Para gestionar la exposición en un entorno en constante cambio, los equipos de seguridad necesitan respuestas claras sobre cómo se comporta realmente su entorno.
La mayoría de los equipos de seguridad ya disponen de una gran cantidad de datos. Probablemente, todo lo que necesitan para comprender su exposición se encuentre ahí, en algún lugar.
Las herramientas de red, los proveedores de identidad, las plataformas de « cloud », los cortafuegos y las aplicaciones SaaS generan más datos de los que cualquier persona podría leer de forma realista. Obtener los datos es la parte fácil, pero no estamos en «Matrix», viendo cómo las líneas se suceden sin fin...
Entonces, ¿cómo convertimos esos datos en información útil que una persona pueda comprender rápidamente? ¿Cómo transformamos esa información en decisiones? Y lo más importante: ¿cómo se traducen esas decisiones en una mejora cuantificable de la seguridad de una organización?
No todas las exposiciones deben convertirse en una alerta
El sector de la seguridad cuenta con un método habitual para convertir los datos en información útil: generar una alerta.
Esto funciona cuando un suceso es importante, inusual y compete a alguien que puede tomar medidas al respecto. Funciona peor cuando miles de observaciones apuntan a un problema de actitud más general.
Plantéate la segmentación de la red. Si un host traspasa un límite protegido una vez a la semana, puede que sea útil crear un ticket. Si ocurre 10 000 veces al día, 10 000 tickets no hacen que la organización sea 10 000 veces más segura. Solo generan ruido.
El equipo necesita saber si la configuración del perímetro presenta un error generalizado o si solo unos pocos sistemas se están comportando de forma inesperada.
Una alerta te avisa de que ha ocurrido algo. Un panel de control te ayuda a comprender la naturaleza y la magnitud del problema.
Los seres humanos no se nos da especialmente bien leer millones de filas de datos, pero se nos da muy bien detectar patrones. Mi colega Erik Evangelista analiza la ciencia que hay detrás de esto en «La ciencia que hay detrás de la visualización de los ataques modernos».
Un panel de control útil puede revelar un fallo generalizado en los controles, algunas excepciones de alta prioridad y controles que parecen funcionar, todo ello en una sola página y en 10 segundos. Esa es la diferencia entre observar sucesos aislados y comprender el estado de la seguridad.
Empieza con una pregunta en lugar de una consulta
El valor de un panel de observabilidad no radica simplemente en que sea otra forma de mostrar datos. Reside en la capacidad de organizar los datos en torno a las cuestiones que son relevantes para tu entorno:
- ¿Qué servicios de IA autorizados y no autorizados se están utilizando?
- ¿Qué agentes de IA están activos y quién o qué se comunica con ellos?
- ¿Se ajustan las comunicaciones reales a nuestra política de segmentación?
- ¿Qué sistemas requieren atención para estar preparados para la era poscuántica?
- ¿Ha cambiado la actividad en torno a los sistemas críticos?
Tradicionalmente, responder a una nueva pregunta implica recopilar datos, enviarlos a un SIEM, analizarlos, mantener los flujos de trabajo y escribir una consulta.
La buena noticia es que Vectra AI ya lo hace.
La plataforma « Vectra AI » reúne datos de red, cloud, identidad y amenazas, y los enriquece con contexto de seguridad. Los paneles de control seleccionados ayudan a los equipos a comprender el uso y la gobernanza de la IA, la IA oculta, los agentes de IA, la criptografía poscuántica, la segmentación de la red y la actividad de la red.
Cuando la pregunta se refiere específicamente a la organización, los equipos pueden utilizar el agente « Vectra AI » para crear un panel de control personalizado, partiendo de una pregunta en lugar de una consulta vacía.
Dentro del flujo de trabajo más amplio de gestión de la exposición:
- La sección «Resultados de exposición » muestra los aspectos que requieren atención.
- El inventario de activos muestra dónde se encuentran.
- Los paneles de observabilidad muestran cómo se comporta el entorno y si el riesgo está variando.
¿Son los paneles de control la solución a todo?
Seguramente estarás pensando que ahora soy un fanático de los paneles de control. Que basta con introducir todos tus datos de seguridad en unos cuantos gráficos y esperar a que mejore tu situación de seguridad. ¡Ni mucho menos!
Seguramente habrás visto la gran pantalla del SOC con un mapamundi, líneas que van de un país a otro y suficiente movimiento como para dar la impresión de que, sin duda, se están llevando a cabo medidas de seguridad.
Pero nadie va a levantar la vista y decir: «Vaya, ¿quién le está hablando a Chile?».
Un panel de control necesita un «y qué». ¿Qué va a investigar, cambiar o medir alguien después de consultarlo?
Además, debe seguir siendo preciso. Las redes cambian, las fuentes de datos dejan de proporcionar información y las hipótesis quedan obsoletas. Un panel de control desactualizado puede seguir pareciendo fiable mucho tiempo después de que haya dejado de reflejar la realidad.
Y necesita un responsable. A nadie le sirve de nada tener 200 paneles de control con nombres del tipo «Copia de Critical Insights — Final».
Los paneles de control útiles deben tener una pregunta, un público objetivo, un responsable y una acción bien definidos. Deben mantenerse y retirarse cuando ya no cumplan ninguna función. Mi colega Ada Tirelli profundiza en estas prácticas en un artículo relacionado.
Convertir la observabilidad en una reducción de la exposición
El mero hecho de que exista un panel de control no reduce la exposición.
Cuando se detecta algo relevante, los equipos pueden investigar la actividad subyacente, corregir una política, modificar un control arquitectónico, crear un método de detección de mayor precisión o evaluar si la solución aplicada ha surtido efecto.
Esto crea un ciclo continuo de retroalimentación: observar lo que está sucediendo; comprender lo que significa; actuar en función de lo que importa; y comprobar que el riesgo ha disminuido.
El objetivo no es crear otro panel de control. Hoy en día hay un montón de malditos gráficos.
El objetivo es encontrar un término medio práctico entre los datos brutos que nadie puede interpretar de forma realista y el volumen de alertas que nadie puede asimilar de forma realista.
Un buen panel de control ayuda a detectar patrones, comprender la magnitud de un problema y centrar las medidas allí donde tengan mayor repercusión.