¿Qué es la inteligencia de amenazas?
La inteligencia de amenazas es el conocimiento basado en la evidencia sobre una amenaza o peligro existente o emergente para los activos que se puede utilizar para informar las decisiones sobre la respuesta del sujeto a esa amenaza o peligro.
Introducción a la inteligencia de amenazas
La inteligencia de amenazas cibernéticas es un subconjunto de inteligencia centrado en la seguridad de la información. Esta información seleccionada tiene como objetivo ayudarlo a tomar mejores decisiones sobre cómo defenderse a sí mismo y a su empresa de las amenazas cibernéticas. Algunas de las preguntas que la inteligencia sobre amenazas puede responder son:
«La inteligencia sobre amenazas es un conocimiento basado en la evidencia, que incluye el contexto, los mecanismos, los indicadores, las implicaciones y el asesoramiento práctico, sobre una amenaza o peligro existente o emergente para los activos, que puede usarse para informar las decisiones sobre la respuesta del sujeto a esa amenaza o peligro».
Niveles de inteligencia sobre amenazas
La inteligencia de amenazas cibernéticas generalmente se considera en tres niveles:
Utilizar cada instancia de inteligencia es importante porque cumplen diferentes funciones. Los analistas que aprovechan los conocimientos acumulados sobre estos tres tipos de inteligencia están en mejores condiciones de determinar qué soluciones de seguridad utilizar, cómo deben aprovecharse y cómo responder de forma proactiva y reactiva a las amenazas.type of intelligence is important because they serve different functions. Analysts leveraging the sum knowledge of these three types of intelligence are better able to determine what security solutions to use, how they should be leveraged, and how to proactively and reactively respond to threats.
¿Por qué?
Inteligencia táctica sobre amenazas
La inteligencia táctica sobre amenazas es la forma más básica de inteligencia sobre amenazas. Estos son sus indicadores comunes de compromiso (IOC). La inteligencia táctica se utiliza con frecuencia para detectar amenazas de máquina a máquina y para que el personal de respuesta a incidentes busque artefactos específicos en las redes empresariales.
Uso de la inteligencia táctica sobre amenazas
La inteligencia táctica contra amenazas y los IOC tienen por objeto documentar históricamente los ciberataques y servir como corpus de pruebas (para el cumplimiento, la aplicación de la ley, las investigaciones, con fines legales, etc.) y también como material de referencia para que los analistas interpreten y extraigan el contexto para su uso en operaciones defensivas.
Los IOC se proporcionan a los analistas para que sirvan como ejemplos de una amenaza en particular, como una muestra de malware, una familia de malware, una campaña de intrusión o un actor de amenazas. Los analistas pueden enriquecer las alertas de las soluciones de seguridad con información táctica sobre amenazas para ofrecer más contexto y determinar cuáles son las amenazas por las que vale la pena preocuparse y cuáles se pueden ignorar de forma segura.
Inteligencia táctica de amenazas para APT29
Inteligencia táctica de amenazas para el sector educativo
Inteligencia de amenazas operativas
La inteligencia de amenazas operativas proporciona información sobre las metodologías de los actores y expone los riesgos potenciales. Impulsa programas de detección, respuesta a incidentes y caza más significativos. Mientras que la inteligencia táctica sobre amenazas brinda a los analistas un contexto sobre las amenazas que ya se conocen, la inteligencia operativa permite que las investigaciones estén más cerca de descubrir amenazas completamente nuevas.
Este tipo de inteligencia lo utilizan con mayor frecuencia los investigadores forenses y el personal de respuesta a incidentes y, por lo general, incluye los siguientes tipos de elementos:
Tenga en cuenta lo siguiente desde la perspectiva de la respuesta a un incidente: si está respondiendo a un evento de intrusión, es posible que se pregunte cómo un actor en particular lleva a cabo la escalada de privilegios, el movimiento lateral o el robo de datos. Si estás buscando actividades malintencionadas no descubiertas, tal vez te interese empezar por buscar el comportamiento de un actor específico. Sea cual sea tu escenario, debes responder a la pregunta «¿Cómo buscas a este actor en tu entorno?»
Uso de la inteligencia de amenazas operativas
La inteligencia de amenazas operativas es el conocimiento que se obtiene al examinar los detalles de los ataques conocidos. Un analista puede hacerse una idea sólida de la metodología de los actores reuniendo indicadores y artefactos tácticos y derivándolos para convertirlos en inteligencia operativa. Esto puede ayudar a lograr una serie de objetivos defensivos, como mejorar los planes de respuesta a los incidentes y las técnicas de mitigación para futuros ataques e incidentes.
Los analistas también pueden implementar y reforzar un programa de descubrimiento proactivo («programa de búsqueda») para identificar archivos y actividades sospechosas que hayan pasado por alto las tecnologías de seguridad tradicionales. A partir de ahí, pueden desarrollar metodologías de detección que no dependan de los IOC, lo que garantiza una cobertura más amplia de las amenazas de manera más oportuna.
Ejemplos de inteligencia operativa sobre amenazas
- Tareas programadas para la mayoría de las puertas traseras
- WMI mediante instalación manual para puertas traseras que no tienen la persistencia integrada
- Sustitución legítima del archivo de notificación de errores de Windows (wermgr.exe)
Inteligencia estratégica sobre amenazas
La inteligencia estratégica de amenazas ofrece una visión general de cómo las amenazas y los ataques cambian con el tiempo. La inteligencia estratégica de amenazas puede identificar tendencias históricas, motivaciones o atribuciones en cuanto a quién está detrás de un ataque. Conocer el quién y el por qué de tus adversarios también proporciona pistas sobre sus operaciones y tácticas futuras. Esto convierte a la inteligencia estratégica en un punto de partida sólido para decidir qué medidas defensivas serán más eficaces.
La inteligencia estratégica sobre amenazas puede incluir información sobre las siguientes áreas temáticas:
Uso de inteligencia estratégica sobre amenazas
La inteligencia estratégica sobre amenazas se basa en un enorme conjunto de conocimientos e incluye opiniones y puntos de vista de expertos que se basan en la agregación de información sobre amenazas operativas y tácticas de ciberataques conocidos. Esta información es particularmente útil para las personas que desempeñan funciones de liderazgo, como los CISO y los líderes ejecutivos, que deben justificar los presupuestos y tomar decisiones de inversión mejor informadas. Algunos usos de la inteligencia estratégica sobre amenazas incluyen:
Ejemplos de inteligencia estratégica sobre amenazas
- APT10 también conocido como «MenuPass Group»
- APT22 también conocido como «Barista Team»
- APT29 también conocido como «The Dukes»
Inteligencia de amenazas y objetivos empresariales
La inteligencia de amenazas siempre tiene un propósito — para informar la toma de decisiones e impulsar la acción. Sin embargo, no es raro que las empresas tengan dificultades para determinar el valor de su equipo, procesos y herramientas de inteligencia de amenazas. La terminología de la inteligencia de amenazas no suele ser compatible con el léxico empresarial, lo que lleva a malentendidos sobre su propósito y valor.
Las empresas pueden ayudar a obtener valor de sus programas de inteligencia al alinearlos con un conjunto genérico de prioridades a nivel macro, como se puede ver a continuación (no lo incluyen todo):
Una vez que el equipo de inteligencia de amenazas comprenda los objetivos empresariales, podrá alinear sus operaciones y esfuerzos para respaldar la empresa. No todas las prioridades empresariales se alinearán perfectamente con las capacidades de inteligencia de amenazas, y no pasa nada. Puede desarrollar la granularidad y los matices a medida que desarrolla sus requisitos. Estos son algunos de los objetivos iniciales para cualquier equipo de inteligencia de amenazas:
- Colabore con el equipo de fraude para determinar los 3 a 5 tipos principales de fraude y pregunte qué información les ayudaría a detectarlos y prevenirlos en el futuro.
- ¿Qué revela el análisis de los tickets de incidentes sobre la naturaleza y el tipo de datos objeto de las filtraciones de datos anteriores?
- ¿Qué vulnerabilidades se explotaron y por qué medios?
- ¿Qué sistemas almacenan la PII y cómo se alinean las vulnerabilidades de esos sistemas con los vectores de explotación conocidos?
- La TI puede centrarse en reducir el riesgo debido a la pérdida de datos y las amenazas externas mediante la identificación de los actores y la obtención de información sobre las amenazas externas dirigidas a su industria, garantizando que las técnicas y los mecanismos de detección estén implementados y sean capaces de detectar estas amenazas.
Evolución de la inteligencia de amenazas
La inteligencia sobre amenazas seguirá evolucionando y será una función de seguridad clave. La integración de la inteligencia de amenazas táctica, operativa y estratégica proporcionará información valiosa sobre las metodologías de los IOC y de los actores de amenazas. Esto conducirá a entornos más seguros en los que podrá identificar a sus adversarios. Un número creciente de organizaciones de los sectores público y privado utilizan ahora la inteligencia sobre ciberamenazas. Una investigación reciente publicada por el Instituto Ponemon reveló que el 80% de las organizaciones la utilizan y que un porcentaje aún mayor la considera crítica.
Las organizaciones que utilizan la inteligencia de ciberamenazas se enfrentan a numerosos desafíos de seguridad. Están detectando amenazas avanzadas y respondiendo a ellas. Previenen las filtraciones de datos y protegen la información confidencial. Están reduciendo los costos de la ciberdelincuencia y el fraude. Y lo que es más importante, están reduciendo el riesgo empresarial general.
