Análisis del comportamiento de los usuarios
La mayoría de las herramientas de seguridad están diseñadas para detectar firmas y patrones conocidos como maliciosos. El análisis del comportamiento de los usuarios está diseñado para detectar algo más complejo: una cuenta legítima y autenticada que realiza una acción que no haría normalmente. Ese es el perfil de una amenaza interna, o de un atacante que ya ha sustraído credenciales válidas y ahora se mueve por el sistema aparentando estar perfectamente autorizado para todo lo que requiera autorización, y nada más. Un inicio de sesión en sí mismo no es sospechoso. Sin embargo, sí lo es un inicio de sesión desde una cuenta que nunca ha accedido al servidor financiero a las 3am desde un dispositivo nuevo, seguido inmediatamente de una exportación de datos de gran volumen, y ese es precisamente el tipo de patrón que el análisis de comportamiento de los usuarios (UBA) está diseñado para detectar.
La idea consiste en establecer una línea de referencia del comportamiento que refleje cómo operan normalmente las personas y los sistemas, para luego señalar las desviaciones significativas respecto a ella. Si se lleva a cabo correctamente, permite detectar aspectos que las herramientas basadas en firmas no pueden detectar por su propia naturaleza, ya que no existe una firma de malware con la que compararla, sino simplemente una persona o un proceso que realiza una acción fuera de lo habitual.
Dónde se cometen errores
El modo de fallo con el UBA es casi siempre el ruido, no la ceguera. Un análisis de comportamiento mal ajustado genera tantos falsos positivos que las alertas acaban siendo ignoradas, lo que frustra por completo el objetivo y agota a quien se supone que debe estar vigilándolas. Establecer correctamente la línea de base y ajustar lo que se considera una desviación significativa frente a un martes en el que alguien simplemente trabajó desde una cafetería constituye la mayor parte del trabajo real.
Cómo lo abordaría yo
Yo empezaría por comprender cómo es realmente la situación normal en su entorno antes de establecer umbrales: las líneas de referencia genéricas y predeterminadas rara vez se ajustan a los patrones de trabajo reales de una organización. A continuación, ajustaría cuidadosamente los criterios que activan una alerta, dando prioridad a los comportamientos que realmente guardan correlación con el riesgo interno o el compromiso de cuentas, en lugar de todo aquello que resulte estadísticamente inusual, e integraría el sistema con su infraestructura de seguridad existente para que los hallazgos de UBA se incorporen al proceso de respuesta, en lugar de quedarse en un panel de control independiente que nadie consulta. También lo configuraría con un flujo de trabajo de investigación real detrás, ya que una alerta ante la que nadie tiene tiempo ni un proceso para actuar es peor que no tener ninguna alerta.
Si el riesgo interno o el compromiso de credenciales le preocupan realmente y desea una detección que identifique lo que las herramientas basadas en firmas pasan por alto, Contacte conmigo.