Cadenas de ataque, no solo superficies de ataque: por qué las pruebas de técnicas individuales no dan en el clavo

Los equi­pos de se­gu­ri­dad sue­len eva­luar sus de­fen­sas de forma con­ti­nua pro­ban­do com­po­nen­tes in­di­vi­dua­les, como agen­tes EDR, si­mu­la­cio­nes de phishing o re­glas de sis­te­mas SIEM. Sin em­bar­go, este en­fo­que de prue­bas ais­la­das no so­lu­cio­na el pro­ble­ma prin­ci­pal del sec­tor, ya que los ata­can­tes reales no em­plean las téc­ni­cas de una en una, sino que las com­bi­nan en se­cuen­cias co­nec­ta­das desde el ac­ce­so ini­cial hasta la ex­fil­tra­ción de datos. Aun­que los con­tro­les de se­gu­ri­dad in­di­vi­dua­les pue­dan fun­cio­nar por se­pa­ra­do, un ata­que puede tener éxito si se cuela por las bre­chas exis­ten­tes entre he­rra­mien­tas y equi­pos que no se co­mu­ni­can entre sí.

La ma­yo­ría de los pro­gra­mas de si­mu­la­ción de bre­chas eva­lúan téc­ni­cas suel­tas ma­pea­das a mar­cos es­pe­cí­fi­cos, lo que im­pi­de saber si un ad­ver­sa­rio capaz de en­ca­de­nar múl­ti­ples pasos po­dría vul­ne­rar la red mien­tras cada con­trol in­for­ma de que no hay in­ci­den­tes. In­for­mes re­cien­tes se­ña­lan que un alto por­cen­ta­je de los lí­de­res de se­gu­ri­dad su­fren ata­ques con im­pac­to en el ne­go­cio a pesar de haber va­li­da­do sus de­fen­sas, y mu­chos atri­bu­yen el pro­ble­ma al uso de he­rra­mien­tas ais­la­das y prue­bas des­co­nec­ta­das. In­ci­den­tes reales de­mues­tran que las in­tru­sio­nes sue­len con­sis­tir en una se­cuen­cia coor­di­na­da de pasos que trans­for­ma de­bi­li­da­des in­di­vi­dua­les su­pe­ra­bles en una bre­cha im­por­tan­te.