Estábamos buscando un sistema con un único panel de cristal. El viaje comenzó con la implementación del cliente de EDR en los servidores, que se llama Trend Micro to Deep Security, y Trend Micro Apex One to the endpoints, como ordenadores de sobremesa y portátiles. A continuación, los  conectamos a un único panel, que se llamaba XDR, ahora conocido como Trend Vision One. Nos ha ayudado a buscar y arreglar correctamente. Podríamos ver la comunicación entre los endpoints y los servidores y cualquier otra cosa con la que estuvieran hablando. Entonces podríamos ampliarlo aún más y conectarlo a todos los sistemas a través de API. Ese era el requisito inicial que teníamos y funcionó muy bien en ese sentido.

Cuando compra soluciones SIEM extensas o caras, como Splunk u otra cosa, lo que sucede es que necesita análisis. Puede escribir consultas significativas para consultar los datos. Al final del día, todos los datos que entran deben correlacionarse. Trend Vision One proporciona visibilidad en ese sentido.

Lo conectamos a la nube para poder ver la telemetría de Azure y la nube. A continuación, instalamos la respuesta de detección de red. Podría ver y detectar un pequeño movimiento desde la capa de red. A continuación, lo conectamos a Active Directory, por lo que podríamos tener una atribución. Actualmente tenemos muchos datos. Con un equipo pequeño, el problema que surge es cómo tratar con tanta información y cómo priorizar. Ayuda con la priorización. El sistema es lo suficientemente inteligente como para analizar proactivamente los registros y activar alertas de flujo de trabajo. Los prioriza en función de la criticidad, como alto, medio, bajo o informativo. Cuando tiene un equipo pequeño, sus analistas pueden empezar a analizarlos y ver lo que está sucediendo y lo que necesitan priorizar en una etapa.

Nos acercamos mucho a un actor de amenazas ruso y Trend Vision One nos ayudó enormemente. Nos ayudó a controlar el ataque en las etapas iniciales. Entraron en el medio ambiente y sacaron el exterior inverso. Vi la alerta. Trend Vision One Protection me mostró detalladamente lo que funcionaban, lo que preguntaban, qué información se capturaba y dónde salían las conexiones. Fue un agente de acceso inicial quien había realizado el ataque. Si esta información no se recogió a última hora del viernes por la tarde, puede imaginar lo que podría haber ocurrido para el lunes. En cuestión de horas, esa información habría pasado a la red oscura y se habría vendido a una banda de ransomware. El tiempo medio hasta la respuesta se redujo significativamente. Es muy raro que la mayoría de las organizaciones detecten dichos ataques en su propio entorno en las primeras cuatro horas. Reduce el tiempo medio de respuesta entre un 70 % y un 80 %.

Sus capacidades de supervisión en tiempo real ayudan mucho en nuestra postura general de seguridad. Tenemos todo configurado en nuestro sistema central de correo electrónico SOC, por lo que en cuanto se activa una alerta y, dependiendo de su importancia, podemos trabajar en ella. Cuando trabaja en el sector sanitario, a menudo trabaja con proveedores que aún no son muy conscientes de la ciberseguridad. Siguen aprendiendo. Uno de ellos se conectó a una unidad USB y encontramos un indicador temprano de compromiso. El dispositivo se conectó a uno de los sistemas técnicos. No solo lo detectó y lo bloqueó, sino que también recibimos la alerta apuntando a la máquina. Si no se detectaba y se detectaba en esa misma etapa en cuestión de minutos, podría haber tenido un impacto bastante grande finalmente.

Lo bueno es que no necesito ir e iniciar sesión en la consola independiente de Apex One o Deep Security. Tengo toda la visibilidad y la alimentación de telemetría en tiempo real en la consola de Trend Vision One. La consola de Trend Vision One le avisa inmediatamente. Solo parpadea una alerta crítica. Bloquea, pero luego proporciona recomendaciones de mitigación. Tenemos que retirar la máquina de la red, escanear el USB, educar al usuario y escalar a las personas adecuadas. Tener toda esa información a mano es muy importante. También podemos influir en el comportamiento del usuario para que no vuelva a hacerlo.

Lo estamos utilizando en endpoints. Lo estamos utilizando en nuestros servidores. Tenemos una respuesta de detección de red, que se llama NDR. Estamos supervisando todo el tráfico interno procedente de los firewalls. Tenemos Citrix NetScaler, así que también estamos supervisando el lado de la red. También tenemos otro producto llamado Conformity que realiza una evaluación de la nube y una comprobación del cumplimiento de normativa para todos los activos en la nube expuestos externamente. Le indica si no cumplen con la normativa. Por ejemplo, con el proyecto que entró, algo podría quedar expuesto accidentalmente, como una cuenta de almacenamiento de Azure, a Internet. Todo se integra en Trend Vision One y tenemos un único panel.

Es útil para varios equipos. No solo se limita al SOC. Tenemos equipos desde el lado de la nube y, a veces, desde el endpoint y el lado del servidor que pueden entrar y pueden ver las alertas. Facilita el trabajo porque todos vemos lo mismo con más información. Así que lo estamos utilizando para nuestros servidores de endpoints y red. Lo utilizamos para supervisar nuestra nube de Azure. También tenemos algo llamado licencias de Trend Micro to Cloud App Security como parte de nuestras licencias. Tenemos políticas que realizan supervisión avanzada de protección frente a amenazas y supervisión de DLP en los canales SaaS, como Exchange Online, Teams, OneDrive y sitios de SharePoint. Estos son otros canales desde los que se pueden compartir los datos, los datos pueden entrar en nuestro entorno o los datos pueden salir de nuestro entorno. Tiene políticas para supervisar DLP. Tiene políticas para supervisar cualquier archivo malicioso o cualquier indicador de un ataque de ATP. También recibimos esas alertas.

Hay dos paneles. Los paneles ejecutivos ofrecen una visión general de todo el sistema y de lo que está sucediendo en nuestro sistema en cualquier momento. Podemos ver cuántas vulnerabilidades pendientes tenemos, qué necesitamos informar a la dirección y cómo progresaremos para cosas como esa. A continuación, tenemos el panel operativo con alertas en tiempo real o alertas pendientes. Nos muestra que tenemos una cuenta que coincide con un data lake de .Net. Un problema, por ejemplo, es que la mayoría de los usuarios mantienen la misma contraseña, por lo que podría tener la misma contraseña de cuenta para su cuenta de trabajo y para su cuenta personal. También pueden verse comprometidos en casa y en el trabajo. Por lo tanto, utilizamos paneles ejecutivos para informar y comprender en general lo que está sucediendo en el entorno y lo que necesitamos informar y priorizar. El panel operativo es para el trabajo diario.

Es muy importante que podamos profundizar desde los paneles ejecutivos hasta las detecciones de XDR. Estamos en el sector de la salud. Somos un hospital. La junta no solo está preocupada por el ransomware, porque eso puede pasarle a cualquier persona. Nunca puede estar lo suficientemente seguro. También les preocupa el daño a nuestra reputación y el coste operativo de la recuperación, por lo que están muy interesados en tener visibilidad. Los paneles ejecutivos nos proporcionan información suficiente para filtrarla. Por ejemplo, nuestro equipo de soporte de escritorio tiene un conjunto limitado de personas. Para la ciberseguridad, queremos priorizar la aplicación de parches para una amenaza de día cero, pero a veces, no puede suceder porque los equipos tienen otras prioridades. El problema no es que no quieran ayudar, sino que no tengan recursos. Gracias a los paneles ejecutivos y a los informes, podemos escalar las cosas al consejo diciendo que necesitamos cierta atención. Podemos pedirles que nos financien con más recursos para que todo esto llegue a la línea. Nos ayuda a dictar el impacto y priorizar una vulnerabilidad de ciberseguridad crítica para que podamos obtener la aceptación de la dirección para priorizarla y abordarla antes de que se descontrole.

Utilizamos la función Índice de riesgo para compararnos con otras organizaciones en la misma región geográfica para ver cómo nos está yendo en términos de riesgos en comparación con otras organizaciones. ¿Somos mejores o peores que los demás? Si tenemos algunas áreas en las que somos peores que otras, nos ayudan a comprender el motivo y cómo mejorar.

Si queremos pasar por cada evento, con nuestra licencia actual, XDR puede almacenar hasta seis meses de datos, que podrían ser millones o miles de alertas. Una cosa inteligente que han hecho es proporcionar Workbench, que prioriza automáticamente. Hace el trabajo duro por usted extrayendo esa información y diciendo que estas son las altamente críticas que necesita abordar lo antes posible. No estoy descontando el hecho de que a veces los atacantes ni siquiera buscan ataques altamente críticos. Se esfuerzan por una mediana, pero nos ayuda a evitarlos. Nuestro equipo es pequeño y tuve una buena experiencia formando a algunas personas, enseñándolas y mostrándoles cómo hacerlo. Una vez que las personas empiezan a trabajar, comprenden el flujo de trabajo. Simplemente se convierte en un segundo hábito. Es muy intuitivo. Puede acceder a la consola, añadir nuevos indicadores de compromiso, añadir nuevas consultas de búsqueda de amenazas, añadir nuevas fuentes de CTI y comprobar nuevas vulnerabilidades. Hay mucho que puede sacar de ello. Solo tiene que priorizar lo que cree que es importante para ese día.

Utilizamos Managed XDR como segundo servicio. Lo que resulta útil es que tenemos personas de guardia. Por supuesto, sigo revisando mis correos electrónicos, pero si tenemos una alerta crítica de que nadie ha asistido de nuestra parte, la clasifican. Lo clasifican muy bien y luego lo califican. Por ejemplo, podrían decir: "Parece benigno o negativo, pero surgió una alerta y nadie estaba disponible. Si desea añadir una capa adicional de seguridad o precaución, esta es la mitigación». Son muy receptivos. Pude ver el gran ataque que tuvimos hace dos años en las primeras cuatro horas, y para cuando llegó al XDR, todo estaba correlacionado. En media hora, su equipo de respuesta llegó a la misma conclusión. Nos contactaron cuando estaba a punto de contactar con ellos, así que estábamos en la misma página. Definitivamente son una buena copia de seguridad o una segunda solución para nosotros. Además, algunas de las alertas pueden surgir de flujos de trabajo. Puede parecer malicioso, pero no lo es. El personal del servicio Managed XDR vuelve a nosotros solo para reconfirmarlo. Les decimos que es un archivo conocido. No tienen que preocuparse por ello. A veces, podemos perdernos algo o no tenemos ni idea del siguiente paso. A continuación, proponen una recomendación sobre lo que tenemos que hacer. Es un muy buen servicio.

Estamos utilizando Attack Surface Discovery para supervisar los dispositivos que tenemos y los activos, cuentas y aplicaciones orientados a Internet. La API es algo que todavía estamos analizando, pero con unos pocos clics obtenemos una descripción general. Podemos ver cuántos están parcheados y cuántos están expuestos a activos externos o orientados a Internet. Tenemos muchos subdominios vinculados al sitio principal del hospital para diferentes proyectos y flujos de trabajo. Podemos ver cómo les va, qué puertos están abiertos y qué vulnerabilidades conocidas existen porque algunas de ellas no las gestionamos nosotros. Están gestionadas por proveedores alojados externamente, por lo que podemos mantenerlos bajo control. Lo mismo se aplica a nuestras cuentas. Si tenemos cuentas que están en la red oscura, o tenemos cuentas con privilegios excesivos que pueden ser potencialmente explotadas, podemos abordarlo.

Para las aplicaciones, la función que más me gusta se llama Cloud App List. Básicamente analiza todas las aplicaciones SaaS y las compara. Los perfila en función del resto y nos proporciona un informe. Nos dice que es posible que ciertas aplicaciones que utilizan las personas no estén oficialmente aprobadas por nosotros. Para una aplicación no autorizada, realizan un perfil de riesgo a través de Trend Vision One, que nos muestra a qué estándar de cumplimiento de seguridad ha pasado por el proveedor. Nos proporcionan una rápida comprensión de lo malo o bueno que es continuar utilizando una aplicación.

Durante el periodo de COVID, estaba configurando Trend Vision One y recibí una alerta informativa. El marido de una enfermera le dio un USB y lo conectó. Estaba en un entorno externo, pero el cliente de Trend seguía funcionando. Los clientes estaban conectados a la consola SaaS o a Internet, por lo que toda la telemetría seguía alimentando. Deben haber pensado que no era el caso, pero las detecciones seguían llegando. Cuando lo conectó, descargó un marco de explotación de shell de potencia, que pudieron asignar a un grupo de ATP de China que normalmente utiliza esta técnica para la exfiltración de la propiedad intelectual. Me gusta la visibilidad que proporciona. Para un par de aplicaciones aquí, a veces entra una alerta e incluso puede profundizar hasta el último comando que se ejecutó. Puede crear un gráfico de ataque y mostrarle el perfil de ejecución completo. Le ayuda a solucionar problemas y filtrar si algo es un falso positivo o un problema en cuestión. Toda esta interconectividad de diferentes sistemas en Trend Vision One y su capacidad para ayudar a individualizar un ataque es lo que más me gusta. Es muy bueno porque leer registros y ver un ataque visualizado son dos perspectivas diferentes para un cazador de amenazas. Realmente le ayuda a comprender lo que está pasando.

Con todas estas tecnologías en un entorno empresarial, así como con la mayoría de los sistemas de producción, la reducción en la cantidad de tiempo que dedicamos a investigar alertas de falsos positivos depende de la rapidez con la que ajuste el sistema. Tiene que decirle cuáles son las excepciones y cuáles no para avisarle sobre ellas, y cuáles debería avisarle. Es un acto de equilibrio en ciberseguridad. Por ejemplo, los atacantes utilizan los inicios de sesión, pero también el personal administrativo. Si los exime totalmente, puede tener un inicio de sesión malicioso ejecutándose en su entorno. Estaría completamente ciego allí porque nada recibiría alertas. En términos de falsos positivos, el sistema está capturando muchos datos y no es culpa del sistema porque está viendo muchos datos. A veces, no hemos clasificado los datos. Estamos mejorando en ello. Estamos etiquetando los sistemas. Lo estamos ajustando y ha reducido bastante, pero aún tenemos mucho trabajo por hacer. Sucede, pero es algo que hacemos entre bastidores. En términos de visibilidad y búsqueda de amenazas diarias, las clasifica en Workbench, y eso es lo que observamos a primera hora de la mañana. Conocemos lo que está sucediendo y en qué debemos centrarnos. Una vez que observamos que hay un patrón que se repite para algunos falsos positivos y que las alertas de Workbench son altas y no son verdaderas positivas, averiguamos cómo poner en la lista blanca esos sistemas. Ahora sabemos que este es un proceso de ejecución conocido. Sabemos que es un tráfico conocido o un proveedor conocido el que ejecuta esta aplicación y, cuando se abre, se conecta a estos puertos, por ejemplo. Es un acto de equilibrio. Cambia dinámicamente.