La detección temprana de ciberamenazas es desde hace varios años uno de los mayores retos a afrontar en el campo de la seguridad informática: la rápida evolución de las tipologías de los ciberataques ha sobrepasado a los sistemas de detección de intrusos tradicionales que cada vez más resultan insuficientes para determinados ataques, como las amenazas persistentes avanzadas (APT), que constituyen ofensivas digitales dirigidas contra sistemas muy concretos y conformadas por un conjunto de procesos sigilosos y continuos a lo largo del tiempo.
Las APT como ejemplo de un problema
Hasta ahora, las empresas se han apoyado para defenderse de APT´s y otras modalidades de ataques dirigidos en los sistemas de detección de intrusiones en red (NIDS) que intentan descubrir accesos no autorizados a determinados recursos de la red a través del análisis de los datos de tráfico de la misma para detectar signos de actividad maliciosa. Y hasta ahora han demostrado su eficacia en la defensa contra ciberamenazas tradicionales como los ataques DoS, de desbordamiento de búfer, de troyanos, etc.
Pero el rápido avance tecnológico tambien ha llegado a los ciberdelincuentes y está generando nuevas clases de amenazas que demandan de mecanismos de defensa más avanzados. Entre las que encontramos, por ejemplo, a las APT: los ataques en gran escala a una red se pueden detectar fácilmente en sus etapas finales mediante la observación de cambios muy bruscos en el tráfico de red; sin embargo, las primeras etapas de los ataques generan cambios difíciles de distinguir de las fluctuaciones usuales de tráfico.
Los NIDS se han mostrado ineficaces para frenar esta clase de amenazas, debido a su incapacidad para evaluar ciberataques planificados a través de múltiples acciones coordinadas pero aparentemente aisladas e inocuas.
Detección temprana a partir de la proactividad
Según la consultora Gartner, “existe un consenso generalizado en que los ataques avanzados son capaces de evitar los controles de seguridad tradicionales basados en firmas, y permanecer en nuestros sistemas sin ser detectados durante largos períodos de tiempo. La amenaza es real. Estamos en peligro; solo que no somos conscientes de ello”.
Hacer frente a este tipo de intrusiones complejas exige dejar de lado la apuesta por contramedidas reactivas para implementar nuevas políticas de seguridad basadas en mecanismos proactivos de prevención que permitan reducir los tiempos de respuesta a lo más cercano a “0” detectando malware desconocido (por ejemplo, mediante el uso de técnicas de ‘machine learning’ que monitoricen el sistema en busca de patrones y comportamientos inusuales, y los bloqueen). Pero no siempre resulta posible maximizar la detección de dicho malware sin generar falsos positivos.
Esta tardanza es hoy la preocupación fundamental del sector de la ciberseguridad, y cerrar la (enorme) ventana de oportunidad que genera deberá ser su tarea primordial: lograr mejorar la detección en tiempo real de amenazas digitales implica simplificar el filtrado de alertas y mejorar el tiempo de respuesta para contener los ataques.
Adaptive Defense 360, la solución de Panda
Panda Security cuenta con un producto específicamente destinado a cerrar la ‘ventana de oportunidad’ del malware que abren los ataques zero-day y las APTs en los entornos corporativos: Adaptive Defense 360.
La tecnología que integra permite detectar y bloquear el software malicioso en base a la monitorización en tiempo real de su comportamiento. El cliente contará recibirá una alerta inmediata de cualquier identificación de malware con la seguridad de que la combinación del uso de algoritmos de ‘machine learning en la nube y del análisis de expertos permite desterrar los falsos positivos.
