Introducción
Hacia 2010, las soluciones antivirus tradicionales, apoyadas sobre todo por la detección basada en firmas, empezaron a considerarse insuficientes porque los atacantes fueron desarrollando métodos de ejecución de códigos maliciosos sin instalar un malware reconocible, lo que eludía esas defensas tradicionales.
Existía malware basado en documentos, que incorporaban secuencias de comandos dañinas en archivos de Excel, PDF, Word, PowerPoint, etc. y que frecuentemente se distribuían mediante campañas de phishing. Los ataques sin archivos ejecutaban procesos en la memoria o se aprovechaban de procesos legítimos del sistema, lo que los volvía invisibles para las herramientas de detección basadas en firmas. El exploit EternalBlue, utilizado por malware como WannaCry y NotPetya, entró en los libros de historia de la ciberseguridad. Los antivirus tradicionales solo podían combatir el malware conocido y dejaban pasar gran parte de las nuevas amenazas. Los primeros productos de software de EDR eran complejos y podían conllevar una sobrecarga de alertas, por lo que manejarlas eficazmente requería conocimientos avanzados de seguridad y muchos recursos.
El término “detección y respuesta de endpoints” lo acuñó oficialmente, en el año 2013, el analista de Gartner Anton Chuvakin, quien lo introdujo en la jerga conceptualizándolo como una solución para aportar visibilidad detallada de las actividades del sistema y para detectar e investigar actividades sospechosas en hosts y endpoints.
Al tiempo que evoluciona el campo de la seguridad informática, también lo hacen sus herramientas, y una de las principales tendencias que señalan los especialistas es el avance hacia la integración de las plataformas de seguridad. Por ejemplo, ya en 2019 Gartner anticipó la convergencia de la EDR y las EPP en sistemas unificados y administrados desde una única interfaz. Estas soluciones integradas ofrecen mayor rapidez en la detección de amenazas y respuestas automatizadas, lo que supone una evolución significativa en cuanto a los juegos de herramientas y las prácticas de la seguridad de endpoints.
Otra importante tendencia son las soluciones basadas en la nube que ofrecen protección de endpoints, detección y respuesta en los endpoints, defensa contra amenazas móviles y gestión integrada de vulnerabilidades. Casi seguro que las soluciones avanzadas de EDR seguirán aprovechando la automatización, el machine learning y la inteligencia artificial (IA) para aumentar la eficiencia y para una mejor incorporación del análisis del comportamiento de usuarios y entidades (UEBA), con el fin de detectar anomalías basadas en estos parámetros.
En este artículo veremos algunos acrónimos que aquí definiremos para que se contextualice de mejor forma.
¿Qué es un Endpoint?
El endpoint es cualquier dispositivo informático que esté conectado a una red. Algunos ejemplos son equipos de escritorio, portátiles y dispositivos móviles.
¿Qué es un EPP?
Endpoint Protection Platform (EPP por sus siglas en inglés), es la denominación actual para referirnos al antivirus tradicional. Es una solución de seguridad diseñada para detectar y bloquear amenazas a nivel de dispositivo.
Incluye funciones de:
- Antivirus.
- Antimalware.
- Prevención de intrusiones: IPS.
- Prevención de pérdida de datos: DLP.
Los más avanzados incluyen Prevención de exploits, Tecnología anti-ransomware, etc.
Las herramientas de un antivirus tienen un enfoque preventivo. Utilizan firmas para identificar amenazas: el posible archivo malicioso, se compara con la base de datos. Si la firma coincide, se califica como malware.
También, ofrece una protección proactiva, basada en la heurística: se analiza un archivo y se compara su comportamiento con X criterios que determinan si un archivo es malicioso.
El EPP es un mecanismo de defensa de primera línea. Es efectivo para bloquear sobre todo amenazas conocidas.
¿Qué es un SOC?
Un Centro de Operaciones de Seguridad (SOC) es un equipo de ciberseguridad que se encarga de monitorear, detectar y responder a amenazas cibernéticas en una organización. Está compuesto por un equipo técnico y humano que analiza y gestiona las alertas de seguridad, evalúa los riesgos cibernéticos y desarrolla estrategias para mitigarlos.