Between alerts: What Attackers Do in the Spaces Ordinary Detection Misses

Los equi­pos de ope­ra­cio­nes de se­gu­ri­dad sue­len li­diar con nu­me­ro­sos avi­sos que rara vez ex­pli­can el ini­cio o la evo­lu­ción de una ame­na­za. Los ata­can­tes apro­ve­chan los in­ter­va­los si­len­cio­sos entre alar­mas y he­rra­mien­tas le­gí­ti­mas de ad­mi­nis­tra­ción para ocul­tar sus ac­cio­nes, ex­ten­dien­do sus ope­ra­cio­nes du­ran­te días o se­ma­nas mien­tras com­bi­nan sus ac­ti­vi­da­des con las ope­ra­cio­nes co­ti­dia­nas nor­ma­les de la or­ga­ni­za­ción.

He­rra­mien­tas ais­la­das y aná­li­sis cen­tra­dos úni­ca­men­te en even­tos in­di­vi­dua­les pue­den pasar por alto el pa­no­ra­ma com­ple­to, ya que las ac­cio­nes de los in­tru­sos a me­nu­do solo ad­quie­ren sig­ni­fi­ca­do al ser exa­mi­na­das en con­jun­to y a lo largo del tiem­po. Para evi­tar estos pun­tos cie­gos, los equi­pos de de­fen­sa pue­den con­ser­var te­le­me­tría de red de­ta­lla­da me­dian­te pla­ta­for­mas de de­tec­ción y res­pues­ta en red, lo que per­mi­te re­cons­truir la se­cuen­cia de even­tos que ocu­rrie­ron antes y des­pués de que sal­ta­ra una aler­ta.

La in­cor­po­ra­ción de in­te­li­gen­cia ar­ti­fi­cial en el cen­tro de ope­ra­cio­nes per­mi­te pro­ce­sar gran­des vo­lú­me­nes de datos y co­rre­la­cio­nar in­ter­ac­cio­nes dis­per­sas con mayor ra­pi­dez, ali­vian­do la carga de tra­ba­jo ma­nual de los ana­lis­tas. Con­tar con evi­den­cia ba­sa­da en el trá­fi­co de red ayuda a que los sis­te­mas au­to­ma­ti­za­dos y el per­so­nal re­co­noz­can pa­tro­nes sos­pe­cho­sos que de otro modo pa­re­ce­rían ino­fen­si­vos.