La ciberseguridad está experimentando una transformación necesaria: pasar de reaccionar ante las amenazas a anticiparlas y abordarlas de forma proactiva mediante la Defensa Informada por Amenazas (TID). Este cambio enfatiza la disciplina operativa por encima de acumular más herramientas. Implica usar inteligencia de amenazas para optimizar las tecnologías existentes, mejorar la calidad de las señales de seguridad y centrar los esfuerzos en las amenazas más relevantes para cada organización. El objetivo es identificar y cerrar continuamente las brechas de seguridad combinando información de amenazas externas con capacidades de defensa internas.

¿Cómo poner en práctica la TID? El equipo de Filigran ha desglosado el marco TID en un proceso de seis etapas para que los líderes de ciberseguridad puedan desarrollar acciones concretas. En este artículo compartimos los detalles para que los equipos de seguridad también puedan aprovecharlo y respaldar la TID.

¿Qué es la Defensa Informada por Amenazas?

Defendida inicialmente por MITRE, la Defensa Informada por Amenazas (TID) aprovecha el marco MITRE ATT&CK para mapear cómo operan los actores de amenazas reales y alinear las defensas en consecuencia. Se sustenta en tres pilares:

  • Inteligencia de ciberamenazas: recopilar, ingerir y procesar toda la inteligencia de amenazas para hacerla contextual y relevante. Ir más allá de los IOCs para comprender los comportamientos y la intención del adversario, que son más duraderos y costosos de cambiar para los atacantes.
  • Medidas defensivas: traducir la inteligencia de amenazas priorizada en detecciones, hardening, playbooks de respuesta y configuraciones; utilizarla adecuadamente para que haga el trabajo por usted. Adaptar los controles a las amenazas más probables que le ataquen.
  • Pruebas y evaluación: planificar la emulación de adversarios y ejecutar simulaciones continuas de brechas y ataques para verificar la cobertura y evitar regresiones. Obtener visibilidad granular de la efectividad de los programas de seguridad. Automatizar y escalar para la validación y mejora continua de la postura de seguridad.

Hoy, los equipos de seguridad enfrentan presupuestos más ajustados y recursos limitados. Como resultado, muchos CISO están cambiando su enfoque de adoptar constantemente nuevas herramientas a aprovechar al máximo las tecnologías que ya poseen. Este cambio de mentalidad impulsa un enfoque más proactivo de la ciberseguridad. En lugar de esperar a que ocurran las amenazas, los líderes se hacen preguntas críticas como '¿Quién podría atacarnos?', '¿Cómo operan?', '¿Son nuestras defensas suficientemente sólidas?' y '¿Cuál es nuestro plan si algo falla?'. Implementar una estrategia TID requiere romper los silos entre equipos, fomentando la colaboración y el intercambio de información entre operaciones de seguridad, inteligencia de amenazas y grupos de pruebas.

De la idea a la ejecución: el pipeline de Defensa Informada por Amenazas

Similar a la Gestión Continua de Exposición a Amenazas (CTEM), la TID es un concepto, una estrategia de ciberseguridad. Las organizaciones pueden adoptar e implementar la TID mediante diversos enfoques, ya sea usando soluciones comerciales, herramientas de código abierto o implementaciones híbridas. Por ejemplo, un enfoque podría implicar aprovechar el conjunto de herramientas de gestión de amenazas extendida (XTM) de código abierto de Filigran, que combina una plataforma de inteligencia de amenazas con capacidades de emulación de adversarios. Estas soluciones integradas ayudan a los equipos de seguridad a operacionalizar la TID a través de seis etapas accionables.

Etapa 01: Evaluación estratégica del panorama de amenazas

Objetivo: Identificar qué adversarios, malware y campañas son más relevantes para su modelo de negocio, pila tecnológica y región. Cómo: La evaluación de amenazas en la defensa informada por amenazas implica evaluar y priorizar sistemáticamente los actores de amenazas específicos, sus capacidades, tácticas, técnicas y procedimientos (TTPs) que tienen más probabilidades de atacar los activos críticos de su organización. Una plataforma de inteligencia de amenazas (TIP) permite recopilar, analizar, refinar y compartir inteligencia de amenazas priorizada, siendo un componente útil para este paso. Resultado: Una lista de vigilancia priorizada con criterios de inclusión claros y anotaciones de analistas.

Etapa 02: Seguimiento de actores y malware

Objetivo: Mantenerse al día con la evolución de TTPs e indicadores mientras se filtra el ruido. Cómo: Mantener listas de vigilancia adaptativas; triar informes entrantes; etiquetar IOCs y TTPs y distribuirlos a SIEM/EDR/SOAR. Las TIP modernas como OpenCTI, basada en código abierto, utilizan modelos de grafos de conocimiento para proporcionar visualizaciones potentes que vinculan campañas, malware, técnicas y vulnerabilidades explotadas. Resultado: Vistas continuamente actualizadas de amenazas activas e informes automatizados listos para las partes interesadas que muestren el progreso del programa.

Etapa 03: Mapeo de TTPs e informes

Objetivo: Ver dónde los comportamientos de los atacantes superan a sus defensas. Cómo: Las Amenazas Persistentes Avanzadas (APTs) y los atacantes oportunistas atacan cada vez más la superficie de ataque expandida creada por las arquitecturas nativas de la nube, aprovechando configuraciones incorrectas en entornos multinube, explotando vulnerabilidades de escape de contenedores, envenenando tuberías CI/CD con código malicioso y realizando ataques basados en identidad mediante credenciales robadas y claves API. OpenCTI puede servir como un habilitador crítico para esta evaluación al centralizar y correlacionar la inteligencia de amenazas específica de su pila tecnológica, ingiriendo automáticamente indicadores y TTPs de múltiples fuentes (incluyendo feeds de amenazas de proveedores de nube, avisos de seguridad de contenedores e investigación de amenazas centrada en identidad). La plataforma mapea estas amenazas al marco MITRE ATT&CK, permitiendo a los equipos de seguridad visualizar grupos adversarios. Resultado: Una lista priorizada de TTPs lista para la emulación de adversarios y la ingeniería de detección.

Etapa 04: Simulación de brechas y ataques

Objetivo: Demostrar si sus controles de seguridad detectan y responden según lo diseñado. Cómo: Probar los controles de seguridad en TID va más allá del escaneo genérico de vulnerabilidades y las comprobaciones de cumplimiento para validar si sus defensas realmente detienen los comportamientos adversarios específicos que atacan a su organización. Las herramientas de Validación de Exposición de Adversarios (AEV) hacen que la inteligencia de amenazas sea accionable al emular las técnicas exactas que emplean sus actores de amenazas más probables. OpenBAS, de código abierto de Filigran, proporciona escalabilidad para diseñar y ejecutar ejercicios de equipo púrpura, simulaciones de brechas y ataques, y pruebas atómicas de equipo rojo. También retroalimenta los resultados en OpenCTI para mantener el contexto con las amenazas que importan. Resultado: Un bucle de retroalimentación continua que detecta regresiones, valida detecciones e informa correcciones de ingeniería.

Etapa 05: Validación de controles e inversión

Objetivo: Traducir la inteligencia y las pruebas en remediación dirigida y decisiones presupuestarias. Cómo: Usar series temporales y snapshots históricos para mostrar tendencias de cobertura y reducción de riesgos. Aplicar las guías de remediación de OpenBAS para ajustar configuraciones, actualizar reglas y planificar actualizaciones o reemplazos. La validación continua mediante la combinación de OpenCTI y OpenBAS crea un bucle de retroalimentación que informa las inversiones estratégicas y las decisiones arquitectónicas con una precisión sin precedentes. La naturaleza cuantificable de estos conocimientos permite a los CISO justificar las solicitudes de presupuesto con métricas específicas de reducción de riesgos y priorizar los esfuerzos de ingeniería en función del impacto real del adversario. Resultado: Priorización basada en evidencia que mejora la resiliencia diaria e informa la planificación trimestral.

Etapa 06: Revisión trimestral

Objetivo: Recalibrar la estrategia y mantener la alineación con la dirección. Cómo: Consolidar los conocimientos sobre amenazas, la cobertura de controles y los resultados de las simulaciones en informes listos para la dirección. Recomendamos realizar esto como un ejercicio trimestral para compartir con las partes interesadas clave. Esto crea un sistema de circuito cerrado donde la inteligencia de amenazas impulsa directamente las prioridades de validación de seguridad. Revisar las amenazas rastreadas, las prioridades comerciales y el apetito de riesgo como parte de un ritmo más amplio de Gestión Continua de Exposición a Amenazas (CTEM). Resultado: Un programa vivo que se mantiene alineado con el riesgo empresarial y la realidad del adversario.

¿Listo para hacer el cambio a la Defensa Informada por Amenazas?

Utilice la TID para cambiar la conversación del ciclo de vida tradicional de seguridad (protección/detección/respuesta) a la búsqueda proactiva de brechas en sus controles de seguridad y la reducción de riesgos cibernéticos. El enfoque empírico de la TID proporciona métricas que importan, pasando de 'bloqueamos 10 millones de ataques' a 'podemos detectar y detener el 85% de las técnicas utilizadas por los grupos de ransomware que atacan activamente nuestro sector, y esto es lo que vamos a hacer para cubrir el 15% restante'. Si desea obtener más información sobre TID, el conjunto de productos de código abierto de Filigran y su alineación con el marco, puede descargar nuestro último whitepaper, 'Una guía práctica para la Defensa Informada por Amenazas', o contactarnos para hablar directamente con nuestro equipo.