
- Detecci\u00f3n de anomal\u00edas<\/strong>: Utiliza aprendizaje autom\u00e1tico y an\u00e1lisis de comportamiento para identificar desviaciones de los patrones de actividad normales que pueden indicar una amenaza.<\/li>\n
- Visibilidad total de los activos:<\/strong> Muestra todos los activos del entorno, incluidos cl\u00fasteres, redes, bases de datos, secretos y sistemas operativos, todo en un solo lugar.<\/li>\n