Escrito en conjunto por Mike Penn (Magna5) y Cat Contillo (Analista II del SOC de Huntress)
Como un proveedor ocupado de seguridad administrada “como servicio” que atiende a clientes en todo el país, nuestros equipos en Magna5 escuchan con frecuencia lo que mantiene despiertos por las noches al personal de TI de nuestros clientes. En la cima de la lista está la ciberseguridad.
Cada vez es más común ver ataques de ransomware sofisticados y malware malicioso dirigidos a pequeñas y medianas empresas (PYMES). Las organizaciones que creían tener medidas de seguridad preventivas sólidas ahora cuestionan su preparación en seguridad. La falta de visibilidad en los dispositivos endpoint, las deficientes capacidades de detección para responder rápidamente a las ciberamenazas y la escasez de tiempo del personal de TI para actualizar parches con regularidad dejan a muchas organizaciones sin preparación para proteger a los trabajadores remotos.
Los clientes nos cuentan que la falta de detección de alerta temprana, debido a la visibilidad limitada y al poco conocimiento de las vulnerabilidades existentes que pueden exponer riesgos, resulta frustrante. Hoy en día, muchos atacantes usan malware sin archivos, exploits de día cero u otras amenazas persistentes avanzadas. Estos ataques no usan firmas, por lo que los programas antivirus tradicionales y los métodos de detección por firmas no son rivales para detener estas amenazas.
Además, con el trabajo remoto como algo permanente, los gerentes de TI de los clientes sienten la presión del aumento de las cargas de trabajo en la nube y la proliferación de datos desde muchos endpoints. Identificar nuevas formas de proteger su red de dispositivos desconocidos o usuarios sin supervisión es una prioridad alta.
Se estima que el 70% de las brechas comienzan en los dispositivos endpoint. Al trabajar de forma remota, existe un peligro de seguridad oculto. Todos esos endpoints y dispositivos conectados fuera del firewall de la oficina son puntos de entrada ideales para que los cibercriminales ataquen a una organización. Sin la protección adecuada, es temporada abierta para una avalancha de ataques maliciosos de ransomware a través de esos endpoints sin protección.
Estos desafíos de los clientes son reales. Generan la necesidad de una prevención, detección y respuesta administrada de amenazas en tiempo real que proteja todos los perímetros: redes, nubes virtuales, endpoints, oficinas remotas y operaciones móviles.
Ten en cuenta las brechas de seguridad en tus endpoints
Al evaluar la seguridad de tus endpoints, es importante ver si hay señales de alerta que te están frenando. Aquí hay algunas preguntas que hacerte.
- ¿Tenemos visibilidad completa de todos los entornos de endpoints? Ya sea que el tráfico esté en la red corporativa, en un centro de datos híbrido o en el endpoint del empleado remoto, la visibilidad central de los dispositivos con los que trabajan los empleados puede ayudar mucho a encontrar posibles puntos de entrada ocultos.
- ¿Podemos proteger adecuadamente a nuestra fuerza laboral remota que se conecta tanto dentro como fuera de nuestros firewalls de protección? Los empleados pueden usar laptops de la empresa en redes Wi-Fi domésticas o usar sus smartphones personales para acceder a datos empresariales. O bien, otros miembros de la familia que usan los mismos dispositivos domésticos podrían descargar malware en la misma máquina usada para manejar información corporativa.
- ¿Es nuestra respuesta a incidentes de ransomware y ciberamenazas demasiado reactiva, poniendo en riesgo a nuestra organización? Los cibercriminales lanzan oleadas de ataques implacables contra los trabajadores remotos. Muchas empresas no tienen un control efectivo sobre los endpoints remotos que acceden a su entorno desde redes no confiables. ¿Puedes revertir de manera proactiva el estado de una máquina después de detectar malware y poner en cuarentena automáticamente una máquina infectada fuera de la red?
- ¿Estamos teniendo dificultades para implementar parches o actualizaciones de seguridad en toda la empresa? La gran mayoría de las infecciones de ransomware resultan de sistemas sin parches y de la reutilización desenfrenada de contraseñas. Muchos departamentos de TI están abrumados por las actividades operativas diarias, lo que deja la aplicación de parches y actualizaciones en un segundo plano, para el deleite de los ciberdelincuentes.
Ponte a la ofensiva: protege tus endpoints para reducir riesgos
La mejor opción para evitar el tiempo de inactividad es no verse comprometido en primer lugar. Al trabajar con Huntress para complementar nuestro conjunto de soluciones de seguridad administrada, Magna5 brinda a los clientes una defensa de seguridad de múltiples capas para administrar y proteger su red.
¿Cómo se ve una defensa de endpoints resiliente? Estos son seis pilares que ofrecemos a las organizaciones para ayudarlas a tomar la delantera al brindar prevención, detección y respuesta en tiempo real.
- Observar. Monitorea los ataques de manera proactiva con visibilidad completa de todos los endpoints, el tráfico cifrado y las aplicaciones y procesos.
- Prevenir. Automatiza todo el proceso de aplicación de parches y configuración de endpoints para minimizar activamente los vectores que los atacantes pueden explotar.
- Detectar. Usa IA y aprendizaje automático para monitorear tanto las ciberamenazas conocidas como las desconocidas en cada etapa de su ciclo de vida.
- Aislar. Genera análisis forenses en tiempo real y visualizaciones de la línea de tiempo para mapear el punto de origen y la progresión de los ataques a través de los endpoints.
- Bloquear. Usa protección basada en políticas para detener un proceso, poner en cuarentena o eliminar binarios maliciosos antes de que causen daño.
- Cazar. Busca ataques activamente usando algoritmos sofisticados para detectar posibles puntos de apoyo y amenazas persistentes difíciles de detectar.
Detección y respuesta en tiempo real en acción
Veamos un ejemplo de la vida real. Un cliente del sector manufacturero contactó a Magna5 cuando un tipo de malware infectó sus servidores de producción y estaciones de trabajo, deteniendo todas las operaciones. La brecha se originó en un correo electrónico malicioso dirigido a un usuario. Con poca visibilidad en toda su red, solicitaron la experiencia y las herramientas de Magna5 para ayudar a aislar y erradicar la infección.
Magna5 implementó varias herramientas dentro de su paquete de seguridad de endpoints, incluyendo SentinelOne y Huntress. Aprovechamos las capacidades de caza de ciberamenazas de Huntress para identificar qué máquinas habían sido infectadas.
La solución de Huntress recopila datos mediante análisis forense, en busca de puntos de apoyo y puertas traseras que suelen encontrarse en carpetas de inicio, autoruns y tareas programadas, entre otros. Estos datos luego pasan al equipo del SOC de Huntress, que analiza la información de forma manual después de que la herramienta usa mecanismos de detección automatizados para identificar cualquier actividad maliciosa o no deseada. Huntress informa cualquier hallazgo al equipo de Magna5, que entonces toma medidas para eliminar la variante de malware del entorno del cliente.
Una perspectiva del SOC de Huntress
La caza de ciberamenazas ocurre cuando los analistas revisan activamente nuevos autoruns en distintos endpoints. Huntress examina el nombre de cada mecanismo de persistencia y las rutas de archivo, en especial los archivos y los directorios en los que se encuentran.
Los actores de amenazas usan múltiples técnicas para evadir el software antivirus. Los analistas de amenazas de Huntress buscan activamente amenazas al escanear registros de cada endpoint. Revisamos constantemente los datos de los nuevos autoruns que llegan, ya sea un archivo modificado (conocido como un nuevo hash) o un cliente en periodo de prueba con nuevas rutas de archivo.
Cuando una computadora tiene una infestación de malware, podrías ver un aviso de ransomware que indica que tus archivos han sido cifrados. Podrías ver muchas ventanas emergentes. Las herramientas de administración del sistema o las aplicaciones antivirus podrían estar deshabilitadas. Estos son solo algunos comportamientos que podrían indicar que el malware se ha infiltrado en tu sistema, red o computadora.
Las infestaciones de malware que vemos en Huntress se ven un poco distintas. Los analistas examinan datos/registros de rutas de archivo (autoruns) de cada cliente. Vemos lo que el malware está ocultando. Puede usar distintas técnicas, como vivir de los recursos del sistema (por ejemplo, LOLbins), para pasar desapercibido. En estos casos, buscamos archivos específicos como powershell.exe o cmd.exe que podrían usarse de forma maliciosa para introducir malware en una computadora o red.
Podemos ver múltiples autoruns/rutas de archivo maliciosos en un mismo endpoint. Quienes se dedican a la caza de ciberamenazas buscan encontrar cada autorun, ruta de archivo o directorio que pueda contener otros archivos maliciosos. Una vez que marcamos todos los archivos como maliciosos, se genera un informe con la información de los pasos de remediación que deben seguirse para erradicar el malware.
En Huntress, personas reales analizan cada detalle de cada mecanismo de persistencia que encontramos. Se analizan los detalles del autorun: el nombre del archivo, la ruta del archivo, los directorios/carpetas, el nombre del archivo, la firma, el comportamiento y más. Incluso antes de abrir una investigación, usamos análisis estático/dinámico sobre la actividad sospechosa para encontrar otros detalles que ayuden en la investigación. Si se determina que la amenaza es maliciosa, marcamos este autorun como tal dentro de una investigación.
Después de marcar un autorun como malicioso, revisamos el endpoint para ver si hay otros autoruns asociados con este autorun o con el malware en general antes de crear un informe. Después de revisar cada autorun, se genera un informe con los pasos de remediación que deben seguirse para ayudar a eliminar el malware del endpoint. Esos pasos se transmiten a los clientes para que puedan eliminar el malware.
Sé proactivo en la protección de tus datos
Mantenerse por delante de las ciberamenazas hoy significa proteger tus endpoints en múltiples frentes. Con los ciberdelincuentes intensificando sus ataques contra trabajadores remotos, la detección y respuesta administradas pueden brindar la visibilidad que las organizaciones necesitan para contrarrestar los ataques de forma proactiva antes de que penetren tus endpoints y tu perímetro.
Acerca de Magna5
Magna5 ofrece soluciones administradas de TI, voz y conectividad a clientes del mercado medio y empresarial en todo el país, incluidos líderes de los sectores de educación, salud, gobierno, servicios financieros y otras industrias. Con sede en Frisco, Texas, Magna5 opera a nivel nacional y cuenta con oficinas en Pittsburgh; San Antonio; Seattle; y Troy, Nueva York. Magna5 es una empresa de la plataforma de [.underline]NewSpring[.underline] Holdings.
Nota del editor: Este artículo se publicó originalmente en el blog de Magna5.
