Convierte las alertas en acciones

Los atacantes evaden la detección actuando de forma que parezca una actividad normal y fiable, lo que les permite permanecer ocultos mientras avanzan por el entorno. Por lo general, siguen un patrón constante:

• Utiliza credenciales válidas para acceder a los sistemas sin activar alertas  

• Funciona mediante herramientas administrativas de confianza y utilidades del sistema integradas (LOLBins)  

• Manténgase por debajo de los límites de detección basados en la firma y el umbral  

• Con el tiempo, se integra en el comportamiento habitual de los usuarios y del sistema  

Entre las técnicas más habituales se encuentran el «living-off-the-land» (LOLBins), el tráfico cifrado de comando y control y el uso malintencionado de credenciales de forma lenta y discreta. Dado que las herramientas tradicionales generan alertas aisladas sin establecer conexiones entre los comportamientos, estos ataques suelen pasar desapercibidos como campaña coordinada.

Los equipos de SOC se ven desbordados por el volumen de alertas, lo que obliga a los analistas a dedicar tiempo a validar información irrelevante en lugar de centrarse en las amenazas reales, lo que, en última instancia, aumenta el riesgo para la organización. Esto genera un problema que se agrava:

• Los equipos reciben cientos de miles de alertas al día  

• La mayoría de las alertas carecen de contexto y requieren una clasificación manual  

• Los analistas investigan actividades benignas o de baja prioridad en lugar de ataques reales  

• Las amenazas reales permanecen ocultas durante más tiempo, lo que aumenta el tiempo de permanencia

Una detección y una respuesta más rápidas reducen directamente el tiempo de permanencia del atacante, lo que limita el alcance del ataque y el daño que puede causar. Cuando los equipos de seguridad pueden identificar rápidamente las amenazas reales y actuar en consecuencia, logran contener los ataques antes de que se agraven:

• Reducir el tiempo medio de detección y respuesta, limitando el radio de la explosión  

• Contener las amenazas antes de que se ejecute el ransomware o se produzca la filtración de datos  

• Evite interrupciones en los sistemas críticos y las operaciones empresariales  

• Mejorar la eficiencia del SOC centrándose en las amenazas de alta fiabilidad  

Las organizaciones que utilizan Vectra AI demostrado obtener resultados tangibles, como Globe Telecom, que redujo el tiempo de respuesta de 16 horas a 3,5 horas, y Verifone, que redujo 438 000 eventos a solo 6 incidentes priorizados.