{"id":76039,"date":"2020-03-30T13:43:09","date_gmt":"2020-03-30T11:43:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery"},"modified":"2020-03-30T13:43:09","modified_gmt":"2020-03-30T11:43:09","slug":"kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","title":{"rendered":"C\u00f3mo los sistemas de an\u00e1lisis de tr\u00e1fico detectan las t\u00e1cticas de los hackers seg\u00fan MITRE ATT&CK utilizando el ejemplo de PT Network Attack Discovery","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"C\u00f3mo<\/a><\/noindex><\/p>\n

Seg\u00fan Verizon<\/a><\/noindex>, la mayor\u00eda (87%) de los incidentes de seguridad de la informaci\u00f3n ocurren en cuesti\u00f3n de minutos, mientras que 68% de las empresas tardan meses en detectarlos. Esto es confirmado por un estudio del Ponemon Institute<\/a><\/noindex>, seg\u00fan el cual la mayor\u00eda de las organizaciones tardan un promedio de 206 d\u00edas en detectar un incidente. A partir de nuestras investigaciones, los hackers pueden controlar la infraestructura de una empresa durante a\u00f1os sin ser detectados. Por ejemplo, en una de las organizaciones donde nuestros expertos llevaron a cabo una investigaci\u00f3n de un incidente de seguridad de la informaci\u00f3n, se descubri\u00f3 que los hackers controlaban por completo toda la infraestructura de la organizaci\u00f3n y robaban informaci\u00f3n importante durante ocho a\u00f1os.<\/a><\/noindex>.<\/p>\n

Supongamos que ya tiene un SIEM funcionando, que recopila registros y analiza eventos, y que se han instalado antivirus en los puntos finales. Sin embargo, no todo se puede detectar con un SIEM<\/a><\/noindex>, al igual que no es posible implementar sistemas EDR en toda la red, lo que significa que no se pueden evitar las \"zonas ciegas\". Los sistemas de an\u00e1lisis de tr\u00e1fico de red (network traffic analysis, NTA) ayudan a lidiar con ellos. Estas soluciones detectan la actividad de los atacantes en las primeras etapas de su infiltraci\u00f3n en la red, as\u00ed como durante los intentos de mantenerse y desarrollar un ataque dentro de la red. <\/p>\n

Existen dos tipos de NTA: unas trabajan con NetFlow y otras analizan tr\u00e1fico en crudo. La ventaja de los segundos sistemas es que pueden almacenar registros de tr\u00e1fico en crudo. Gracias a esto, un especialista en seguridad de la informaci\u00f3n puede verificar el \u00e9xito del ataque, localizar la amenaza, entender c\u00f3mo ocurri\u00f3 el ataque y c\u00f3mo prevenir uno similar en el futuro.<\/p>\n

Mostraremos c\u00f3mo, utilizando NTA, se pueden identificar todas las t\u00e1cticas de ataque conocidas a trav\u00e9s de indicios directos o indirectos, descritas en la base de conocimientos MITRE ATT&CK<\/a><\/noindex>. Hablaremos de cada una de las 12 t\u00e1cticas, desglosaremos las t\u00e9cnicas que pueden ser detectadas a trav\u00e9s del tr\u00e1fico y demostraremos su detecci\u00f3n utilizando nuestro sistema NTA. <\/a><\/noindex><\/p>\n

Sobre la base de conocimientos ATT&CK<\/h2>\n

\nMITRE ATT&CK es una base de conocimientos p\u00fablica, desarrollada y mantenida por la corporaci\u00f3n MITRE basada en el an\u00e1lisis de APT reales. Es un conjunto estructurado de t\u00e1cticas y t\u00e9cnicas utilizadas por los atacantes. Esto permite que los especialistas en seguridad de la informaci\u00f3n de todo el mundo se comuniquen en un mismo idioma. La base se expande y se complementa continuamente con nuevos conocimientos.<\/p>\n

En la base se destacan 12 t\u00e1cticas, que se dividen por etapas del ciberataque: <\/p>\n