Las recomendaciones tradicionales de ciberseguridad hacían énfasis en la protección antivirus (AV), los firewalls de red y los análisis periódicos de vulnerabilidades. Hoy, estas medidas forman parte de la higiene cibernética básica, no de una defensa integral.

Antivirus tradicional frente a ataques novedosos

Las herramientas antivirus tradicionales (AV) comparan archivos con una base de datos de malware conocido, lo cual es eficiente para bloquear amenazas genéricas, pero tiene dificultades con el malware polimórfico o personalizado que cambia constantemente su firma. Dado que se crea nuevo malware cada segundo, el AV tradicional también puede pasar por alto firmas desconocidas. 

Brechas de visibilidad

La superficie de ataque en constante expansión de las organizaciones, que incluye entornos cloud, aplicaciones SaaS y dispositivos OT e IoT, ha aumentado el riesgo de brechas de visibilidad debido a activos sin monitorear o flujos de datos sin registrar (tráfico de red que atraviesa un entorno sin que se registre ni se analice). Esta falta de visibilidad es mucho más peligrosa que contar con herramientas de seguridad que no tengan las funciones más recientes. 

Por ejemplo, la “IA en la sombra”, es decir, empleados que usan herramientas de IA no autorizadas, se ha convertido en una brecha de visibilidad importante, al igual que la cantidad creciente de entornos cloud que usan las empresas. Muchas organizaciones no monitorean los flujos de tráfico interno “este-oeste” en el cloud, lo que permite que los atacantes se muevan lateralmente entre entornos cloud.

Persistencia por encima de la velocidad

El ransomware como servicio (RaaS) ha acelerado muchos ataques de ransomware (algunas cargas se despliegan en menos de 15 minutos); sin embargo, los actores de amenazas más sofisticados han evitado cada vez más los ataques “ruidosos” (por ejemplo, el cifrado inmediato y masivo de archivos) a favor de técnicas de “bajo perfil y lentas”. Este enfoque se trata de que los atacantes mantengan un acceso silencioso y autorizado a la red mientras buscan datos de alto valor para exfiltrar y cifrar con fines de doble o triple extorsión. 

Cada vez más, los atacantes usan técnicas como el comando y control (C2) y living-off-the-land (LotL), secuestrando herramientas administrativas legítimas, como PowerShell, para ocultar su actividad. Mientras los actores mapean redes en silencio, escalan privilegios, se mueven lateralmente y roban datos, también implementan mecanismos de supervivencia (por ejemplo, claves de registro run, servicios maliciosos) para mantener el acceso incluso después de reinicios o cambios de credenciales. 

La identidad es el nuevo perímetro

El cambio hacia la infraestructura cloud y SaaS ha puesto las credenciales de identidad en la primera línea de defensa. Una cantidad que crece rápidamente de identidades de máquina (por ejemplo, APIs, microservicios) ha ampliado aún más la superficie de ataque. Con sus permisos a menudo de alto nivel y una supervisión o protección MFA históricamente limitada, estas cuentas son objetivos principales.

Desde fuerza bruta y credential stuffing hasta spear phishing sofisticado, ataques de OAuth y fatiga de MFA, los atacantes cuentan con un amplio repertorio de técnicas de abuso de credenciales. Estas tácticas les permiten simplemente iniciar sesión, en lugar de intentar vulnerar un firewall. 

La carrera armamentista de la IA: ataque y defensa

La IA es un arma de doble filo en la ciberseguridad. Los actores de amenazas usan IA agéntica para automatizar el reconocimiento y el descubrimiento de vulnerabilidades. La IA generativa les permite crear correos de spear phishing muy convincentes y dirigidos, además de audio y video deepfake.

La detección y la respuesta reciben la mayor parte de la atención en esta guía porque es ahí donde la mayoría de las empresas están más atrasadas. Pero nada de esto reemplaza la higiene cibernética básica: se construye sobre ella. Un puñado de fundamentos ya deberían ser innegociables en cualquier entorno:

• Contraseñas únicas y complejas para cada cuenta, generadas y almacenadas en un gestor de contraseñas en lugar de reutilizarlas o memorizarlas.

• Autenticación multifactor aplicada en todas partes donde sea compatible, no solo para las cuentas de administrador.

• Gestión de parches que mantenga actualizados los sistemas operativos, las aplicaciones y el firmware, idealmente mediante actualizaciones automáticas en lugar de envíos manuales y periódicos.

• Copias de seguridad cifradas y probadas, almacenadas fuera del sitio o en la cloud, separadas de los sistemas que protegen. La recuperación ante ransomware depende en gran medida de si tu última copia de seguridad realmente se restaura, así que pruébala antes de necesitarla, no después.

• Configuración segura de red, incluyendo WPA3 en WiFi, protocolos heredados deshabilitados y firewalls tanto a nivel de red como de endpoint.

• Seguridad física y de dispositivos móviles, ya que una laptop robada y sin cifrar representa una brecha tanto como una intrusión remota.

Nada de esto es un consejo nuevo, y ese es justamente el punto. Estos fundamentos son el mínimo indispensable. Omitirlos socava cualquier otra estrategia de esta guía. Ninguna cantidad de correlación de SIEM o monitoreo del SOC puede arreglar una infección de ransomware que comenzó porque nunca se probó una copia de seguridad.

En un panorama de amenazas profesionalizado, las mejores prácticas de ciberseguridad adoptan un enfoque de defensa en profundidad. Esta estrategia implementa controles en capas para que, si un control en particular falla, otro esté listo para intervenir. Minimizar el tiempo de permanencia —el período en que un atacante está dentro de una red antes de ser detectado— es el factor más importante para contener el “radio de impacto” de un ataque.

Fortalece endpoints e identidades

Si bien una postura de seguridad moderna opera bajo la mentalidad de “asumir la vulneración”, fortalecer los endpoints y las identidades sigue siendo una parte crucial de una defensa en capas, especialmente dados los entornos descentralizados de hoy en día.

La gestión de la postura de seguridad de endpoints (ESPM) monitorea continuamente los endpoints en busca de vulnerabilidades como configuraciones incorrectas, software sin parches y aplicaciones no aprobadas, imponiendo control sobre el estado de configuración y las apps permitidas. La gestión de la postura de seguridad de identidades (ISPM) realiza un escaneo similar para riesgos relacionados con identidades—como privilegios excesivos, cuentas inactivas y brechas en las políticas—e impone control sobre la configuración para eliminar exposiciones que un atacante podría aprovechar. Juntas, estas herramientas pueden ayudar a limitar los “errores no forzados” de los que se aprovechan los atacantes.

Monitoreo continuo de endpoints, identidades y registros

Además de las actividades y controles de higiene de seguridad básica, es necesario implementar la ingesta y el análisis continuo de telemetría y registros para brindar una amplia visibilidad de todo el entorno de TI de una organización. Esto permite enfocarse en los comportamientos en lugar de las firmas para detectar técnicas sofisticadas como LOTL y malware sin archivos.

Las estrategias de seguridad de endpoints se centran en la detección y respuesta de endpoints (EDR). Por ejemplo, si PowerShell o el software de monitoreo y administración remota (RMM) se conecta periódicamente a una dirección IP externa desconocida, EDR puede marcar este comportamiento como un posible indicio de actividad maliciosa, como ransomware. (Para más consejos sobre prevención de ransomware, lee Las mejores soluciones y estrategias de protección contra ransomware para empresas.)

Las mejores prácticas de seguridad de identidades y de cloud incluyen implementar el principio de privilegio mínimo (PoLP), aplicar MFA y monitorear señales de robo de credenciales, como viajes imposibles (iniciar sesión desde Nueva York y luego desde Londres minutos después) y la creación inusual de cuentas de administrador. El monitoreo de identidades en la cloud y la actividad de administradores depende de controles de seguridad enfocados en identidades, como la detección y respuesta de amenazas de identidad (ITDR) para plataformas como Microsoft 365.

Una solución de gestión de información y eventos de seguridad (SIEM) correlaciona estos registros, junto con datos de firewalls, antivirus, sistemas de identidad y otra infraestructura de red, para brindarle a tu equipo de seguridad una visibilidad unificada en múltiples entornos. 

Manuales de respuesta a incidentes claros y probados

Un plan de respuesta a incidentes (IR) es la base de la seguridad y el cumplimiento organizacional. Este marco debe incluir manuales específicos para escenarios de amenazas probables, como ransomware, compromiso de correo electrónico empresarial (BEC), y acceso no autorizado a la cloud. Los manuales deben definir roles claros (por ejemplo, comandante del incidente, enlace legal, etc.) y procedimientos de respuesta paso a paso, comenzando con los umbrales para cuándo las alertas escalan a una investigación humana. 

Los planes de IR no se pueden dar por sentados. Deben probarse y perfeccionarse mediante ejercicios de simulación (tabletop) y simulacros “en vivo”. Este proceso garantiza una respuesta eficiente que mitiga el daño.

Incluso con las mejores herramientas de seguridad, muchas organizaciones sufren brechas debido a errores operativos. Estos pueden incluir:

Tratar la seguridad como un proyecto único

Las auditorías de cumplimiento anuales o trimestrales solo ofrecen una instantánea de un momento específico. La seguridad debe ser un proceso continuo. Con nuevas vulnerabilidades de software descubriéndose constantemente, incompatibilidades de hardware heredado y la “desviación de TI” (configuraciones que cambian con el tiempo), la gestión continua de la exposición a amenazas (CTEM) es esencial. 

Parte de este proceso continuo es la capacitación en seguridad para los empleados. Managed SAT (capacitación en concientización sobre seguridad) ayuda a construir un “firewall humano” con simulaciones regulares de phishing y puede reducir drásticamente la susceptibilidad de una organización a este importante vector de ataque.

Ignorar la fatiga por alertas y el ruido sin gestionar

Según IBM, el equipo de seguridad promedio gestiona una pila de 83 soluciones de seguridad independientes. Esta proliferación de herramientas genera una cantidad abrumadora de alertas que provoca agotamiento mental, dificulta la clasificación de alertas y aumenta el riesgo de que un intruso pase desapercibido. Adoptar una plataforma de seguridad unificada y el centro de operaciones de seguridad (SOC) administrado puede aliviar significativamente esta carga.

No validar los controles de seguridad

Una trampa común en la que caen las empresas es asumir que sus herramientas funcionan exactamente como se espera, sin verificarlas frente al comportamiento real de los atacantes. Las configuraciones incorrectas o la desviación de configuración en los ajustes de seguridad pueden dejar ineficaz incluso al EDR o firewall más costoso. Managed ESPM y Managed ISPM permiten el monitoreo continuo de las configuraciones, detectan la desviación de configuración y devuelven los endpoints y las identidades al cumplimiento. Las herramientas de simulación de brechas y ataques (BAS) pueden ofrecer pruebas automatizadas y continuas para identificar vulnerabilidades.

Dependencia excesiva de la IA

La automatización puede ser una herramienta poderosa para procesar datos de registro y aislar amenazas de alto riesgo o ruidosas, pero tiene límites. Distinguir la actividad legítima de un administrador autorizado de un ataque sofisticado “con manos en el teclado” a menudo requiere un análisis humano con matices. Depender demasiado de la IA puede hacer que ataques de bajo ruido pasen desapercibidos o, por el contrario, generar interrupciones operativas constantes.

Logra capacidades de detección y respuesta de nivel empresarial con Huntress Managed Security Platform. Nuestros servicios administrados de EDR, ITDR y SIEM permiten adoptar las mejores prácticas modernas mediante monitoreo activo y respuesta experta las 24/7. Descubre Huntress hoy mismo.