Detecte y contenga el movimiento lateral en la nube con Illumio Insights

La adopción de la nube se está disparando y con ella llega una nueva ola de amenazas.  

Los atacantes no entran simplemente "entrando". Se mueven a través de su red lo más rápido posible y buscan activos de alto valor en toda la extensa infraestructura de nube. Esta táctica se llama movimiento lateral y es una de las brechas de seguridad más difíciles de detectar y contener.

La detección y respuesta a amenazas tradicionales no son suficientes. La fatiga por alertas, las herramientas aisladas y los puntos ciegos dejan a los equipos de seguridad luchando mientras los actores maliciosos avanzan silenciosamente por el tráfico de este a oeste.  

La buena noticia es que una nueva generación de herramientas de detección y respuesta impulsadas por inteligencia artificial (IA) está cambiando el juego.

En esta publicación, analizaremos qué es el movimiento lateral, por qué es un riesgo tan crítico en los panoramas de amenazas actuales, cómo la IA está ayudando a detectar anomalías y contener a los atacantes, y por qué Illumio Insights es el camino más inteligente a seguir.

¿Qué es el movimiento lateral?

Si los atacantes obtienen acceso a su entorno, su primer paso generalmente no es exfiltrar datos ni ejecutar ransomware.  

En lugar de eso, hurgan por ahí. Buscan conexiones, intentan escalar privilegios y explotan brechas en los controles de seguridad para adentrar más en su entorno.

Se trata de un movimiento lateral, que consiste en desplazar lateralmente a través de las cargas de trabajo una vez que se establece un punto de apoyo inicial.

Piense en ello como un ladrón que entra por una ventana que no está cerrada con llave. No agarran lo primero que ven. Exploran, prueban puertas y finalmente encuentran la caja fuerte con sus objetos más valiosos en el dormitorio trasero.

En entornos de nube, esa “seguridad” podría ser:

• Una base de datos con información PII del cliente
• Una canalización de DevOps con secretos y tokens
• Las integraciones de SaaS son fundamentales para las operaciones comerciales

Los objetivos de los atacantes son la persistencia y el privilegio. El movimiento lateral es su camino hacia ambos.

¿Por qué es tan difícil detectar el movimiento lateral en la nube?

Los equipos de seguridad confían en capturar el tráfico norte-sur (el flujo de entrada y salida entre los usuarios e Internet). Pero el tráfico este-oeste (la comunicación entre cargas de trabajo dentro de entornos híbridos) es otra historia.

He aquí por qué detectar el movimiento lateral en la nube es tan difícil:

• Los puntos ciegos se multiplican. Las cargas de trabajo en la nube, en constante cambio, aparecen y desaparecen constantemente. Sin una seguridad consistente que cambie con él, los atacantes pueden explotar las brechas. ‍
• Las alertas se acumulan. Las herramientas que generan miles de señales a menudo no pueden separar el ruido de las verdaderas amenazas emergentes. Esto genera fatiga de alertas en el equipo del centro de operaciones de seguridad (SOC) y la posibilidad de pasar por alto alertas importantes. ‍
• Las anomalías se esconden a simple vista. Sin un análisis de comportamiento inteligente, la actividad sospechosa del usuario parece tráfico normal. Los atacantes pueden esconder en las sombras de su entorno de nube durante mucho tiempo para evitar ser detectados.  ‍
• La identidad es objeto de abuso. Las credenciales robadas permiten a los actores de amenazas actuar como si fueran personas internas, eludiendo las defensas tradicionales. Los inicios de sesión pueden parecer legítimos y permitir que los atacantes evadan su seguridad. ‍
• Las herramientas heredadas no pueden seguir el ritmo. Las herramientas de detección y respuesta heredadas no fueron diseñadas para detectar movimiento lateral en la infraestructura de nube moderna. Esto deja brechas de seguridad e inconsistencias que los atacantes encuentran y aprovechan.

A pesar de que el gasto en seguridad es mayor que nunca, las organizaciones están luchando por proteger la nube híbrida. No es de extrañar que los actores maliciosos puedan permanecer sin ser detectados durante semanas mientras se preparan para lanzar ataques devastadores.

Las herramientas de detección y respuesta más populares en la actualidad

Las organizaciones dependen de múltiples categorías de herramientas para la detección y respuesta ante amenazas.

SIEM  

Los SIEM (gestión de eventos e información de seguridad) recopilan registros y telemetría de todo su entorno.  

Son excelentes para archivar grandes cantidades de datos, correlacionar alertas y respaldar el cumplimiento. Pero en la práctica, los SIEM a menudo tienen problemas con la velocidad.  

Para cuando los analistas analizan los registros, es posible que los actores maliciosos ya aumentaron sus privilegios y se movieron lateralmente.  

Los SIEM son reactivos. Te cuentan lo que pasó luego del hecho, no lo que está sucediendo en el monitoreo en tiempo real.

EDR y XDR  

Las herramientas EDR (detección y respuesta de puntos finales) se centran en la actividad de los puntos finales, como el seguimiento de procesos, cambios de archivos y actividad del usuario en servidores y dispositivos.

Son muy eficaces contra ransomware o ataques de phishing que introducen malware en una computadora portátil. Pero cuando se produce un movimiento lateral a través de la infraestructura de la nube, EDR no siempre puede seguir al atacante más allá del punto final.  

Las plataformas XDR (detección y respuesta extendidas) amplían la visibilidad en el email, la identidad y los puntos finales, pero aún tienen puntos ciegos a la hora de detectar el tráfico de este a oeste en la nube.

NDR  

Las soluciones NDR (detección y respuesta de red) monitorean los flujos de la red, aplicando análisis de comportamiento y aprendizaje automático para detectar anomalías en el tráfico. Son particularmente fuertes a la hora de detectar comunicaciones laterales inusuales o canales ocultos de comando y control.  

Sin embargo, en entornos de nube elásticos y efímeros donde las cargas de trabajo aumentan y disminuyen constantemente, la NDR puede ver afectada por la escala y la complejidad. Los atacantes pueden integrar en los patrones normales del tráfico de red y eludir incluso los filtros más inteligentes.

IAM y PAM

Dado que la mayor parte del movimiento lateral depende de credenciales comprometidas, las herramientas IAM (gestión de identidad y acceso) y PAM (gestión de acceso privilegiado) son fundamentales. Ayudan a imponer controles de seguridad, gestionar los privilegios mínimos y evitar la escalada de privilegios sin control.

Pero no proporcionan visibilidad de lo que hacen los atacantes después de secuestrar cuentas válidas. En otras palabras, pueden bloquear el abuso inicial, pero a menudo pasan por alto la actividad posterior de los actores de amenazas una vez que se obtiene acceso.

SOAR  

Las plataformas SOAR (orquestación de seguridad, automatización y respuesta) están diseñadas para acelerar la respuesta a las violaciones de la nube mediante la automatización de los flujos de trabajo. Se integran con SIEM, EDR y otras herramientas para activar estrategias (como deshabilitar una cuenta o aislar un host) cuando se detecta una amenaza.  

Sin embargo, la eficacia de SOAR depende enteramente de la calidad de las detecciones que lo alimentan. Si las herramientas anteriores no detectan las anomalías detectadas en el movimiento lateral, SOAR no puede responder a ellas.

CSPM y CNAPP

Las herramientas nativas de la nube como CSPM (gestión de la postura de seguridad en la nube) y CNAPP (plataformas de protección de aplicaciones nativas de la nube) se centran en la configuración y el cumplimiento en entornos de nube. Reducen el riesgo al garantizar que existan líneas de base de seguridad en todos los servicios y cargas de trabajo.  

Si bien son esenciales para prevenir configuraciones incorrectas, la mayoría no están diseñados para detener a los actores de amenazas activos que se mueven lateralmente a través de su nube híbrida.

Cómo la IA potencia la detección y respuesta en la nube

Cada herramienta de detección y respuesta a las nubes aporta una pieza del rompecabezas. Lo que falta es la correlación: la capacidad de analizar grandes conjuntos de datos, detectar anomalías en contexto y comprender cómo se mueven los actores maliciosos dentro de entornos híbridos.  

Ahí es donde la IA cambia el panorama.

El cambio hacia la IA en la seguridad de la red es esencial. Los atacantes ya automatizan. Los defensores necesitan aprovechar la IA para contraatacar.

La IA ofrece a su equipo de seguridad una forma rápida y automatizada de:

• Analizar grandes cantidades de datos. La IA puede procesar registros, flujos y telemetría a una escala que ningún equipo humano podría gestionar. ‍
• Monitorizar la red en tiempo real. Permite detectar ataques de phishing, movimientos laterales y otros comportamientos a medida que ocurren. ‍
• Detecta anomalías más rápidamente. El análisis del comportamiento impulsado por IA destaca los riesgos que las herramientas tradicionales pasan por alto. ‍
• Priorizar las alertas según el riesgo. Los analistas ven primero las rutas de ataque más riesgosas, no solo una avalancha de alertas. ‍
• Reconocer rápidamente patrones de comportamiento. La IA identifica comportamientos repetibles de actores maliciosos y actores de amenazas en diferentes entornos.

Gráficos de seguridad de IA: mapeo de las rutas de ataque ocultas de la nube

Una innovación clave de la IA en la ciberseguridad son los gráficos de seguridad. Un gráfico de seguridad de IA crea un mapa dinámico y dinámico de su infraestructura en la nube. Conecta cada carga de trabajo, usuario y comunicación y luego emplea IA para resaltar patrones inusuales.

Con él, los equipos de seguridad pueden:

• Detectar el tráfico este-oeste a escala
• Ver anomalías detectadas en contexto
• Simular escenarios hipotéticos para probar los controles de seguridad
• Detectar intentos de escalada de privilegios antes de que tengan éxito
• Comprender el radio de explosión potencial de una brecha

Al aprovechar la IA, los equipos van más allá de las alertas reactivas y pasan a una respuesta proactiva ante las violaciones de la nube.

Illumio Insights: Detección y contención de infracciones impulsadas por IA

Aquí es donde Illumio Insights cumple su función. Es la primera plataforma que combina la segmentación automatizada con la detección y respuesta ante amenazas impulsadas por IA.  

Con Insights, desbloqueas:

• Detección de brechas de inteligencia artificial: detectamovimientos laterales que los atacantes intentan ocultar. ‍
• Visibilidad unificada: mapee cada carga de trabajo y actividad del usuario en nubes híbridas. ‍
• Detección de anomalías: identifique anomalías en el monitoreo en tiempo real empleando análisis de comportamiento basado en IA. ‍
• Respuesta priorizada: sepa qué actores de amenazas y rutas de ataque son más importantes. ‍
• Contención automatizada: bloquee instantáneamente las conexiones este-oeste riesgosas mediante la aplicación de políticas.

Al aprovechar el gráfico de seguridad de IA, Insights le permite ver, comprender, priorizar y contener ataques de movimiento lateral antes de que se propaguen por su red.

Por qué Illumio Insights es importante en el panorama de amenazas actual

Nunca hubo tanto en juego. Los actores de amenazas se están adaptando rápidamente y emplean ataques impulsados por IA para introducir de forma rápida y silenciosa en la infraestructura de la nube.  

Están explotando las brechas en los controles de seguridad y enmascarando sus movimientos en actividades de usuarios que parecen normales.

Los defensores no pueden seguir el ritmo únicamente con métodos manuales. Necesitan IA para detectar amenazas internas, detectar brechas de IA y herramientas que puedan analizar grandes cantidades de datos en tiempo real.

Por eso es importante Illumio Insights. Proporciona a los equipos de seguridad el poder de luchar contra actores maliciosos en igualdad de condiciones, empleando IA para descubrir anomalías detectadas a escala, contener infracciones al instante y restaurar la confianza en su capacidad para detener ataques.

Contener el movimiento, controlar el resultado

El perímetro desapareció. Las infracciones son inevitables. La verdadera pregunta es si puedes evitar que se muevan una vez que están dentro de tu red.

Con Illumio Insights, puedes hacerlo. Al combinar IA para la seguridad en la nube con la segmentación, Insights permite a los equipos detectar anomalías, contener el movimiento lateral y detener las amenazas emergentes antes de que causen daños duraderos.

En el panorama de amenazas actual, las organizaciones que sobreviven no son las que detienen cada intrusión. Son ellos los que detectan y contienen el movimiento lateral en tiempo real.

Comienza tu Prueba gratis de Illumio Insights Hoy.