¿Que están diciendo qué sobre nosotros?!
Hemos visto algunos puntos de vista bastante interesantes sobre cómo hacemos lo que hacemos y por qué, detalles sobre nuestra tecnología y las capacidades que poseemos.
Con todo el tiempo que pasamos investigando intrusiones, haciendo ingeniería inversa de malware, cazando actores maliciosos y, en general, intentando hacer que el mundo de la seguridad sea más seguro, puede ser difícil —especialmente si eres nuevo aquí— identificar exactamente qué hace Huntress y cómo lo hace.
Queríamos aclarar las cosas al estilo Huntress: con total transparencia. ¡Aquí vamos!
¿Qué es exactamente una "Huntress"?
En aras del juego limpio, nos gustaría señalar algunas de las ideas erróneas y mitos que circulan para aclarar qué es lo que realmente hacemos.
Huntress existe para ayudar a proteger al 99%: las pequeñas y medianas empresas que carecen de los recursos para defenderse adecuadamente de las ciberamenazas actuales.
Qué ofrecemos
Huntress brinda protección gestionada de endpoints en The Huntress Managed Security Platform, aprovechando la Detección y respuesta para endpoints (EDR).
Usamos operadores humanos que investigan las amenazas de ciberseguridad y las categorizan. Luego, nuestro centro de operaciones de seguridad (SOC) 24/7 ofrece una guía de remediación detallada y personalizada que, muchas veces, se reduce a un solo clic dentro del panel de Huntress. Por último, enviamos un informe a nuestros socios y clientes con los detalles del incidente en cuestión.
También adquirimos recientemente una plataforma de security awareness training para proteger —y educar— al 99%.
Los mitos
Ahora que ya tienes una buena idea de lo que hacemos, veamos algunas de las cosas que hemos escuchado por ahí.
Mito n.º 1: Huntress no puede hacer nada sin que otros productos de ciberseguridad detecten las cosas primero.
Un componente del conjunto de herramientas de Huntress —Managed Antivirus— aprovecha Microsoft Defender para notificar a los analistas sobre amenazas que ya han sido puestas en cuarentena. Las demás herramientas de nuestro arsenal no tienen esa misma dependencia, pero no subestimemos a Managed AV. Kyle Hanslovan, Annie Ballew y Matt Anderson han compartido cómo el Managed AV de Huntress ha frustrado a actores de amenazas avanzados.
Aunque Managed AV es bastante bueno, no es perfecto. Tener antivirus por sí solo no es suficiente; las capacidades de monitoreo y detección son esenciales en el panorama de seguridad actual. Con la incorporación de Managed EDR —la propia solución EDR de Huntress— a nuestra plataforma, podemos ver todo tipo de ataques y seguir a un actor de amenazas mientras intenta avanzar por la cadena de ataque cibernético. Ya sea que un adversario esté en su fase de descubrimiento intentando enumerar el Active Directory o tratando de escalar privilegios, Managed EDR lo ve todo.
En un webinar del verano de 2022, Ed Murphy, Josh Lambert y Sharon Martin compartieron el recorrido de Managed EDR. Para el lector curioso, también encontrarás que este webinar muestra intrusiones de seguridad reales que Managed EDR ha permitido resolver al equipo del SOC de Huntress.
Y, además, el pan de cada día de Huntress fue y sigue siendo nuestra herramienta de detección de puntos de apoyo (footholds). Nuestras detecciones, alertas e informes de persistencia son desarrollados internamente, sin depender de otros productos de seguridad. Esto también es cierto para nuestras herramientas Ransomware Canary.
Nuestra herramienta External Recon revela el perímetro de red externo de una organización, destacando puertos y servicios expuestos. Los analistas pueden avisar con delicadeza a un socio o cliente cuando quizás tienen abierto a internet un puerto indeseado que tal vez no quieren exponer (te estoy mirando a ti, RDP!).
Mito n.º 2: Huntress no hace nada para mantener seguras las herramientas de RMM/TI.
Fuimos de gran ayuda en una vulnerabilidad particularmente grave de una herramienta de RMM en julio de 2021, siendo los primeros en identificarla y trabajando con el proveedor y la comunidad de MSP para ayudar a mantener los sistemas seguros.
Ahora bien, esto no es algo que nuestro conjunto de herramientas haga de forma estándar. Fue un momento en el que Huntress vio un problema y decidió intervenir y ayudar, ya que teníamos la experiencia para hacerlo.
Algo de lo que nos sentimos orgullosos es de nuestra mentalidad impulsada por la comunidad. Así que, aunque nuestras herramientas no estén diseñadas específicamente para buscar vulnerabilidades en herramientas de RMM/TI, puedes estar seguro de que estaremos ahí si vuelve a ocurrir algún problema similar al que vimos. Así es Huntress; no podemos evitarlo… ¡Vivimos entre las sombras para que tú no tengas que hacerlo! #ShadyByNature
Mito n.º 3: No hay respuesta automatizada ante ransomware integrada en el producto.
El ransomware está al final de la cadena de ataque cibernético. Un actor de ransomware tiene que ejecutar muchos movimientos previos en una red antes de causar ese impacto. Y durante todo ese tiempo, Huntress está monitoreando, trabajando contigo para neutralizar la amenaza de seguridad. El Aislamiento del Host nos permite frustrar una campaña adversaria antes de que se convierta en un riesgo para el negocio.
El aislamiento puede escalarse fácilmente para incluir una sola máquina o toda la organización. Además, los socios y clientes pueden etiquetar máquinas específicas para que el aislamiento masivo no las afecte. Para detener a un actor de amenazas en medio de la implementación de ransomware, por ejemplo, ha sido increíblemente útil aislar masivamente todas las máquinas del dominio, negando al adversario su objetivo de extorsión.
Como parte de nuestro conjunto de herramientas relacionadas con ransomware, implementamos archivos señuelo (canary) para alertarnos de un evento de cifrado malicioso (piensa en la analogía del 'canario en la mina de carbón': mismo principio).
No permitimos que nada active el aislamiento automáticamente. Esto siempre lo inicia un analista del SOC, quien habrá evaluado la validez de la alerta del señuelo antes de poner la máquina en cuarentena. El aislamiento impide que el ransomware siga propagándose y expulsa al actor de amenazas, evitando que se conecte a esa máquina.
Para el lector curioso, no automatizamos el aislamiento por varias razones, la principal es que los falsos positivos pueden activarse por actividades de soluciones de cifrado legítimas y autorizadas (como Microsoft EFS). ¡No nos dedicamos a poner máquinas en cuarentena sin una buena razón!
Mito n.º 4: Huntress no puede detectar ataques sin archivos (fileless) en los endpoints.
Huntress Managed EDR, una vez más, puede trabajar tanto con malware basado en archivos como sin archivos, como el malware Kovter, por ejemplo. Casi todo lo que hace una computadora tiene que iniciarse mediante un proceso; abarcamos un amplio espectro con Managed EDR. Pero demos un paso atrás y entremos en detalles un poco más técnicos sobre el mito del fileless.
Que algo "toque el disco" en forma de archivo, o permanezca en memoria, es irrelevante para Managed EDR. Managed EDR monitorea los procesos de la computadora y no depende de los registros de eventos de Windows, del monitoreo del sistema de archivos, ni de nada parecido.
Y, ya que estamos, ¿qué quieren decir los miembros de la comunidad cuando dicen fileless?
El malware sin archivos puede compilarse una vez que llega a la máquina, o nunca compilarse y quedarse en la memoria, o usar el Registro de Windows como zona de preparación. Harlan Carvey, un destacado profesional de la informática forense y la respuesta a incidentes, ha señalado que cuando algunos en la comunidad hablan de un supuesto malware 'sin archivos', muchas veces no se dan cuenta de la contradicción: el Registro de Windows sigue siendo un archivo dentro del sistema operativo.
Todo esto para decir que Huntress Managed EDR te respalda sin importar la forma del archivo de la amenaza. 😉
Mito #5: Huntress solo usa aprendizaje automático e IA. ¡Ningún humano real envía los informes!
¡Qué barbaridad!
Huntress definitivamente usa automatización de infraestructura para agilizar las detecciones y la recolección de evidencia, como botones de un solo clic para recolectar registros de eventos de Windows cuando tenemos una investigación realmente compleja.
Sin embargo, con todo y esa automatización, el equipo del SOC 24/7 sigue investigando, dando contexto, redactando y enviando los informes. El equipo de Huntress está formado por analistas en Estados Unidos, Australia y el Reino Unido, y muchos de ellos comparten sus enfoques muy manuales y nada basados en aprendizaje automático para las investigaciones de seguridad:
- El ingeniero de detección Matthew Brennan publicó una publicación muy popular sobre cómo diseccionar Cobalt Strike
- El analista sénior Matt Anderson ha compartido evidencia real de primera mano de intrusiones en las que ha trabajado
- El analista Tim Kasper tiene una publicación de blog donde comparte su método MANUAL para desentrañar una reverse shell de PowerShell
- La analista Molly N. ha compartido su método manual para desentrañar Cobalt Strike en su blog PonchoSec
- El director sénior del SOC Max Rogers ha compartido información de patrones de amenazas reales que hemos identificado en nuestra telemetría
- El analista y líder de equipo Dray Agha ha compartido un par de cosas de intrusiones reales en las que hemos trabajado manualmente [ 1 , 2 , 3, 4 ]
Esto no quiere decir que el aprendizaje automático, la IA u otras automatizaciones sean malas. Simplemente no es así como trabaja Huntress. Nos ha enorgullecido compartir lo que pasa detrás de escena en las investigaciones muy manuales y lideradas por humanos que definen a Huntress.
***
Espero que esto aclare algunos mitos y conceptos erróneos que circulan por ahí sobre nosotros. ¿Tienes preguntas? Escríbenos: ¡con gusto te ayudamos!
Si tienes curiosidad por conocer más detalles técnicos de seguridad de Huntress, ¿por qué no echas un vistazo a nuestros Tradecraft Tuesdays? Estos webinars técnicos muestran cómo atacan los hackers, cómo se defienden los defensores, y vienen con algunos comentarios picantes del equipo.
