Este artículo explica los cinco pilares sobre los que levantamos el nuestro, y por qué cada uno de ellos nos diferencia del enfoque habitual del sector.
¿Y por qué?
Porque en En GrayHats llevamos más de 13 años protegiendo exitosamente a clientes frente a amenazas de ciberseguridad. Diseñar un servicio de SOC/MDR/SOAR eficiente en costes y de amplia capacidad ha sido nuestra prioridad número 1 desde el primer día y te contamos como lo hemos hecho.
1. Hiper automatización
La pieza central de nuestro SOC es el esfuerzo que dedicamos a la automatización de todos nuestros procesos. En ciberseguridad, el tiempo dejó de medirse en horas hace muchos años. Un ataque moderno —un ransomware que cifra, un atacante que se mueve lateralmente, un infostealer que roba y usa credenciales— se ejecuta y cumple sus objetivos en segundos. Si la detección y la respuesta tardan minutos, ya es tarde.
Por eso, en nuestro SOC, si sabemos que los ataques ocurren en segundos hay que responder en microsegundos. Cuando un proceso en un endpoint muestra comportamiento de ransomware, no tiene sentido crear una alerta que se mande a una cola a esperar que un analista la revise. El sistema aísla la máquina, bloquea el proceso, revoca la sesión comprometida y notifica, todo en el mismo intervalo en que el atacante intentaba avanzar. El analista entra después, con el incidente ya contenido, para investigar el origen, causa raíz, alcance, decidir la recuperación e informar al cliente.
Para nosotros no es una opción responder cuando la casa ya está en llamas, nuestra visión en ayudarte a hacer que tu casa sea ignífuga. Para eso sí se requiere el trabajo de personas con su diligencia, paciencia y empatía para mejorar los procesos de ciberseguridad y resiliencia de tu empresa.
2. Detección y respuesta por capas
Por nuestra experiencia, sabemos que ninguna capa de defensa es infalible. Hasta el mejor EDR del mercado es bypaseable. Un atacante con recursos y tiempo encontrará la manera de evadir un control concreto —y si toda tu defensa depende de ese control, has perdido.
Por eso construimos la detección y la respuesta sobre un enfoque multicapa, distribuido en las distintas superficies por las que un ataque puede entrar y moverse: endpoints, red, correo electrónico y cloud. Cada superficie tiene su propia capacidad de detección y de contención, de modo que el fallo de una no implica el fallo del conjunto.
Este enfoque aporta dos ventajas.
- Detener la amenaza lo antes posible. Cuanto más arriba en la cadena se detiene un ataque, menor es el daño. Si podemos parar un malware antes de que llegue al buzón de correo de Microsoft 365, es muchísimo mejor que detectarlo cuando ya está ejecutándose en el equipo de un empleado. Cada capa es una oportunidad de cortar el ataque antes —y la primera oportunidad siempre es la más barata.
- Correlacionar telemetría de fuentes diversas. Los ataques más sofisticados no se ven completos desde un único punto. Una acción aislada en un endpoint puede parecer inofensiva; la misma acción, cruzada con lo que el firewall observa en la red en ese mismo instante, revela el ataque. Al recoger y correlacionar telemetría de superficies distintas —endpoint, red, correo, cloud— hacemos visible lo que ninguna capa por separado podría detectar. El todo dice más que la suma de las partes.
El resultado es una defensa en profundidad: no una única muralla que, si cae, lo deja todo expuesto, sino un conjunto de capas que se refuerzan entre sí y que, además, se vigilan unas a otras.
3. Detección y respuesta de caja gris
Hay una pregunta que define la calidad de un servicio de detección y respuesta gestionada (MDR) y que casi nadie le hace a su proveedor y te la vamos a descubrir ¿quién decide qué se considera un ataque, y sobre qué conocimiento de mi empresa?
Existen 3 modelos de MDR en el mercado, según de dónde provenga la lógica de detección.
MDR de caja negra
Es el modelo más extendido. El cliente despliega una solución de un fabricante —Cortex de Palo Alto, CrowdStrike, Sophos, Fortinet u otras soluciones out of the box— y confía en sus detecciones sin más, esperando que la plataforma le defienda. Fácil.
Funciona, y funciona razonablemente bien para amenazas genéricas. Pero tiene una limitación de fondo: el fabricante no conoce tu empresa. No sabe qué servidor contiene la información crítica, qué comportamiento es normal a las tres de la mañana en tu empresa o qué usuario nunca debería tocar según qué sistema. La detección es buena, pero es genérica. Y lo que es genérico, por definición, no está adaptado a ti.
Este modelo tiene un problema todavía mayor.
Las plataformas XDR/SOAR de fabricantes tan conocidos como Palo Alto o CrowdStrike son productos públicos y ampliamente desplegados, y eso las convierte en un objetivo de estudio. Quienes mejor las conocen son los propios atacantes y existe toda una industria dedicada a diseccionar estas soluciones, desarrollar técnicas de bypass y descubrir 0 days contra ellas. Cuando tu defensa depende por completo de una caja cerrada que medio mundo —incluido tu adversario— puede analizar, partes en desventaja. La detección genérica es predecible, y lo predecible es, precisamente, lo que un atacante preparado sabe esquivar.
MDR de caja blanca
En el extremo opuesto, el proveedor del servicio MDR construye reglas de detección basadas en casos de uso y en el negocio del cliente, adaptadas al 100% a su realidad.
El equipo del SOC sabe exactamente qué está protegiendo; qué activos importan, qué procesos son críticos, qué comportamiento es legítimo y cuál no lo es nunca.
¿Es normal una compresión zip de 25 carpetas de un PC de un ingeniero? O estás a 3 segundos de que te roben una patente en la que lleváis años invirtiendo.
Este es el modelo más preciso y el que produce menos ruido, porque cada detección significa algo concreto en el contexto del cliente. Su contrapartida es que exige conocimiento, ingeniería y un gran esfuerzo inicial y después continuo de adaptación.
MDR de caja gris
El modelo de caja gris combina lo mejor de los dos anteriores: aprovecha las detecciones y respuestas del fabricante para los casos de uso más genéricos —donde una solución ya es excelente— y desarrolla detecciones propias para todo aquello que requiere conocer la empresa por dentro.
En GrayHats apostamos por el modelo de caja gris porque es el que ofrece el mejor equilibrio.
Aprovechamos la madurez de las plataformas líderes del mercado como Palo Alto, SentinelOne, Flare o Proofpoint para cubrir el terreno común con solidez, y dedicamos nuestra ingeniería de detección a lo que de verdad marca la diferencia: entender el negocio de cada cliente y traducir ese conocimiento en reglas que un fabricante nunca podría escribir por ti.
El resultado es un SOC que ni te deja a merced de una caja cerrada ni te obliga a reinventar lo que ya está resuelto.
4. Operaciones de prevención
Todo lo anterior describe cómo detectamos y respondemos cuando algo ocurre. Pero como diría Tsun Tzú, el mejor incidente es el que nunca llega a producirse. Por eso, incorporamos el trabajo continuo de identificar la superficie de ataque, indicios, o un problema, cuando apenas empieza a dar sus primeros síntomas.
La prevención no es un proyecto puntual, es una rutina. De forma recurrente realizamos análisis de vulnerabilidades tanto internos como externos, y mantenemos un ciclo ordenado de parcheo de sistemas: la mayoría de los ataques con éxito explotan fallos para los que ya existía solución.
Pero la prevención también ocurre fuera del perímetro. Vigilamos la dark web en busca de credenciales filtradas del cliente, dominios registrados para suplantar su identidad y conversaciones sobre la empresa en canales de Telegram y foros considerados criminales. Si alguien está preparando un ataque, a menudo deja rastro antes de lanzarlo. Encontrar ese rastro a tiempo cambia por completo el desenlace.
La lógica de la prevención es la misma que la de la detección por capas, llevada un paso previo, cuanto antes se actúa, menor es el daño. Detectar una credencial filtrada y forzar su cambio nos cuesta minutos; gestionar la intrusión que esa credencial habría permitido cuesta semanas.
Las operaciones de prevención son, sencillamente, la forma más rentable de hacer ciberseguridad.
5. El SIEM/XDR/SOAR
Aquí viene la madre del cordero. Si hemos dicho que somos multicapa y con detecciones de caja gris.
¿Dónde vamos a codificar nuestros miles de casos de uso, detecciones, correlaciones y respuestas? ¿nuestra gestión de casos? ¿Confiamos en una plataforma SaaS de un tercero?
¿Y si mañana no podemos pagarla por una subida de precio en una renovación?
¿Y si un cliente no puede pagarla?
¿Y si la empresa desaparece o el producto es descontinuado?
Todo el trabajo y esfuerzo de años, cautivo. Por lo que aquí la pregunta fue ¿sobre qué plataforma construimos nuestras reglas de detección y respuesta?
Aquí el sector se divide en dos grandes opciones.
Por un lado, las plataformas SaaS de pago por uso, cómodas de desplegar, pero con un coste que escala con el consumo y una dependencia total del proveedor una vez que ya estás montado.
Por otro, las plataformas on-premise basadas en software abierto, que requieren más conocimiento para operarse pero que se controlan de extremo a extremo.
En GrayHats apostamos de forma decidida por las plataformas on-premise (IaaS) de software libre, y lo hacemos por razones que repercuten directamente en la calidad de servicio a nuestros clientes:
- Adaptabilidad. Podemos integrar la plataforma con nuestros propios procesos, en lugar de adaptar nuestra forma de trabajar a las limitaciones de un producto cerrado y que cambia a voluntad de terceros.
- Eliminación del vendor lock-in. No quedamos —ni dejamos a nuestros clientes— atados a un único fabricante que controla el precio, la hoja de ruta, las condiciones del servicio, y a que precio nos pone la siguiente renovación.
- Flexibilidad y estabilidad de costes. El control de la plataforma nos da margen real de precio y, sobre todo, previsibilidad. Los costes no se disparan porque crezca el volumen de eventos ni dependen de la política comercial de un tercero.
- Seguridad a futuro. Tanto para nosotros como para nuestros clientes, controlar la base tecnológica significa estabilidad. La garantía de que el servicio no se verá comprometido por una subida de precios, un cambio de licenciamiento, adquisición de la empresa, o la retirada de un producto.
Es una decisión que exige más de nosotros como equipo.
Asumimos la complejidad para que el cliente reciba un servicio más flexible, más estable en costes y más seguro a largo plazo.
¿Quieres saber sin necesitas este servicio, y cómo aplicaríamos este modelo a tu organización?
Javier Jiménez.
Director General y CISO en GrayHats.
© Grayhats | Blog