Seguramente cierras con llave las puertas de tu casa cuando sales, para evitar que entren visitantes no deseados mientras no estás. Aunque no es infalible, cerrar las puertas representa un desafío para quienes no tienen acceso autorizado. Gracias a ese esfuerzo, un visitante no deseado—como un ladrón—tendría que superar varios obstáculos para entrar a tu casa.
De manera similar, probablemente tengas al menos algunos sistemas preventivos para mantener a los actores de amenazas fuera de tus entornos de TI. Desde antivirus y firewalls hasta monitoreo de endpoints y actualización regular de tu software y sistemas, tienes varias opciones para intentar mantener a raya a los hackers.
Pero, ¿qué pasa cuando un ladrón consigue una copia de la llave de tu casa? ¿O cuando un actor de amenazas se cuela en tu entorno evadiendo tus herramientas preventivas?
Lamentablemente, esto sucede más seguido de lo que podrías pensar. Y una vez que un actor de amenazas pasa por el trabajo de evadir las medidas de seguridad preventivas, hará lo que sea para conservar su acceso.
Ahí es donde entra la persistencia.
¿Qué es la persistencia?
En esencia, la persistencia ocurre cuando un actor de amenazas coloca malware—ya sea un stub o malware completamente cargado—en tu entorno, y luego vuelve a activar ese malware después de cualquier interrupción—como cuando un usuario apaga el sistema operativo o cierra sesión. En otras palabras, la persistencia asegura que los hackers que obtienen acceso a tus entornos puedan conservarlo—muchas veces sin que sepas que tienen acceso en primer lugar.
La persistencia es una favorita de los hackers por una razón. Actúa como una copia de la llave que le permite a un ladrón entrar a tu casa cuando quiera. Con las herramientas preventivas de vanguardia de hoy, los hackers usualmente tienen que esforzarse mucho para obtener acceso al entorno que desean. Tiene sentido que quieran conservar ese acceso, y lo logran mediante la persistencia.
Cómo los hackers permanecen sin ser detectados gracias a la persistencia
El problema con la persistencia—al menos para los defensores—es que está diseñada para ser sigilosa. Típicamente se esconde dentro de aplicaciones y procesos legítimos, lo que significa que el software antivirus y otras herramientas de seguridad preventivas difícilmente la detecten. Peor aún, los hackers ya han descubierto cómo evadir varias medidas de seguridad preventivas a la vez para plantar un punto de apoyo persistente en un entorno.
Eso significa que incluso un enfoque de prevención por capas puede no ser suficiente para evitar que un hacker se sienta como en casa en tus entornos protegidos.
Incluso si tienes las herramientas preventivas correctas, la prevención por sí sola tiene un límite. A medida que los hackers se vuelven más astutos, también deben hacerlo las herramientas que los enfrentan. Y lamentablemente para los defensores, enfocarse estrictamente en la prevención es jugar un juego perdido. Siempre habrá un hacker capaz de evadir la prevención—si no hoy, entonces mañana.
Persistencia: la prueba irrefutable en la escena del crimen
Sin embargo, la persistencia no es solo malas noticias para los defensores. Lo que los hackers usan para esconderse a plena vista y permanecer en tus entornos, los defensores pueden usarlo para encontrarlos.
Si sabes qué buscar, la persistencia puede llevar a los defensores directamente al hacker que causa estragos dentro de sus entornos. Como resultado, los defensores pueden ir más allá del malware o stub en cuestión, llegando a la fuente—el hacker—para expulsarlo.
Es importante señalar que la persistencia no es un problema que podamos resolver solo con automatización. Los hackers son personas que obtienen acceso a entornos para hacer que alguien tenga un día particularmente malo. Son impredecibles, y para que haya una pelea justa, tenemos que enfrentar a los hackers donde están y responder con personas, no con automatización.
Los analistas humanos son clave para enfrentar la persistencia
Las herramientas automatizadas son excelentes para analizar grandes conjuntos de datos según reglas y métodos predefinidos. Sin embargo, la persistencia es todo menos algo basado en reglas predefinidas. Por eso es la táctica de ataque favorita de un hacker. La persistencia se esconde a plena vista, y muchas veces, solo un humano con conciencia contextual puede detectar—y eliminar—un punto de apoyo persistente.
Recordando nuestra metáfora del intruso al comienzo de este blog, los analistas humanos actúan como un guardia de turno. Una vez que un hacker evade las medidas preventivas automatizadas y planta un punto de apoyo persistente en tu entorno, los analistas humanos pueden detectarlo y hacer sonar la alarma—y los ladrones suelen huir cuando escuchan una alarma.
Por eso ningún stack de seguridad está completo sin personas. Solo ellas tienen la conciencia contextual y la experiencia para enfrentar a los hackers donde están—y vencerlos en su propio juego.
Más información
¿Quieres aprender más sobre la persistencia y por qué es tan peligrosa? Descarga nuestro eBook a continuación.
