Casos de uso y ejemplos de la inteligencia contra amenazas

Estos son algunos ejemplos comunes de inteligencia contra amenazas:

• Indicadores de compromiso (IoC)
• Tácticas, técnicas y procedimientos (TTP)
• Atribución del atacante
• Información sobre vulnerabilidades
• Feeds de inteligencia contra amenazas

Cuando se toman por separado o se usan en conjunto, sirven como un enfoque preventivo y proactivo para proteger los sistemas y los datos sensibles.

Los IoC son artefactos forenses que indican posibles incidentes de seguridad en tu entorno. Estos incluyen direcciones IP maliciosas, hashes de archivos, nombres de dominio y URLs que te ayudan a detectar cuándo hay atacantes en tus sistemas. Cuando tus herramientas de seguridad identifican un IOC de una campaña de ataque reciente, puedes investigar de inmediato si ese indicador aparece en algún lugar de tu entorno.

Los TTP describen cómo operan los agentes de amenazas y los métodos que usan para obtener acceso, moverse lateralmente y lograr sus objetivos. Comprender estos patrones te ayuda a reconocer los comportamientos de ataque incluso cuando cambian los IOC específicos. Cuando sabes que un grupo de amenazas en particular suele usar spearphishing para obtener acceso inicial, puedes configurar reglas de detección en torno a estos comportamientos.

La inteligencia de atribución identifica qué grupos de amenazas están detrás de los ataques y revela sus objetivos, motivaciones y capacidades típicos. Este contexto te ayuda a evaluar si tu organización se encuentra dentro del alcance de segmentación de un grupo en particular. La atribución también te ayuda a comprender los objetivos de los atacantes, ya sea que intenten robar propiedad intelectual, implementar ransomware o mantener un acceso persistente.

La inteligencia contra vulnerabilidades ofrece detalles sobre las debilidades del software que los atacantes podrían aprovechar. Esto incluye datos de CVE, disponibilidad de exploits y la información sobre qué vulnerabilidades atacan los agentes de amenazas de forma activa en el entorno real. La inteligencia de vulnerabilidades te ayuda a separar los riesgos teóricos de las amenazas activas, ya que muestra qué fallas usan los atacantes en las campañas.

Los feeds proporcionan flujos continuos de datos de amenazas de múltiples fuentes, incluidos proveedores de seguridad, organismos gubernamentales y comunidades de intercambio de información. Estos feeds mantienen tus defensas actualizadas contra las amenazas emergentes sin necesidad de investigación manual. Los feeds varían en su enfoque: algunos proporcionan una cobertura amplia de muchos tipos de amenazas, mientras que otros se especializan en áreas específicas como dominios de phishing o infraestructura de ransomware.

Adoptar un enfoque centrado en los casos de uso hace que la inteligencia contra amenazas sea práctica en lugar de abstracta. Cuando asignas datos de amenazas a funciones de seguridad específicas, como la respuesta ante incidentes y la gestión de vulnerabilidades, puedes medir su impacto en tus resultados de seguridad y tomar mejores decisiones sobre dónde invertir recursos.

La inteligencia contra amenazas te permite identificar y bloquear amenazas antes de que lleguen a tu entorno. Si comprendes la infraestructura y los métodos de los atacantes con anticipación, puedes configurar tus defensas para detener los ataques en el perímetro. Por ejemplo, cuando la inteligencia revela que un grupo de amenazas está registrando dominios con patrones de nombres específicos, puedes bloquear esos patrones en tu filtrado de DNS.

Cuando ocurren incidentes, la inteligencia contra amenazas ofrece contexto sobre lo que enfrentas. Puedes determinar rápidamente el alcance del ataque, identificar los indicadores relacionados y comprender los objetivos del atacante para contener las amenazas con mayor rapidez. Por ejemplo, si detectas una ejecución sospechosa de PowerShell en un extremo, la inteligencia sobre ataques similares te indica qué buscar a continuación, ya sea que un atacante intente un movimiento lateral, el robo de datos o de credenciales.

La inteligencia guía tu búsqueda de amenazas ocultas que ya están presentes en tu entorno. Si te enfocas en IOC y TTP conocidos pertinentes para tu industria, puedes descubrir ataques sofisticados que evaden la detección automatizada. Por ejemplo, si los grupos de amenazas que atacan tu sector suelen usar técnicas de aprovechamiento de recursos locales con herramientas administrativas, puedes buscar usos anómalos de esas herramientas.

La inteligencia contra amenazas aplicada en Google Security Operations va más allá del almacenamiento de indicadores de compromiso y comportamientos de adversarios. Utiliza la comprensión de Google del panorama de amenazas, incluida la inteligencia de amenazas emergentes de Mandiant, y aplica este conocimiento a tu entorno específico. El sistema correlaciona automáticamente los datos de amenazas con tu telemetría de seguridad para identificar amenazas pertinentes sin análisis manual. Obtienes resultados priorizados y prácticos que conectan eventos, alertas, recursos y usuarios en una historia coherente para que puedas adelantarte a las amenazas más recientes.

El enfoque basado en requisitos estructura la forma en que recopilas y usas la inteligencia contra amenazas en función de las necesidades reales de tu organización. Este proceso cumple explícitamente con las necesidades especificadas de todas las partes interesadas relevantes en el ciclo de vida de la inteligencia contra amenazas. Comienza con un perfil de amenazas que ofrece contexto sobre las amenazas más relevantes en tu sector, industria y región. El análisis de las partes interesadas produce requisitos de inteligencia y casos de uso que informan tu planificación de recopilación y el desarrollo de activos de recopilación. Estos elementos se combinan para formar líneas de servicio que generan resultados que cumplen con los requisitos de las partes interesadas, los formatos y la frecuencia de los informes.

Este enfoque incluye varios componentes que trabajan en conjunto. La planificación y la dirección establecen qué inteligencia necesitas y por qué. La recopilación reúne datos sin procesar de fuentes relevantes. El procesamiento convierte esos datos en formatos estructurados. El análisis transforma los datos procesados en estadísticas prácticas. La divulgación entrega esas estadísticas a los responsables de la toma de decisiones y a los equipos de seguridad que pueden actuar en función de ellas. Puedes aplicar este marco de trabajo en varios casos de uso, desde la gestión de vulnerabilidades hasta la búsqueda de amenazas y la planificación de la arquitectura de seguridad.

La inteligencia contra amenazas se vuelve más valiosa cuando la aplicas a tu entorno específico y a los desafíos de seguridad. Google Threat Intelligence combina estadísticas de la supervisión de más de 500 agentes de amenazas con capacidades de detección automatizada, lo que te brinda inteligencia priorizada pertinente para tu industria y región. Si integras estas capacidades en tus operaciones de seguridad, puedes pasar de recopilar datos de amenazas a prevenir ataques.

Explorar nuestras soluciones de inteligencia contra amenazas