Next Perimeter

Un usuario ingresó un código en lo que parecía ser una solicitud legítima de inicio de sesión de dispositivo. Eso fue todo lo que necesitó un atacante para obtener acceso persistente. Para Next Perimeter, esta era exactamente el tipo de amenaza de identidad para la que se habían estado preparando.

Su cliente, una agencia de marketing mediana con usuarios en todo el continente americano y Europa, necesitaba una respuesta rápida. Huntress detectó la actividad en segundos. Para cuando David Lloyd, Head of Technology en Next Perimeter, terminó de leer el informe, Huntress ya había revocado las sesiones activas y bloqueado la cuenta.

"El atacante entró una vez e intentó volver a entrar", dice Lloyd. "Los registros mostraron exactamente dónde fallaron esos intentos, gracias a Huntress Managed ITDR [Identity Threat Detection and Response], y así es como debería verse una respuesta automatizada, rápida y verdadera."

Desafío | Cuando "administrado" aún deja demasiado trabajo al equipo

Next Perimeter ofrece TI y ciberseguridad administradas para empresas reguladas—firmas legales, organizaciones de salud y empresas de servicios financieros—que necesitan proteger datos sensibles sin frenar el trabajo diario.

"La seguridad es un problema que empieza por la identidad", dice Luy Teitelroit, fundador y Head of Strategy en Next Perimeter. "Tus empleados están en movimiento, o donde sea que estén trabajando, y sus identidades son el inicio de tu perímetro corporativo."

Ese enfoque hizo difícil ignorar los límites de su stack existente. Con el tiempo, las nuevas funciones empezaron a generar problemas operativos. Las brechas de comunicación hicieron que Next Perimeter a veces se enterara de cambios disruptivos después de que ya se habían implementado. Los problemas con macOS generaron fricción para clientes de medios y entretenimiento. Los informes parecían útiles hasta que el equipo encontró discrepancias entre lo que mostraban y lo que realmente había en su solución de gestión de eventos e información de seguridad (SIEM).

Las alertas eran un problema aún mayor. Su herramienta anterior generaba más de 50 falsas alertas al mes. Cada investigación tomaba de 15 a 30 minutos. E incluso cuando Next Perimeter identificaba un falso positivo, no tenían control de ajuste para evitar que volviera a ocurrir.

"No se trataba solo de recibir falsos positivos", dice Teitelroit. "Es la cantidad de trabajo que generan los falsos positivos."

Solución | Un stack centrado en la identidad con un SOC detrás de cada capa

Next Perimeter evaluó a Huntress principalmente por la protección de identidad y de dispositivos, algo que encajaba directamente con cómo ya veían el mercado: la identidad en la cloud y los endpoints son el perímetro práctico del trabajo moderno.

El equipo implementó la Huntress Agentic Security Platform: Managed ITDR, Managed EDR (Detección y respuesta para endpoints), Managed SIEM y Managed SAT (security awareness training).

Para Lloyd, la diferencia se reducía a lo que realmente significa "administrado". Con su herramienta anterior, el análisis del SOC estaba disponible como un nivel de pago separado. Next Perimeter finalmente quería revisiones respaldadas por analistas incluidas por defecto, lo que daba a sus clientes mayor contexto y apoyo frente a las señales detectadas.

"El hecho de que cada componente de Huntress tenga un SOC observándolo ha sido un cambio total para mi equipo", dice Lloyd. "Ha reducido la cantidad de ruido, y los casos reales que llegan son amenazas accionables."

Huntress también encajó con el enfoque de Next Perimeter orientado a Microsoft. Mientras que la herramienta anterior dejaba a Defender en un modo pasivo, Huntress administra y pone en funcionamiento las herramientas de Microsoft que los clientes ya pagan, sumando detección administrada, revisión del SOC y remediación.

"Queríamos un solo panel de control", dice Teitelroit. "No un solo agente en sí."

Resultados | Millones de eventos reducidos a las amenazas que realmente importaban

Durante los primeros 180 días, Huntress procesó 341 millones de eventos de SIEM para Next Perimeter. El Huntress SOC redujo esa cifra a 209 señales que valía la pena investigar. De ahí, 100 fueron incidentes confirmados, enviados a Next Perimeter con la revisión del SOC completa y los pasos de remediación ya listos.

Eso cambió el trabajo del equipo de entrega de servicios de Next Perimeter. En lugar de revisar alertas ruidosas, pudieron concentrarse en incidentes verificados y en la remediación con los clientes.

Lloyd dice que no han recibido un falso positivo desde que hicieron el cambio. Muchos incidentes involucraron inicios de sesión inesperados por VPN o fuera de EE. UU. Huntress los detectó con la rapidez suficiente para que Next Perimeter pudiera distinguir entre viajeros y amenazas reales, y actuar de inmediato sobre estas últimas.

El incidente de phishing mediante código de dispositivo del cliente de marketing fue la prueba más clara.

El phishing mediante código de dispositivo abusa de un flujo legítimo de OAuth creado para dispositivos que no pueden abrir un navegador, como los televisores inteligentes. En el flujo real, un dispositivo genera un código corto y pide a los usuarios que visiten una página de inicio de sesión para aprobar el acceso. Los atacantes aprovechan esto iniciando ellos mismos ese flujo, y luego usan phishing para que el usuario ingrese el código en una página real de inicio de sesión de Microsoft. El usuario cree que está aprobando un inicio de sesión normal de dispositivo, pero en realidad está autorizando el acceso al atacante. En lugar de robar una contraseña, el atacante recibe tokens válidos de OAuth que pueden seguir funcionando hasta que esos tokens se revoquen.

Una vez que Huntress detectó la actividad sospechosa de OAuth, cortó el acceso activo del atacante y bloqueó la cuenta. Next Perimeter recibió de inmediato los registros que necesitaba para entender exactamente qué había pasado. Cuando el atacante intentó volver a entrar, esos intentos fallaron. La cuenta quedó asegurada en minutos, y el usuario volvió a estar en línea con una sesión limpia en menos de una hora.

Conclusión | Seguridad que se ajusta a cómo Next Perimeter ya trabaja

Next Perimeter opera bajo cuatro valores fundamentales: enfoque en el cliente, excelencia operativa, orientación a resultados y responsabilidad profesional. Teitelroit dice que Huntress se ha alineado con esos valores desde el principio.

"Nuestra experiencia ha sido un cambio total de 180 grados respecto a lo que teníamos antes", dice Lloyd.

Para Next Perimeter, Huntress encaja con la forma en que ya atienden a sus clientes: con enfoque en la identidad, respaldo del SOC, y centrados en un trabajo que realmente impulsa la protección.