Detener una intrusión no significa que el incidente haya terminado
Cuando se detecta y bloquea un acceso no autorizado, puede parecer que la amenaza está contenida. Pero impedir que el atacante siga accediendo no responde a las preguntas más importantes: ¿qué hizo antes de que lo descubrieran? ¿A qué información accedió? ¿Consiguió extraer datos?
Esto es lo que ocurrió en el reciente ciberataque a la Dirección General de Finanzas Públicas de Francia. A finales de junio, el organismo detectó varios accesos no autorizados durante una comprobación rutinaria y los bloqueó de inmediato. Las primeras investigaciones no encontraron indicios de que se hubiera extraído información, lo que hacía pensar que el incidente estaba bajo control.
La situación cambió el 12 de agosto, cuando un ciberdelincuente afirmó en un foro de ciberdelincuencia que había comprometido los sistemas de la Administración tributaria y puso a la venta una supuesta base de datos. La investigación posterior confirmó que los accesos bloqueados semanas antes habían permitido al intruso consultar y extraer datos de 678.000 personas y empresas.
La información afectada incluía la renta fiscal de referencia, los coeficientes familiares utilizados para el cálculo del impuesto y los tipos de retención, así como las denominaciones sociales y los números SIREN de identificación empresarial. Llegar a esta conclusión exigió algo más que detectar y bloquear la actividad maliciosa: fue necesario reconstruir toda la intrusión para determinar qué había ocurrido realmente.
Para los MSP y para cualquier profesional de la ciberseguridad, la lección es clara: contener una intrusión es solo una parte de la respuesta. El trabajo continúa para determinar hasta dónde llegó el atacante, a qué sistemas accedió y si la amenaza sigue presente. Y cuando un cliente pregunta qué ha ocurrido, los MSP necesitan algo más que un ticket cerrado: deben poder ofrecer una visión completa de lo sucedido.
Los cuatro retos que dificultan determinar el alcance de una intrusión
Para los MSP, el trabajo no termina cuando se resuelve una alerta. Supervisar varios entornos de clientes simultáneamente implica analizar señales, correlacionar eventos y conservar suficiente contexto para comprender qué sucede antes, durante y después de una intrusión.
- Comprender qué hay detrás de una alerta: una detección señala que algo requiere atención, pero por sí sola no permite saber si hay una intrusión en curso ni hasta dónde ha llegado. Por eso, los MSP deben validar la alerta, correlacionarla con otros eventos y evaluarla en el contexto del activo afectado antes de decidir cómo responder.
- Investigar en entornos diversos: cada endpoint, identidad, aplicación SaaS y carga de trabajo en la nube genera actividad que debe supervisarse. Cuando se gestionan varios clientes, reconstruir la secuencia de un ataque exige recopilar evidencias de distintas fuentes sin perder el contexto de cada entorno. A medida que aumenta el número de clientes, también crece el esfuerzo necesario para reunir evidencias, correlacionar eventos y determinar qué sistemas podrían estar relacionados con el incidente.
- Reconocer la actividad aparentemente legítima: un inicio de sesión, el uso de una herramienta autorizada o una conexión saliente pueden parecer parte de la actividad habitual del cliente. Sin embargo, cuando varias de estas acciones se producen de forma secuencial, pueden revelar que un atacante está avanzando por el entorno.
- Mantener una cobertura 24/4: la actividad maliciosa puede aparecer en cualquier momento. Si nadie analiza en tiempo real una alerta recibida de madrugada o durante el fin de semana, el atacante puede disponer de horas para escalar privilegios, desplazarse lateralmente entre sistemas o buscar datos sensibles. En estas situaciones, contar con analistas disponibles 24/7 día, además de herramientas, puede cambiar el desenlace.
Cómo ayuda MDR a convertir las alertas en investigaciones
Para un MSP, contar con un servicio de detección y respuesta gestionadas (MDR) debería aportar algo más que la recepción de alertas. Su verdadero valor reside en la experiencia y el contexto necesarios para descubrir qué está ocurriendo, actuar frente a las amenazas y reconstruir los incidentes cuando sea necesario. Y demostrar ese valor a los clientes es tan importante como proporcionarlo.
Los paneles de control completos y actualizados en tiempo real, junto con los informes estructurados, permiten a los partners visualizar en un único lugar los datos de endpoints, redes, identidades, entornos cloud y vulnerabilidades. Esta visibilidad ofrece a los MSP una respuesta concreta cuando un cliente pregunta: ”¿Qué estáis haciendo realmente por nosotros?”.
Un proveedor de MDR sólido combina tecnología de detección avanzada con analistas expertos para aportar ese contexto y aliviar la carga de trabajo de los equipos de los MSP. En la práctica, esto les permite:
- Obtener contexto para establecer prioridades: al correlacionar la telemetría recibida con otros eventos y con el contexto de los activos, es posible distinguir una alerta aislada de una secuencia de ataque. También permite determinar si esa actividad se extiende a otros activos del cliente e identificar si el compromiso se limita a un único sistema o tiene un alcance mayor.
- Aportar análisis especializado: los analistas revisan las detecciones, descartan falsos positivos y evalúan el riesgo de cada caso. Su intervención resulta especialmente valiosa cuando un atacante utiliza herramientas legítimas o actúa de formas que no encajan con los patrones de amenazas conocidos.
- Identificar el punto de entrada: una parte esencial de la reconstrucción de una intrusión consiste en determinar cómo accedió el atacante. Identificar las carencias de seguridad y las vulnerabilidades existentes permite relacionar la actividad detectada con los elementos que habían quedado expuestos y comprobar si existen vulnerabilidades similares en otras partes del entorno del cliente.
- Determinar qué ocurrió tras contener la amenaza: es en este punto cuando la investigación adquiere especial importancia. Una vez contenida la actividad maliciosa, MDR ayuda a reconstruir cómo comenzó la intrusión, qué acciones llevó a cabo el atacante y a qué activos consiguió acceder. El objetivo no es solo detener lo que está ocurriendo en ese momento, sino obtener una visión suficientemente clara del incidente para saber si la amenaza se ha eliminado y qué impacto ha dejado.
Para los MSP, esta distinción es fundamental. Una alerta cerrada no implica necesariamente que el incidente haya concluido. La contención mitiga el riesgo inmediato; la investigación revela el riesgo que ya se ha materializado. En un incidente como el de la Administración tributaria francesa, esta distinción puede marcar la diferencia entre dar por terminada una intrusión y saber exactamente hasta dónde llegó.
Por eso, WatchGuard MDR se basa en el principio de que el trabajo no termina cuando se cierra una alerta. La experiencia de analistas disponibles de forma ininterrumpida, la visibilidad sobre múltiples fuentes de datos y los informes para clientes permiten llevar este principio a la práctica y ofrecen a los MSP evidencias concretas que presentar a sus clientes cuando más importa.
¿Quieres profundizar en cómo un servicio MDR puede reforzar la seguridad de tus clientes? Consulta estos artículos relacionados en nuestro blog: