Threat Exposure Management / XDR

Este panel ha contado con la asistencia de los siguientes expertos en seguridad y ciberresiliencia:

• Alberto Rodas, Sales Engineer Spain & Portugal de Sophos
• Román Martín, CEO de Interbel S)
• Luis Ruiz, Regional Sales Manager Cortex de Palo Alto Networks
• Ruperto Garcia-Soto Orovio, Presales Manager de Zyxel Networks Iberia
• Sergio Martínez, Country Manager de SonicWall

Alberto Rodas, Sales Engineer Spain & Portugal de Sophos, quiso empezar por poner en el primer plano que las vulnerabilidades son un gran factor de riesgo para las organizaciones, “las vulnerabilidades (o credenciales exfiltradas) son el principal vector de entrada en el 72% de los ataques de ransomware” y destacó que “el tiempo promedio para parchear vulnerabilidades críticas es de 65 días, mientras que los atacantes tardan solo unos 15 días en crear el exploit”.

Esto pone de relieve la necesidad de “moverse hacia plataformas unificadas centradas en un XDR donde se evalúen las vulnerabilidades en base a las amenazas detectadas. Es necesario tener el contexto de todas las vulnerabilidades para poder encontrar la causa raíz de un incidente y mejorar la postura de ciberseguridad, reduciendo el impacto de las vulnerabilidades y los ataques”.

A lo largo de su intervención recalcó la importancia de disponer de plataformas integradas que pusiesen en manos de los técnicos toda la información disponible: telemetría, acciones sutiles, contexto, vulnerabilidades. De este modo se maximizan las posibilidades de detección incluso de forma temprana.

Román Martín, CEO de Interbel S), inició su participación comentando que “la ciberseguridad nunca para, y los ciberatacantes buscan continuamente nuevas formas de entrar”. Quiso desmontar un mito muy extendido, según el cual las empresas pequeñas no son objetivos apetecibles para los ciberdelincuentes cuando destacó que “todas las empresas, no solo las grandes, están recibiendo ataques”.

Citó como los puntos más atacados por los criminales al “correo electrónico, los servidores, cloud u on-premise y a los trabajadores”. Además, resaltó que “España sigue siendo el país con mayor número de ciberataques de Europa” lo que contrasta con que en nuestro país solo se invierta un 0,11% del PIB en ciberseguridad mientras que otros países, como Alemania, inviertan el doble.

Enumeró los siete retos en ciberseguridad para 2025 según su opinión coincidente con consultoras mundiales con PwC o Gartner: el email; la web y el DNS; Cloud y endpoints, esto es, toda la superficie de ataque; el parcheo de vulnerabilidades; tener controladas las aplicaciones para que no las usen los hackers como camino de entrada y escalado; el uso de XDRs y su gestión a través de SOCs; y por último, Zero Trust.

Puso como ejemplo un caso que analizan en su canal de YouTube, el ataque al grupo de hackers Black Basta, en el que se introdujeron otros hackers y les exfiltraron información. Citó las siguientes tres debilidades como las causas que que explican el éxito de la intrusión.

En primer lugar, “el problema es que muchas vulnerabilidades vienen porque no se parchea a tiempo. Segundo, es que una vez se meten en una aplicación comienzan a escalar privilegios, se meten en otras aplicaciones y comienzan a controlar todo el sistema”. Y mencionó como explicación que, en tercer lugar, “si se producen alarmas y no hay nadie que reaccione a estas alarmas, no sirven de nada”.

Por este motivo, propuso una estructura de seguridad reforzada que denominó Deep Security, que establezca varios niveles de protección:

• Nivel 0: Firewall, email, endpoint (antivirus), copia de seguridad.
• Nivel 1: Parcheado y vulnerabilidades, DNS, formación continua, IAM, seguridad de Microsoft 365 y servidores en la nube.
• Nivel 2: Zero Trust para controlar aplicaciones, protección anti-encriptación.
• Nivel 3: SIEM y SOC/MDR.

Como colofón de su participación, Román Martín, destacó la importancia de contar con soberanía digital europea seleccionando proveedores del Viejo continente así como la importancia de no jugarse todo a una carta, diversificando entre varios fabricantes para “no poner todos los huevos en la misma cesta”. Y recalcó una vez más que “es importante comprender cómo atacan los hackers, viendo cómo actúan una vez que han entrado en un servidor”.

Por su parte, Luis Ruiz, Regional Sales Manager Cortex de Palo Alto Networks, sorprendió a los asistentes con dos datos muy contundentes: “cada día se producen 2,3 millones de nuevos ciberataques. Y los tiempos de filtración del lado del atacante se han reducido mucho. Hoy en día solo necesitan 21 días para conseguir vuestra información desde que entran”.

Explicó que las organizaciones actualmente se enfrentan a importantes retos de seguridad, ya que trabajan en escenarios complejos, con decenas de herramientas diferentes y en las que se producen muchas alertas, carentes de contexto en numerosas ocasiones, y se dan muchos falsos positivos, lo que hace que “la toma de decisiones en respuesta a incidentes sea lenta y cargada de incertidumbre”.

Por ello destacó en enfoque de valor que propone su compañía: la automatización en la base, “invertir la pirámide, poniendo en la base la automatización, sobre la que hemos construido todo lo demás, poniendo a las personas donde realmente aportan valor”. Su apuesta es una arquitectura de seguridad que consolida las mejor es tecnologías existentes: unificación de datos, uso de la IA y automatización.

Apuesta por la detección temprana de anomalías a través de herramientas que consigan una visibilidad completa y retengan los datos durante períodos de tiempo largos (de 1 a 6 meses) para poder analizar patrones sospechosos. También recalca el importante papel que juega la IA generativa para facilitar la interfaz hombre-máquina y “el uso de Deep Learning y Machine Learning para detectar posibles amenazas con precisión, responder en tiempo real y hacer predicciones”.

Ruperto Garcia-Soto Orovio, Presales Manager de Zyxel Networks Iberia, comenzó anunciando la “ceguera cibernética de la Pyme, tienen un gran desconocimiento de qué es lo que hay en cuanto a ciberseguridad”. Señaló que el tejido empresarial español se ve limitado en cuanto a presupuestos, conocimiento y técnicas y que “vemos que están abrumados por la cantidad de vulnerabilidades, la mayoría de las cuales no se parchean”.

Destacó que “el objetivo principal de los ataques es obtener información, contraseñas y datos de comportamiento del usuario para obtener un fin económico”, lo que se ve facilitado por datos como que “el 99% de los entornos empresariales tienen plugins en el navegador con dudosa procedencia” o que “el 54% de los desarrolladores de plugins tienen una firma no corporativa”.

Puso el foco en el ransomware, que se ha convertido en “una estrategia mafiosa, con cárteles que ofrecen Ransomware-as-a-Service”. Estos cibercriminales se apoyan en la IA para crear ataques de phishing y técnicas de ingeniería social de las que obtienen una gran rentabilidad.

Ruperto Garcia-Soto Orovio añadió que el uso que hacen los empleados de la IA pasa desapercibido en las organizaciones, “el 72% de los empleados utiliza técnicas de IA como parte de su día a día sin que el entorno corporativo lo detecte”. Cerró su participación destacando que “el objetivo es proteger a la Pyme, aprovechando nuestra experiencia en comunicaciones y seguridad”.

Sergio Martínez, Country Manager de SonicWall, puso en primer lugar la necesidad de “una nueva seguridad. Son necesarios servicios como XDR debido a la gran cantidad de alertas y la dificultad que tiene priorizar aquellos que son realmente importantes”. Y citó una serie de datos muy significativos para fundamentar la necesidad de este tipo de soluciones, “uno, el 76% de los ataques se producen fuera de horario laboral, generalmente a las 3-4 de la madrugada. Dos, los hackers utilizan las primeras 48 horas para sacar provecho de la brecha”.

Citó como tercer dato que “el 60% de los incidentes se producen por una mala configuración. Cuatro, se tardan 120 días de promedio en parchear los sistemas. Y cinco, en el 90% de todas las brechas siempre hay un humano detrás, ya sea por robo de identidad o error de configuración”.

Destacó que “el campo de batalla está cambiando, con redes más complejas, perímetros difusos y amenazas crecientes” y que “es fundamental tener la capacidad de detectar y responder a incidentes en menos de 48 horas”. Se apoyó en las consecuencias económicas de no protegerse adecuadamente, “el coste medio de un rescate está en los 850.000$ y el impacto total de un ataque exitoso suele ser de 5M$”.

Hizo una analogía entre el modelo de seguridad tradicional (modelo “Bastión”), con un entorno controlado, a otro más abierto y con perímetros poco definidos (modelo “Aeropuerto”). Para defenderlo adecuadamente propuso cinco ideas fundamentales: contruir una defensa por capas; tener visibilidad central (SOC); tener capacidades para detectar lo desconocido (IA); disponer de un acceso remoto moderno; y contar con un TCO adecuado para que las Pymes puedan permitirse esta nueva capa de seguridad.