Cada día aparecen miles de nuevos indicadores de compromiso (IoC) relacionados con phishing, malware, robo de credenciales e infraestructuras maliciosas. Muchísimo ruido, y poca señal.
El reto que plantea esto a las empresas de ciberseguridad no es acceder a esta información en sí, sino transformarla en protección antes de que una de estas amenazas llegue al cliente.
Pero claro... la mayoría de herramientas de protección son de alcance global y multisector por lo que las amenazas se generalizan y descontextualizan para que la protección "sirva para todos".
Con este contexto, si tenemos que detectar una actividad fuera de lo normal o maliciosa, ¿qué significaría "fuera de lo normal" en tu empresa?
Esta falta de granularidad, visibilidad y control adicional para sectores y empresas concretas, es un problema.
Para solucionarlo nació nuestro proyecto Threat Intelligence Fabric.
¿Qué es GrayHats Threat Intelligence Fabric?
GrayHats Threat Intelligence Fabric es nuestra plataforma para recopilar, normalizar, enriquecer, priorizar y distribuir inteligencia de amenazas de forma automatizada. Actúa como una capa intermedia entre las fuentes de inteligencia y las tecnologías de seguridad que usamos como Wazuh, Palo Alto, SentinelOne, Netskope o Proofpoint.
En lugar de gestionar independientemente los feeds de cada fabricante, mantenemos un modelo común de inteligencia desde el que podemos alimentar a estas diferentes tecnologías.
Esto nos permite aplicar una política común de inteligencia independientemente del fabricante que utilice cada cliente.
Convertimos datos en inteligencia útil
Una lista con miles de IPs, dominios o hashes maliciosos no es necesariamente inteligencia útil. Puede contener indicadores antiguos, duplicados, poco fiables o asociados a infraestructuras legítimas comprometidas temporalmente.
Por eso GrayHats Threat Intelligence Fabric no actúa como un simple agregador de feeds. Antes de utilizar un indicador, lo procesamos para reducir ruido y aumentar su valor.
1. Normalización. Unificamos indicadores procedentes de fuentes comerciales, OSINT o investigaciones de nuestro SOC en un modelo común, independientemente de su formato de origen.
2. Deduplicación. Identificamos indicadores repetidos entre diferentes fuentes y consolidamos la información. La coincidencia entre varias fuentes también puede aumentar su nivel de confianza.
3. Enriquecimiento. Añadimos contexto para entender mejor la amenaza. En una IP podemos analizar ASN, país, proveedor de hosting, reputación, malware o campañas relacionadas. En un dominio, antigüedad, DNS, certificados, infraestructura asociada o posibles campañas de phishing.
Nuestro objetivo es responder a una pregunta mucho más importante que simplemente determinar si un indicador aparece en una blacklist:
¿Qué sabemos realmente sobre esta amenaza? ¿Podría constituir una amenaza para alguno de nuestros clientes?
No todas las amenazas son igual de relevantes
La relevancia de una amenaza depende del contexto. Un mismo indicador puede ser crítico para una organización y poco importante para otra. GrayHats Threat Intelligence Fabric no solo valora la fiabilidad de un indicador, también analiza a quién puede afectar y con qué prioridad.
Para ello tiene en cuenta factores como:
- Sector y país.
- Tecnologías utilizadas.
- Activos y servicios expuestos.
- Vulnerabilidades existentes.
- Campañas conocidas.
- Indicadores observados previamente.
Por ejemplo, una campaña dirigida al sector industrial tendrá mayor prioridad para una fábrica, mientras que un dominio que suplanta una marca será especialmente relevante para un cliente de retail que base sus ventas en plataformas online.
De esta forma pasamos de una inteligencia genérica a una Threat Intelligence contextualizada y adaptada a cada cliente.
Inteligencia que llega directamente a playbooks de respuesta
Una de las principales diferencias de GrayHats Threat Intelligence Fabric respecto a un feed tradicional es lo que ocurre después de identificar una amenaza. La inteligencia debe transformarse en acción.
Supongamos que detectamos una nueva campaña de phishing dirigida a organizaciones españolas. Durante la investigación identificamos:
- varios dominios fraudulentos
- diferentes URLs utilizadas para capturar credenciales
- direcciones IP utilizadas como infraestructura
- y un malware descargado posteriormente, identificado mediante su hash
Una dirección IP puede incorporarse a una External Dynamic List de un firewall Palo Alto. Una URL o dominio malicioso puede distribuirse a Netskope para impedir que los usuarios accedan a él. Un hash puede incorporarse a SentinelOne para mejorar las capacidades de detección o bloqueo en los endpoints.
Ese mismo conjunto de indicadores puede incorporarse simultáneamente a nuestro SIEM para buscar actividad histórica. La inteligencia deja así de ser información que alguien debe revisar. Se convierte en protección distribuida automáticamente.
Un único indicador, diferentes acciones
No todos los controles de seguridad tienen las mismas capacidades. Por eso GrayHats Threat Intelligence Fabric no distribuye simplemente el mismo dato a todas las plataformas. Nuestro motor de políticas decide cómo utilizarlo.
Por ejemplo, ante un hash SHA-256 asociado a malware confirmado podríamos:
- bloquearlo en el EDR
- incorporarlo a las capacidades de protección de archivos en Wazuh
- buscar retrospectivamente su presencia
- generar una alerta si aparece en cualquier endpoint
Pero ante una dirección IP con un nivel de confianza medio podríamos decidir:
- no bloquearla
- utilizarla únicamente para detección
- buscar comunicaciones históricas
- aumentar su prioridad si aparece asociada a otros indicadores
Conceptualmente trabajamos con diferentes tipos de acción con cada IoC; como detectar, bloquear, monitorizar, investigar, enriquecer, revisar o expirar.
El objetivo no es bloquear todo. El objetivo es aplicar la respuesta adecuada según el nivel de confianza, el contexto y el riesgo.
Cómo mejora nuestras capacidades de detección
Threat Intelligence Fabric forma parte de una estrategia más amplia dentro del SOC de GrayHats. Nuestro modelo de detección no depende exclusivamente de las alertas generadas por los fabricantes.
Combinamos diferentes capas:
"La inteligencia de amenazas añade una dimensión adicional a esta arquitectura".
Detectamos infraestructura conocida
Cuando un endpoint intenta conectarse con una dirección IP o dominio asociado a una campaña maliciosa, podemos identificar esa relación. Lo mismo ocurre cuando aparece un archivo cuyo hash ya ha sido clasificado como malware. Esto permite reconocer rápidamente amenazas previamente investigadas.
Detectamos relaciones que una alerta aislada no mostraría
Una conexión de red, acción de proceso o autenticación pueden parecer legítimos.
Pero cuando correlacionamos estos eventos con inteligencia externa, el contexto lo puede cambiar todo.
Por ejemplo
Podemos mirar hacia atrás
Una de las capacidades más valiosas de la Threat Intelligence es el retrospective hunting o Retrohunting. Cuando descubrimos un nuevo indicador no solo queremos proteger al cliente a partir de ese momento.
También queremos responder otra pregunta:
¿Hemos visto esta infraestructura anteriormente?
Nuestro SIEM y nuestras plataformas de detección permiten buscar los indicadores recién descubiertos en telemetría histórica. Esto puede revelar que una dirección IP que hoy sabemos que pertenece a una infraestructura de Command & Control fue contactada por un equipo hace varios días.
En ese momento podemos iniciar una investigación aunque el evento original no hubiese generado una alerta. La inteligencia nueva aumenta así el valor de la telemetría histórica.
Cada cliente puede beneficiarse de lo aprendido en otros incidentes
Una de las ventajas de operar un SOC para múltiples organizaciones es nuestra capacidad para aprender continuamente. Cuando investigamos un incidente podemos obtener información sobre:
- infraestructura atacante
- dominios utilizados
- malware
- técnicas de persistencia
- mecanismos de ejecución
- patrones de autenticación
- comportamiento posterior a la intrusión
Una vez validada y correctamente anonimizada, parte de esa inteligencia puede utilizarse para mejorar nuestras capacidades defensivas. Esto genera un efecto muy importante.
Un ataque observado en una organización puede ayudarnos a mejorar la protección del resto de nuestros clientes.
Prevención antes del incidente
Threat Intelligence Fabric también amplía nuestra capacidad preventiva. No toda la inteligencia tiene que proceder de un incidente ya ocurrido.
Podemos identificar señales tempranas como:
- credenciales corporativas filtradas
- dominios registrados para suplantar una marca
- infraestructura preparada para campañas de phishing
- vulnerabilidades que están siendo explotadas activamente
- menciones de organizaciones en foros criminales
- nuevas campañas dirigidas contra un sector
- malware orientado a determinadas tecnologías
Esto nos permite actuar antes.
Por ejemplo, descubrir una contraseña comprometida y solicitar su cambio antes de que un atacante la utilice es considerablemente mejor que detectar posteriormente un acceso ilegítimo.
Esta es una de las ideas centrales de nuestro modelo de SOC:
La mejor respuesta a un incidente es aquella que consigue evitar que llegue a producirse.
Inteligencia adicional a la de los fabricantes
Nuestros clientes utilizan tecnologías diferentes. Algunos disponen de Palo Alto Networks. Otros utilizan SentinelOne, Netskope, Proofpoint o diferentes plataformas cloud.
El riesgo de depender completamente de la inteligencia de cada fabricante es crear diferentes silos. Cada producto ve únicamente una parte del entorno y utiliza fundamentalmente su propia inteligencia. GrayHats Threat Intelligence Fabric introduce una capa transversal y customizada para nuestros clientes y casos de uso.
Esto nos permite reutilizar la misma inteligencia en distintos controles y mantener una lógica de seguridad común independientemente de la tecnología desplegada. No sustituimos la inteligencia de los fabricantes. La ampliamos.
Inteligencia adaptada al cliente
Cuanto mejor conocemos una organización, mejor podemos determinar qué amenazas son realmente relevantes para ella. Tecnologías utilizadas, activos críticos, dominios, usuarios privilegiados, servicios expuestos o proveedores forman parte de ese contexto.
Si aparece una campaña que explota una vulnerabilidad concreta, su prioridad será muy distinta para un cliente que no utiliza esa tecnología que para otro que tiene varios sistemas expuestos.
Por eso GrayHats Threat Intelligence Fabric busca evolucionar desde una Threat Intelligence genérica hacia una Threat Intelligence contextualizada y priorizada para cada cliente.
GrayHats Threat Intelligence Fabric dentro de nuestro SOC
Threat Intelligence Fabric no es una herramienta aislada, forma parte de la arquitectura completa de nuestro Centro de Operaciones de Seguridad.
Nuestro modelo combina las siguientes cinco capacidades fundamentales las cuales se retro alimentan entre sí:
- Defensa multicapa: Monitorizamos diferentes superficies: endpoint, red, identidad, correo, aplicaciones y cloud.
- Hiperautomatización: Automatizamos tareas de enriquecimiento, clasificación, contención y respuesta cuando existe suficiente confianza.
- Detección adaptada: Complementamos las capacidades de los fabricantes con reglas desarrolladas por nuestro equipo y adaptadas al contexto del cliente.
- Prevención continua: Buscamos vulnerabilidades, exposición, credenciales comprometidas y otras señales de riesgo antes de que se conviertan en incidentes.
- Threat Intelligence: Convertimos conocimiento sobre amenazas externas en nuevas capacidades de prevención, detección y respuesta.
¿Cómo se beneficia un cliente de GrayHats?
Desde el punto de vista del cliente, gran parte de esta complejidad debe ser invisible.
No debería necesitar gestionar feeds de amenazas, revisar continuamente nuevos IoC ni desarrollar integraciones diferentes para cada producto.
Nuestra responsabilidad es transformar esa inteligencia en mejoras reales de protección.
Los principales beneficios son los siguientes.
- Menor tiempo de exposición: Una amenaza identificada puede distribuirse rápidamente hacia diferentes controles sin esperar a que cada plataforma actualice sus mecanismos de reputación.
- Mayor capacidad de prevención: Determinados indicadores pueden bloquearse antes de que aparezca actividad contra el cliente.
- Inteligencia relevante: Priorizamos las amenazas en función del sector, las tecnologías y la exposición de cada organización.
- Mejora continua: Cada nueva investigación puede generar nuevos indicadores, reglas y automatizaciones que aumentan progresivamente nuestra capacidad defensiva.
Nada de esto se sostiene con una suscripción a un feed. Se sostiene con criterio para decidir qué se hace con cada indicador, y con alguien que lo aplique todos los días.
Si te estás preguntando si esto tiene sentido para tu empresa, hay una forma rápida de saberlo: pregúntale a quien lleva tu seguridad de dónde sale su inteligencia y quién decide si un indicador se bloquea o solo se monitoriza.
Javier Jiménez.
Director General y CISO en GrayHats.
© Grayhats | Blog
¿Sabes qué inteligencia de amenazas se está aplicando hoy a tu empresa?
Revisamos qué fuentes alimentan tus controles de seguridad, cómo se priorizan y qué ocurre cuando aparece un indicador relevante para tu sector.