Q:
¿Cuáles son los beneficios clave de la caza de amenazas?
UN:Comencemos por comprender qué es la búsqueda de amenazas: es un proceso de búsqueda, línea por línea y evento por evento, de indicadores de amenazas muy específicas. No se trata de buscar lo que podría ser una anomalía. Es el acto de detectar indicadores de cosas que sabemos que están sucediendo. Es como buscar garrapatas después de caminar por el bosque. Si tiene buenas razones para creer que hay garrapatas en el bosque, verifique si alguna de ellas se ha enganchado. El beneficio de cazarlos es que puedes encontrarlos y deshacerte de ellos antes de que te muerdan y te enfermen.
Dicho esto, como precursor de la caza de amenazas, debe tener una idea de lo que está buscando. Eso requiere tres cosas: análisis, conciencia situacional e inteligencia. La información en bruto puede provenir de muchas fuentes diferentes, y los expertos en un equipo de búsqueda de amenazas pueden analizar esta información y derivar su significado. ¿Cuál es la charla en la web oscura? ¿Alguien está hablando de apuntar a una empresa o tecnología en particular? ¿Hay debates sobre nuevas metodologías de comercio o explotación?
Los analistas de amenazas del equipo de búsqueda de amenazas pueden recopilar grandes cantidades de inteligencia bruta, y ahí es donde la conciencia situacional ayuda a identificar qué problemas son relevantes para las diferentes organizaciones y usuarios. La información que identifica un modo de ataque contra un estudio de cine, por ejemplo, puede ser una preocupación menos inmediata para un fabricante de automóviles. Las técnicas utilizadas en un ataque a un estudio podrían ser viables como técnicas para atacar a un fabricante de automóviles, pero si la inteligencia sugiere que el foco del ataque es local para los estudios de cine, entonces los equipos de TI en los fabricantes de automóviles deberían mantenerse enfocados en el amenazas que están dirigidas a ellos. Vuelve a esa caminata en el bosque: si las garrapatas son un problema en el bosque donde caminas pero los escorpiones no lo son, entonces debes preocuparte por las garrapatas, no por los escorpiones.
Una vez que los analistas de amenazas identifican las amenazas de preocupación, los cazadores de amenazas pueden comenzar su caza. Pueden estar buscando evidencia de vulnerabilidades específicas, por ejemplo, un enrutador mal configurado, o pueden estar buscando fragmentos de código específicos o scripts incrustados en su red. Y si encuentran los elementos por los que están cazando, pueden emprender las acciones apropiadas y proteger a la empresa de los ataques.
