Desde el momento en que llega, ya sea a través de MISP o Mandiant, el valor y la eficacia de la inteligencia de amenazas cibernéticas (CTI) comienza a degradarse para las organizaciones que pretenden consumirla. Los datos que alguna vez fueron esenciales para evaluar y reducir el riesgo se vuelven obsoletos, ya que los adversarios adaptan constantemente sus tácticas, técnicas y procedimientos (TTP). El Centro Nacional de Seguridad Cibernética (NCSC) ha informado que los actores de amenazas han comenzado a aprovechar la inteligencia artificial, con la expectativa de que pronto la utilicen para evolucionar y mejorar sus TTP existentes. Este advenimiento de la IA está agravando el desafío de la degradación de la inteligencia de amenazas. La información que alguna vez fue una pepita de oro defensiva puede convertirse rápidamente en oro de tontos, dejando a las organizaciones expuestas a nuevas amenazas.

Al observar una de las aplicaciones más prácticas de la inteligencia de amenazas en una organización—el proceso de gestión de amenazas—resulta alarmante cómo estos problemas se están agravando.

Las ineficiencias del proceso de gestión de amenazas

Cuando una pieza de inteligencia de amenazas llega al radar de un equipo de seguridad, pasa por múltiples equipos con el objetivo final de evaluar la preparación defensiva de la organización y permitir la remediación de cualquier exposición. Esto suele iniciarse desde la dirección de seguridad o un directivo preguntando: "¿Estamos protegidos contra [insertar CVE famoso]?", o desde alguien dentro de la función de detección y respuesta.

Un ejemplo simplificado de este ciclo de vida sería el siguiente:

  • El equipo de inteligencia de amenazas recibe un informe, determina su relevancia y comienza a extraer la información técnica relevante. Los analistas intentan llenar los vacíos donde faltan detalles técnicos, discernir qué componentes del ataque son procesables y cómo transmitir mejor la información a los equipos descendentes.
  • El equipo de seguridad ofensiva recibe la información y comienza a desarrollar pruebas de seguridad que reflejen la amenaza. Los miembros del equipo rojo despliegan infraestructura de pruebas y ejecutan pruebas en un entorno cercano a producción, posiblemente perdiendo las configuraciones y heurísticas XDR del entorno de producción. Finalmente, contextualizan los resultados y preparan un informe para el siguiente equipo.
  • El equipo de ingeniería de detección revisa el informe y, utilizando su conocimiento de la sintaxis de consultas del proveedor, comienza a llenar los vacíos de cobertura. Determinan la cobertura de telemetría, escriben lógica de detección y estimulan los controles defensivos para validar que sus nuevas detecciones funcionan.
  • Finalmente, los equipos trabajan (idealmente) de forma colectiva para generar una atestación resumida que proporcione cierto nivel de garantía sobre sus nuevas capacidades de protección.

Este proceso puede llevar semanas o meses. Si el nombre del juego para la inteligencia de amenazas es la velocidad, entonces esta es una batalla perdida para los defensores de la red.

Cuando se considera la abundancia de amenazas que los equipos de seguridad deben abordar y el intensivo proceso de gestión de amenazas descrito anteriormente, tiene mucho sentido por qué los equipos de seguridad tienen un backlog significativo de amenazas que necesitan ser trabajadas, algo que solo empeorará con la inminente cascada de ataques habilitados por IA. Mientras tanto, sus controles defensivos están ahí, probablemente capaces de detener amenazas pero necesitados de actualización.

Aprovechando la IA en el proceso de gestión de amenazas

Entonces, si los equipos de seguridad ya están acumulando un backlog de inteligencia de amenazas para procesar y la IA está aumentando el volumen y la velocidad de las amenazas, ¿cómo pueden los equipos de seguridad recuperar el impulso frente a los actores de amenazas? Más IA, por supuesto. Aquí están las tres aplicaciones tácticas más efectivas que estamos viendo que los equipos aplican para mover su inteligencia de amenazas más rápidamente a través del proceso de gestión de amenazas:

Procesamiento de inteligencia de amenazas

Los informes de inteligencia de amenazas suelen ser muy densos y extensos. Un buen ejemplo público sería el aviso de CISA de febrero de 2024 sobre el compromiso de la República Popular China y el acceso persistente a infraestructura crítica en EE.UU. Este informe tiene al menos cuarenta páginas y está repleto de detalles técnicos moderadamente complejos. Para un analista de inteligencia de amenazas, procesar esto y generar un resumen ejecutivo para otros miembros del equipo puede ser una tarea ardua. La IA y los modelos de lenguaje grande (LLM) pueden ser un gran acierto aquí. Con la ayuda de la IA, los analistas pueden extraer rápidamente la información clave, personalizar el alcance y la profundidad técnica del resumen para diferentes audiencias y, con más sofisticación, potencialmente mejorar la clasificación. Los equipos que invierten en IA y entrenan bots en el contexto organizacional necesario pueden mejorar drásticamente la velocidad y eficiencia de sus equipos de analistas.

Convertir la inteligencia de amenazas en pruebas de seguridad

Actuar sobre los IOC (indicadores de compromiso) como hashes y direcciones IP de un informe de inteligencia de amenazas es ciertamente valioso, pero un ejercicio algo trivial dada la adopción de SOAR y módulos de ingesta de IOC integrados directamente en las tecnologías defensivas. Se podría argumentar que las pruebas son innecesarias aquí. En realidad, el mayor obstáculo para los equipos de seguridad es el arte de la guerra más avanzado basado en los comportamientos del actor de amenazas al moverse e interactuar con el entorno. Para comprender si los controles defensivos son capaces de ver, detectar o prevenir estas acciones, los equipos deben crear pruebas de seguridad que simulen estos comportamientos. Estas pruebas deben ser estructuradas, seguras y de suficiente fidelidad para garantizar que la evaluación tenga valor real. Al igual que con los equipos de analistas, dotar a los equipos de seguridad ofensiva con capacidades autónomas puede generar ahorros de tiempo masivos y un tiempo de aseguramiento más rápido. Entrenada con un conocimiento adecuado de ingeniería inversa y los internals del sistema operativo, la inteligencia artificial puede generar pruebas que representen técnicas observadas de los adversarios y evaluar rápidamente las respuestas defensivas contra estas.

Generar detecciones para cobertura faltante

Después de completar las pruebas y que el equipo haya identificado brechas de protección, el testigo pasa al equipo de ingeniería de detección para generar nuevas capacidades defensivas. Esto es una fase de prueba y error donde el ingeniero de seguridad utiliza su conocimiento de los internals del sistema y la sintaxis de consultas para construir lógica que alerte sobre los comportamientos de la amenaza con alta confianza y bajos falsos positivos. Un modelo entrenado con un fuerte contexto de las capacidades de control defensivo y el lenguaje de consultas es capaz de crear detecciones, o al menos un 'primer borrador', de detecciones directamente a partir del informe de inteligencia de amenazas inicial. La IA proporciona el impulso faltante que coloca a los equipos de seguridad en una posición mucho más viable para evaluar con precisión la garantía, limpiar su backlog y responder rápidamente a las amenazas. A medida que el ritmo de las amenazas continúa acelerándose, los equipos de seguridad ganan cuando aprovechan las herramientas que sus adversarios ya están utilizando.

Gestión de amenazas a velocidad de máquina con Prelude Security

Prelude Security ofrece una forma para que los equipos de seguridad multipliquen la fuerza de su programa de gestión de amenazas y aseguren que sus defensas se actualicen autónomamente a velocidad de máquina. Las organizaciones pueden convertir su inteligencia de amenazas en nuevas protecciones validadas en menos de cinco minutos. Aprovechando las oportunidades disponibles con la IA, las organizaciones simplemente cargan informes de inteligencia de amenazas y la plataforma genera automáticamente detecciones y pruebas de seguridad acompañantes. Esto brinda a las organizaciones la capacidad de saber con certeza que están protegidas contra amenazas emergentes. Las organizaciones ya no tienen que depender únicamente de pruebas manuales y remediaciones que las mantienen expuestas durante semanas o más. Experimente el impacto por sí mismo poniéndose en contacto.