Introducción

Hacia 2010, las soluciones antivirus tradicionales, apoyadas sobre todo por la detección basada en firmas, empezaron a considerarse insuficientes porque los atacantes fueron desarrollando métodos de ejecución de códigos maliciosos sin instalar un malware reconocible, lo que eludía esas defensas tradicionales.

Existía malware basado en documentos, que incorporaban secuencias de comandos dañinas en archivos de Excel, PDF, Word, PowerPoint, etc. y que frecuentemente se distribuían mediante campañas de phishing. Los ataques sin archivos ejecutaban procesos en la memoria o se aprovechaban de procesos legítimos del sistema, lo que los volvía invisibles para las herramientas de detección basadas en firmas. El exploit EternalBlue, utilizado por malware como WannaCry y NotPetya, entró en los libros de historia de la ciberseguridad. Los antivirus tradicionales solo podían combatir el malware conocido y dejaban pasar gran parte de las nuevas amenazas. Los primeros productos de software de EDR eran complejos y podían conllevar una sobrecarga de alertas, por lo que manejarlas eficazmente requería conocimientos avanzados de seguridad y muchos recursos.

El término “detección y respuesta de endpoints” lo acuñó oficialmente, en el año 2013, el analista de Gartner Anton Chuvakin, quien lo introdujo en la jerga conceptualizándolo como una solución para aportar visibilidad detallada de las actividades del sistema y para detectar e investigar actividades sospechosas en hosts y endpoints.

Al tiempo que evoluciona el campo de la seguridad informática, también lo hacen sus herramientas, y una de las principales tendencias que señalan los especialistas es el avance hacia la integración de las plataformas de seguridad. Por ejemplo, ya en 2019 Gartner anticipó la convergencia de la EDR y las EPP en sistemas unificados y administrados desde una única interfaz. Estas soluciones integradas ofrecen mayor rapidez en la detección de amenazas y respuestas automatizadas, lo que supone una evolución significativa en cuanto a los juegos de herramientas y las prácticas de la seguridad de endpoints.

Otra importante tendencia son las soluciones basadas en la nube que ofrecen protección de endpoints, detección y respuesta en los endpoints, defensa contra amenazas móviles y gestión integrada de vulnerabilidades. Casi seguro que las soluciones avanzadas de EDR seguirán aprovechando la automatización, el machine learning y la inteligencia artificial (IA) para aumentar la eficiencia y para una mejor incorporación del análisis del comportamiento de usuarios y entidades (UEBA), con el fin de detectar anomalías basadas en estos parámetros.

En este artículo veremos algunos acrónimos que aquí definiremos para que se contextualice de mejor forma.

¿Qué es un Endpoint?

El endpoint es cualquier dispositivo informático que esté conectado a una red. Algunos ejemplos son equipos de escritorio, portátiles y dispositivos móviles.

¿Qué es un EPP?

Endpoint Protection Platform (EPP por sus siglas en inglés), es la denominación actual para referirnos al antivirus tradicional. Es una solución de seguridad diseñada para detectar y bloquear amenazas a nivel de dispositivo.

Incluye funciones de:

  • Antivirus.
  • Antimalware.
  • Prevención de intrusiones: IPS.
  • Prevención de pérdida de datos: DLP.

Los más avanzados incluyen Prevención de exploits, Tecnología anti-ransomware, etc.

Las herramientas de un antivirus tienen un enfoque preventivo. Utilizan firmas para identificar amenazas: el posible archivo malicioso, se compara con la base de datos. Si la firma coincide, se califica como malware.

También, ofrece una protección proactiva, basada en la heurística: se analiza un archivo y se compara su comportamiento con X criterios que determinan si un archivo es malicioso.

El EPP es un mecanismo de defensa de primera línea. Es efectivo para bloquear sobre todo amenazas conocidas.

¿Qué es un SOC?

Un Centro de Operaciones de Seguridad (SOC) es un equipo de ciberseguridad que se encarga de monitorear, detectar y responder a amenazas cibernéticas en una organización. Está compuesto por un equipo técnico y humano que analiza y gestiona las alertas de seguridad, evalúa los riesgos cibernéticos y desarrolla estrategias para mitigarlos.

¿Qué es un EDR?

Endpoint Detection and Response (EDR por sus siglas en inglés) es una herramienta que proporciona monitorización y análisis continuo del endpoint y la red. La finalidad es identificar, detectar y prevenir amenazas avanzadas (APT) con mayor facilidad.

El antivirus EDR en sus inicios estaba más pensado para grandes empresas con SOC dedicados. Hoy en día, la demanda de este tipo de soluciones se ha desplazado a empresas de todos los tamaños.

EDR vs EPP

Un EPP se centra únicamente en la prevención en el perímetro. Tiene como objetivo evitar que las amenazas ingresen en la red.

El EDR está enfocado en amenazas avanzadas, las diseñadas para evadir la primera capa de defensa y que logran penetrar en la red. Detecta esa actividad y contiene al adversario antes de que pueda moverse lateralmente en la red.

¿Cómo funciona un EDR?

EDR monitoriza la actividad de los endpoints y realiza una clasificación de los archivos según sean seguros, peligrosos o "desconocidos".

Cuando detecta archivos sospechosos (desconocidos) en uno de los endpoints, (p.e. un adjunto en un correo), automáticamente lo envía a la nube. Permanece aislado en un entorno de pruebas, y lo ejecuta imitando el comportamiento que tendría un usuario. Mientras, un sistema de machine learning observa y aprende del comportamiento de la amenaza.

Tras observarlo un tiempo, se podrá determinar si es seguro o peligroso. Si se considera peligroso, se bloqueará en todos los endpoints.

De ese modo, si en el futuro se detecta de nuevo ese archivo en cualquiera de los endpoints, directamente lo bloqueará impidiendo su ejecución.

El EDR es más efectivo que un antivirus en la detección del malware desconocido puesto que utiliza una serie de técnicas novedosas, como son:

  • Machine Learning y la analítica.
  • Sandboxing
  • Alertas generadas por sistemas externos (IOC o indicadores de compromiso), categorización de los indicentes para actuar sobre los más críticos con rapidez.
  • Investigación de los indicentes desde el punto de vista histórico: se rastrea el origen y evolución del malware para tomar medidas preventivas de cara a futuros incidentes.
  • Herramientas de remediación para eliminar los ficheros infectados, poner en cuarentena y volver al estado anterior a la infección.

Características clave de un EDR

Existen muchas soluciones EDR en el mercado, cada una con sus propias fortalezas y debilidades. Estas son las capacidades clave de detección y respuesta inteligente para endpoints

Detección

Utilizan la IA (inteligencia artificial) para reducir la tasa de falsos positivos.

Los equipos pueden optimizar los recursos clave y centrarse en tareas de TI importantes en lugar de revisar un gran volúmen de alertas y falsos positivos.

Diseñados para vigilar y responder a una variedad de amenazas, no solo al malware.

Es una defensa contra un amplio rango de amenazas, como ransomware, malware, botnets y otras amenazas conocidas y desconocidas. Accesos no autorizados, ataques sigilosos para robo de datos, etc.

Contención

Permite un bloqueo avanzado de amenazas.

No sólo es capaz de detectar rápido nuevas amenazas, sino que puede manejar ataques en directo y protegernos mientras éstos se producen.

Investigación

Respuesta rápida frente a incidentes.

Cualquier empresa está expuesta a ser víctima de un ciberataque. El EDR permite una respuesta rápida y precisa a los incidentes. El objetivo es detener un ataque y volver a al trabajo cuanto antes.

Eliminación

Reparación del endpoint a fondo.

Para que puedan recuperar el estatus anterior a ser infectados.

Beneficios de utilizar EDR

Las herramientas EDR mejoran la seguridad de su entorno tecnológico de la siguiente forma:

  1. Mayor anticipación a los ataques dirigidos. Con el modelo de prevención (pre-infección) y de detección (post-infección) se analizan patrones de comportamiento y es posible anticipar amenazas. Los EDR pueden detectar y alertar sobre la presencia de ransomware y malware, permitiendo a los equipos de seguridad tomar medidas rápidas y efectivas para mitigar el impacto de la amenaza.
  2. Menor tiempo de exposición a incidentes de seguridad. Gracias a un enfoque reactivo, podemos actuar en cuestión de pocos segundos o minutos.
  3. Proporcionan una visibilidad completa de las amenazas de nuestros endpoints. Gracias a la investigación guiada, es más fácil comprender el origen de los incidentes, la ruta que ha seguido un ataque y el impacto o quien se ha visto afectado y cómo responder.
  4. Compliance y cumplimiento. Los EDR pueden ayudar a las organizaciones a cumplir con regulaciones y normas de seguridad, como PCI-DSS, HIPAA y GDPR, al proporcionar una visión integral de las actividades en los dispositivos endpoint y la red.
  5. Análisis forense. En caso de haber sufrido un evento de seguridad, los EDR pueden recopilar y analizar datos de eventos para ayudar a los equipos de seguridad a investigar incidentes y determinar la causa raíz de una intrusión.

Un EDR es una herramienta fundamental para la seguridad informática, ya que proporciona visibilidad y control sobre las actividades en los dispositivos endpoint y la red, lo que ayuda a detectar y responder a amenazas, proteger la información confidencial y cumplir con regulaciones y normas de seguridad.

Casos de uso del EDR

¿En qué tipo de escenarios está recomendado el EDR?

  • Ataques de phishing. Un cibercriminal roba nuestras credenciales y accede a nuestros sistemas de forma legítima. Actividades como tratar de elevar privilegios o moverse horizontalmente a otros endpoints dejará un rastro que no podrá ser detectado por nuestro antivirus.
  • Documentos con código malicioso. Documentos de Office con macros maliciosas embebidas o PDFs que contengan código javascript malicioso. El antivirus comprueba sólo el documento inicial y no actúa si lanza un script para descargar malware. El malware podría entonces acechar en segundo plano sin ser detectado, infectar al usuario y moverse por la red.
  • Malware sin archivos. El cibercriminal carga y ejecuta un código malicioso enteramente desde la memoria del equipo sin afectar al sistema de archivos. Como no hay ningún archivo que analizar, el antivirus no detectará actividad sospechosa.
  • Malware altamente polimorfo. Los virus polimorfos van cambiando de forma continúa su comportamiento para evitar ser detectados por un antivirus.

La detección y respuesta inteligentes para endpoints ofrecen a los equipos de seguridad la visibilidad para responder a las preguntas más complejas sobre un incidente:

  1. ¿Qué ha sucedido después de la infección?
  2. ¿Hay o hubo propagación?
  3. ¿Hay equipos aún infectados?
  4. ¿Hay otros sistemas que han descargado el mismo malware pero aún no se ha ejecutado?

¿Qué debes tomar en cuenta al seleccionar una solución EDR?

Antes de adquirir una solución de este tipo, debemos sopesar diversos factores.

¿Qué tipo de recursos tengo para adoptar una solución EDR?

Es cierto que las soluciones EDR van ganando adeptos entre las pymes. Sin embargo, también es cierto, que muchas de ellas carecen de los recursos para maximizar los beneficios de esta tecnología.

El uso de funciones avanzadas de EDR, como el análisis forense, el análisis de actividades sospechosas y la inteligencia artificial (IA) supone dedicar recursos humanos y técnicos para gestionar toda la información que el EDR genera en el día a día.

La detección y respuesta inteligentes para endpoints ofrecen a los equipos de seguridad la visibilidad para responder a las preguntas más complejas sobre un incidente:

¿Tenemos un equipo de seguridad de TI dedicado?

Si no tenemos o no queremos destinar recursos propios al despliegue, migración y configuración de las soluciones EDR, podemos contar con técnicos externos especializados y certificados en el uso de estas herramientas.

También, existe un nuevo servicio de soporte gestionado. En este, el partner ayuda al departamento TI interno, a realizar el despliegue y puesta en marcha de la solución.

Además, su soporte técnico se encargará de la monitorización, búsqueda, detección y respuesta a amenazas las 24 horas. Éste es el conocido como servicio MTR (Managed Threat Response).

¿Es una Herramienta EDR fácil de gestionar?

Las soluciones EDR estaban orientadas a SOC. Debían contar con personal técnico dedicado a analizar los ataques y darles respuesta. Sin embargo, los fabricantes saben que la mayoría de las empresas no disponen de esos recursos, por eso, están facilitando interfaces de gestión sencillas. Los usuarios pueden acceder en un par de clicks a toda la información de sus endpoints. Así como recibir alertas, ver las detecciones y realizar las investigaciones guiadas.

Recomendaciones para seleccionar una solución EDR.

El punto de partida para adoptar la EDR es asumir la inevitabilidad de las violaciones de la seguridad y la importancia de una detección y respuesta rápidas. Una solución de detección y respuesta en los endpoints ofrece a su organización mayor visibilidad de las amenazas avanzadas, lo que a su vez facilita una rápida intervención.

Equilibrar eficazmente la seguridad tradicional con la EDR pasa por integrarla en las plataformas de protección de endpoints. Por último, y no por ello menos importante, cabe recordar que escoger soluciones fáciles de usar minimiza el impacto de cualquier carencia de conocimientos en el equipo de ciberseguridad.

Implementar una solución de ciberseguridad EDR conlleva sus propios desafíos y consideraciones. La eficacia de una solución ha de medirse según su capacidad para detectar amenazas y su cobertura, además de que la solución no introduzca una complejidad innecesaria en la organización. Por otra parte, la decisión entre la gestión interna de la EDR u optar por una solución administrada conlleva importantes implicaciones en cuanto a la carga de trabajo del equipo de seguridad y la preparación en materia de ciberseguridad que tenga la organización.

Elegir la solución adecuada es una decisión que debe adaptarse a las necesidades concretas de la organización, tomando en consideración el sector, el tamaño, la infraestructura de seguridad existente y las posibilidades de crecimiento. Contar con una solución que pueda evolucionar, potencialmente a XDR o MDR, es una excelente manera de preparar la estrategia de seguridad informática de la organización de cara al futuro. Conforme va creciendo la organización, la solución de EDR puede escalar para adaptarse a su vez a los nuevos desafíos.

En INGENIUM-AX contamos con una solución EDR para tí: Datto EDR, que es parte de la suite de seguridad Kaseya 365.