La detección del acceso inicial es un problema de fidelidad de la señal. La mayoría de las herramientas de gestión de identidades fallan en ambos sentidos: inundan a los analistas de ruido y, al mismo tiempo, pasan por alto las violaciones reales. Una investigación de Vectra AI sobre violaciones confirmadas de cuentas muestra la diferencia que puede suponer la fidelidad de la señal: las violaciones sofisticadas detectadas por Vectra AI quedaban ocultas entre unas 200 alertas de riesgo nativas que, de otro modo, un analista tendría que evaluar. En esta entrada se explica por qué las señales nativas se quedan cortas y cómo los modelos de Vectra AIdetectan lo que estas pasan por alto.
Casi todas las intrusiones graves comienzan con un inicio de sesión. Un atacante que dispone de credenciales válidas no está aprovechando ninguna vulnerabilidad. Se está autenticando, y la autenticación funciona tal y como está diseñada. Si detectas ese momento, el incidente se reducirá a un simple restablecimiento de contraseña. Si lo pasas por alto, te pasarás el mes siguiente investigando la persistencia, las reglas de los buzones de correo y la filtración de datos.
Entonces, ¿por qué son tan pocos los equipos de SOC que confían en sus alertas de acceso inicial?
La detección de anomalías se activa ante cualquier cambio. Un nuevo país, una nueva dirección IP o un nuevo dispositivo. Pero el cambio es constante en una organización real. Los analistas aprenden a descartar esas alertas nada más verlas. Mientras tanto, las brechas de seguridad que realmente importan a menudo no resultan anómalas según esos criterios: diez minutos en LinkedIn bastan para que un atacante llegue desde el país adecuado y con el sistema operativo adecuado. Un SOC que se base únicamente en señales de riesgo nativas hereda ese límite como su postura de seguridad. Se ven limitados por señales que los atacantes ya han aprendido a eludir.
No todas las señales tienen el mismo coste de falsificación. Y las señales nativas se basan en las más baratas.
La pregunta relevante sobre un atributo de inicio de sesión no es si es inusual, sino cuánto le costaría a un atacante reproducirlo.
Podría decirse que esta última categoría es la más difícil de modelar y la más importante, ya que es la única de la que los atacantes no pueden librarse pagando.
Esta es la falacia de basarse únicamente en las señales nativas. Las señales de riesgo nativas se construyen en gran medida a partir de la primera fila, como la reputación de IP, la ubicación geográfica y los atributos del cliente. Los atacantes controlan estos elementos. Y lo que es peor, se comportan prácticamente igual en todos los entornos, por lo que los atacantes pueden ensayar sus ataques contra ellos. Una técnica que se mantenga por debajo del umbral de riesgo en un entorno probablemente se mantenga por debajo de él en todas partes.
Las señales de la última fila invierten esa situación. El historial de la red y de las aplicaciones solo existe dentro de tu organización, por lo que no hay nada externo con lo que realizar pruebas ni nada que consultar.
El enfoque « Vectra AI »: líneas de referencia multidimensionales, ponderadas por el coste
En Vectra AI, nuestras detecciones de acceso iniciales se basan en modelos de IA que aprenden líneas de referencia multidimensionales: representaciones estadísticas de cómo se comporta normalmente la actividad de inicio de sesión para cada identidad humana y no humana, así como para la organización en la que se inscribe. Esto incluye el historial de red, la geografía, los atributos de los dispositivos y los clientes, y el comportamiento de las aplicaciones. Los modelos aprenden las distribuciones de forma continua a partir de la propia actividad de la organización. Ninguna dimensión por sí sola es determinante. Un inicio de sesión se interpreta tal y como lo haría un analista experimentado: como un momento concreto que se compara con todo lo que ya se sabe sobre la identidad y la organización a la que pertenece.
Dado que las líneas de base son distribuciones de probabilidad aprendidas, cada nuevo inicio de sesión puede evaluarse según su «sorpresa» —una medida de la teoría de la información que califica exactamente lo improbable que es cada observación, teniendo en cuenta todo lo que el modelo ha aprendido—. Las actividades rutinarias obtienen una puntuación baja. Las actividades verdaderamente inéditas obtienen una puntuación alta. El enorme terreno intermedio es donde se desarrolla la mayor parte del trabajo real.
A continuación, el orden de «coste frente a falsificación» se encarga de la ponderación. Una alta «sorpresa» en algo que se puede falsificar fácilmente reporta poca recompensa; en algo que un atacante no podría haber sabido, reporta más. La detección no se activa ante la novedad en sí misma, sino ante la novedad cuya fabricación habría resultado costosa.
El impacto, medido en comparación con los ataques confirmados: detección y priorización de alta precisión. A modo de contexto, las señales de riesgo nativas de Microsoft clasificaron esos mismos inicios de sesión como de riesgo no superior a medio, un nivel en el que un analista debe evaluar aproximadamente 200 alertas por cada caso real de compromiso que el modelo « Vectra AI » identifica como tal.
Proofpoint: una IA que aprende del historial frente a alertas que provocan pánico ante cualquier cambio
Pensemos en la alerta que casi todos los SOC han resuelto cientos de veces. Un empleado que normalmente trabaja desde EE. UU. viaja a la oficina de la empresa en Sídney.
Las alertas nativas provocan pánico: nuevo país, nueva dirección IP, nueva red. Un analista dedica veinte minutos a confirmar un viaje de negocios. Multiplica esto por cada viajero, cada semana. Este es el arquetipo de «fatiga de alertas» al que se enfrentan los equipos de seguridad (SecOps).
Un atacante, por su parte, elude esas mismas alertas por unos pocos dólares: un punto de conexión VPN en el país adecuado, el sistema operativo adecuado y un agente de usuario adecuado. Al tratarse de atributos fáciles de imitar, las señales nativas no detectan nada que merezca ser señalado.
El modelo de sorpresa « Vectra AI » interpreta correctamente ambos momentos, ya que evalúa el historial que el atacante no puede ver. La «nueva» red del viajero no es nueva para la organización. Cientos de compañeros ya se autentican a través del proveedor que da servicio a esa oficina. El inicio de sesión del atacante no supera esa misma prueba: una red que nadie del inquilino ha utilizado, un dispositivo no registrado y un camino directo hacia los puntos de acceso generales que todo ladrón de credenciales novato necesita. Los atributos «baratos» obtienen una puntuación baja, mientras que los «caros» obtienen una puntuación alta. El resultado es una narrativa de ataque coherente.
Acceso inicial: un problema en constante evolución y cómo los defensores se mantienen un paso por delante. La detección del acceso inicial no es un problema estático.
Las técnicas que eluden las señales nativas se están democratizando cada vez más: la infraestructura de proxy, los servicios de IP residencial y los kits de herramientas para el secuestro de sesiones, que antes requerían una gran pericia, ahora se pueden adquirir como productos de consumo. El atacante medio no deja de mejorar, aunque no se vuelve más inteligente.
También hay casos límite reales. Un empleado que utilice la red wifi del aeropuerto, con un dispositivo no gestionado, a través de una red a la que nadie de la empresa haya tenido acceso, puede presentar un patrón similar al que produce una intrusión en fase inicial. En ocasiones, esto genera una alerta que merece la pena explicar.
Por eso, los modelos de Vectra AI se diseñan como un sistema de aprendizaje dinámico, en lugar de como un conjunto de reglas estáticas. Los modelos se evalúan continuamente en función de los resultados de producción y los ataques confirmados; los casos límite se tienen en cuenta para perfeccionar el sistema y, a medida que surgen nuevas técnicas de acceso, las líneas de referencia y las ponderaciones se adaptan a ellas. Los atacantes se centran en lo que les resulta más fácil de modificar. Los modelos aprenden de lo que los atacantes no pueden ocultar, y ese ciclo es lo que permite que la detección vaya siempre un paso por delante.
Conclusión
El acceso inicial es el momento en el que la detección resulta realmente útil y en el que la mayoría de las herramientas inspiran menos confianza. Los motores de detección que ponderan todas las señales por igual dan margen de maniobra a los atacantes. Ponderar las señales en función de lo que cuesta reproducirlas, comparándolas con los valores de referencia extraídos del propio historial de la organización, invierte esa situación. Los cambios rutinarios dejan de activar alertas, y las alertas que sí se activan merecen ser investigadas. Esa inversión es la base sobre la que se asientan los modelos de acceso inicial de Vectra AI.
El resultado: los analistas actúan en lugar de realizar una selección prioritaria. Los responsables detectan la filtración en la fase de restablecimiento de contraseñas, no en la fase de respuesta a incidentes.
Este mismo problema de señales se extiende mucho más allá del acceso inicial. Una vez que un atacante logra entrar, se desplaza a través de identidades, redes, servicios de « cloud », aplicaciones SaaS, terminales, entornos de OT e IoT y, cada vez más, agentes de IA, dejando rastros de su actividad a lo largo de la superficie de ataque moderna. La plataforma « Vectra AI » reúne todas esas señales, aplica la IA para comprender el comportamiento y el contexto del atacante, y correlaciona la actividad a medida que avanza el ataque. El resultado es una « Attack Signal Intelligence » de alta fidelidad que sigue el ataque allá donde se desplace, de modo que los equipos de seguridad puedan detectar antes lo que realmente importa, comprender qué está haciendo el atacante y actuar con confianza.