Reducir el tiempo que lleva detectar, investigar y responder a las amenazas es esencial para detener los ataques en la nube. ¡Fácil de decir, más difícil de implementar! Pero los CDR están ahí…
Los ataques modernos han evolucionado significativamente para volverse más rápidos y agresivos y son cada vez más difíciles de contrarrestar. Los ataques a la nube ocurren extremadamente rápido y principalmente aprovechan la automatización para obtener acceso a datos y recursos confidenciales. Para los defensores, contrarrestar ataques tan deslumbrantes puede parecer imposible porque no es necesario no más de 10 minutos para que los atacantes identifiquen un exploit y ejecuten completamente su ataque…
Además, los atacantes están utilizando técnicas nuevas y desconocidas basadas en IA. escribir código malicioso, crear malware, llevar a cabo campañas de phishing o ingeniería social muy específicas e incluso generar deepfakes de vídeo y voz muy realistas, que son difíciles de anticipar. Estas técnicas aumentan la velocidad, efectividad y escala de los ataques. Reducen las barreras de entrada, destruyen los principios básicos de seguridad de la identidad y permiten a los actores maliciosos eludir las defensas iniciales.
En este panorama que cambia rápidamente, la prevención por sí sola ya no es suficiente. Los defensores deben priorizar la detección y parada de ataques desconocidos en tiempo real. Para construir una defensa fuerte, La gestión de identidades, el acceso y las vulnerabilidades y la implementación de otros controles preventivos son particularmente importantes.
Sin embargo, ninguna organización puede defenderse eficazmente contra los exploits de día cero. sin una solución de detección y respuesta en la nube (CDR) diseñada específicamente.
Qué equipos de seguridad faltan
Los atacantes modernos aprovechan la inmensidad y complejidad de la infraestructura de la nube para evadir las defensas. Se mueven fácilmente entre nubes públicas, cargas de trabajo e infraestructuras locales.. Los equipos de seguridad tienen entonces dificultades para monitorear sus acciones en tiempo real. Para defenderse de estos ataques, los profesionales de la seguridad deben identificar rápidamente los movimientos de los atacantes y crear un hilo narrativo coherente a partir de detalles enredados, como el punto de partida del ataque, las identidades y permisos que fueron explotados y los objetivos y objetivos del ataque.
Las herramientas EDR y XDR existentes, a pesar de su popularidad, no brindan una visibilidad adecuada de la nube.y los equipos deben conformarse con datos incompletos y aislados y un contexto de nube insuficiente. Sin la capacidad de correlacionar los hallazgos sobre el comportamiento de la identidad, la actividad de la carga de trabajo y los recursos de la nube, los equipos de seguridad no pueden crear una imagen completa del ataque. La detección y la respuesta deben ocurrir en minutos, lo que significa que este proceso debe ser automatizado y ejecutado en tiempo real.
Los patrones de ataques recientes destacan tres áreas clave en las que los equipos de seguridad necesitan ayuda para hacer frente a ataques desconocidos:
1 – Falta de información sobre las identidades y su comportamiento
Las credenciales son el principal vector de ataque utilizado para llevar a cabo ataques en la nube, aunque la información inicial sobre las identidades y su comportamiento sigue siendo limitada. Según el Informe de investigaciones de vulneración de datos de Verizon 2024, Las credenciales explotadas representan el vector de ataque inicial más común y se utilizan en casi el 40% de las filtraciones.
Los atacantes se mueven entre diferentes máquinas en la nube, desvinculando el comportamiento de identidad y la actividad de la carga de trabajo y dificultando la reconstrucción del historial completo de un ataque, incluso después de la detección inicial. La explosión de identidades no humanas/máquinas añade un poco más de complejidad.
Con miles de usuarios, permisos y registros para analizar, las herramientas EDR/XDR no brindan suficiente visibilidad de las actividades de los usuarios en torno a las identidades en la nube. especialmente en entornos de nube híbrida y multinube.
2 – Cobertura incompleta debido a la naturaleza compleja de la Nube
El alcance de la Nube hoy es multidimensional en su complejidad, diversidad e inmensidad. Cubrir la variedad de cargas de trabajo en entornos de nube pública, privada e híbrida es un verdadero desafío. Los exploits se manifiestan en cargas de trabajo y servicios en la nube, pero los patrones forenses suelen ser visibles mucho antes en las identidades comprometidas asociadas. Hay demasiadas lagunas porque las herramientas no permiten Obtenga una visibilidad profunda de las tres diferentes construcciones nativas de la nube: contenedores, clústeres de Kubernetes, microservicios, entre otros.
También en este caso, las herramientas EDR/XDR tienen limitaciones porque no pueden proporcionar una visibilidad completa ni reconocer modelos forenses maliciosos cuando se trata de una infraestructura nativa de la nube.
Por otro lado, los proveedores de gestión de la postura de seguridad en la nube (CSPM) adopta un enfoque estrictamente sin agentes que no proporciona cobertura real en tiempo real. De Muchos proveedores centrados en CSPM también han lanzado al mercado guardias de seguridad inmaduros, pero estos Los agentes causan muchos problemas: alto consumo de recursos, tiempos de respuesta lentos y procesos de instalación tediosos. Estas brechas en la cobertura y la visibilidad dejan ciegos a los defensores de la nube y, a menudo, provocan retrasos en la detección de amenazas, mayores costos operativos y un mayor riesgo de infracciones.
3 – Los silos impiden que los equipos colaboren para fortalecer las defensas
Los equipos de seguridad consideran por separado las actividades de detección de la nube y los escenarios de uso de la postura de la nube, como la gestión de autorizaciones e identidades de la nube. Esta visión impide que la información de identidad se comparta en todo el espectro; sin embargo, la mayoría de los ataques a la nube en los últimos años han demostrado un vínculo entre las identidades, las cargas de trabajo y los recursos de la nube comprometidos.
Por tanto, es urgente vincular las actividades de detección y prevención.
La respuesta: el CDR real
Las herramientas EDR y XDR son muy efectivas para proteger las estaciones de trabajo, pero fundamentalmente no son adecuadas para la seguridad en la nube. Para frustrar eficazmente los ataques en curso, la respuesta es Respuesta de detección de nube o CDR, que proporciona visibilidad completa de la infraestructura de la nube y abarca identidades, cargas de trabajo y recursos de la nube.
La detección y la prevención no pueden considerarse aisladas. Para anticipar las intenciones de los atacantes y adelantarse a los ataques, los defensores necesitan una herramienta que correlacione el comportamiento de la identidad con la actividad de la carga de trabajo para obtener información. juntos en tiempo real. El contexto de identidad está en el centro de una estrategia de confianza cero para la nube, pero también debe integrarse en los flujos de trabajo de detección y respuesta.
Al integrar el contexto de identidad, los equipos de seguridad pueden responder a las amenazas tan pronto como detectan acciones basadas en la identidad, como la creación de usuarios privilegiados, que suele ser la etapa inicial del ataque. Esta integración del contexto de identidad, mejorada por la cobertura ampliada de la carga de trabajo, permite a los equipos de seguridad detener los ataques a la primera señal de compromiso. Para detener las amenazas en la Nube al inicio de la cadena de ataque, la única respuesta viable es la implementación de soluciones de seguridad… diseñadas para la Nube.
_______________________________________
Par Philippe DarleyExperto en ciberseguridad en la nube en Sysdig
Lea también:
Sysdig lanza la segunda generación de su Cyber-AI: Sysdig Sage
5 consejos para mitigar las amenazas a su infraestructura…
CDR: Wiz rechaza la oferta de adquisición de Google
El XDR: ¿caballero al servicio de la ciberseguridad?
HarfangLab recauda 25 millones de euros para convertirse en líder europeo en EDR
[
