Exfiltración de datos frente a fuga de datos
Fuga de datos es cualquier exposición no autorizada de datos, intencional o accidental. Un empleado que envía una hoja de cálculo a su cuenta personal para trabajar desde casa provoca una fuga por descuido, no por mala intención.
La exfiltración de datos es la transferencia deliberada y encubierta de datos hacia un destino externo controlado por un atacante o por una persona interna. Implica intención: alguien saca los datos de modo que salgan sin que nadie lo note.
En la práctica, los métodos de detección se solapan mucho, porque ambos requieren monitorear el movimiento de datos e inspeccionar el contenido. La diferencia de intención sigue siendo importante para la respuesta a incidentes, las acciones legales y la clasificación de amenazas internas.
| Criterio | Fuga de datos | Exfiltración de datos |
|---|---|---|
| Intención deliberada | ||
| Puede ser accidental | ||
| Monitoreo del movimiento y del contenido |
Métodos comunes de exfiltración
La exfiltración usa cualquier canal por el que los datos puedan salir legítimamente de una organización. Cada canal necesita su propio control, y el control de dispositivos cubre los locales, como USB e impresión.
Los primeros seis métodos son los más comunes en incidentes reales. Los dos últimos son menos frecuentes, pero más difíciles de detectar.
| Canal | Cómo salen los datos |
|---|---|
| Canales de red | Subidas por HTTP/HTTPS, FTP, protocolos de túnel propios; el cifrado oculta el contenido |
| Correo electrónico | Adjuntos o enlaces enviados a direcciones externas, incluido el webmail |
| Almacenamiento en la nube | Subidas a cuentas personales como Google Drive, Dropbox, OneDrive, Box o MEGA |
| Aplicaciones de mensajería | Archivos enviados por WhatsApp, Telegram, Signal, Slack, Teams o chat web |
| Medios extraíbles | Copias en memorias USB, discos externos o medios ópticos |
| Portapapeles y pantalla | Texto pegado en aplicaciones no aprobadas o fotos de la pantalla |
| Impresión | Documentos sensibles impresos para llevárselos físicamente |
| Esteganografía y abuso de protocolos | Datos ocultos en imágenes o audio; túneles DNS/ICMP en pequeñas cantidades |
Quién exfiltra datos
Tres tipos de actores exfiltran datos:
- Internos malintencionados: empleados o contratistas que roban datos a propósito, como propiedad intelectual para un competidor, listas de clientes, datos financieros para un fraude o información por razones ideológicas, como la denuncia o el activismo.
- Cuentas comprometidas: atacantes externos que robaron credenciales o tomaron el control de un dispositivo. Actúan con el acceso legítimo del empleado, así que la actividad parece autorizada. Por eso los internos comprometidos entran en el monitoreo de amenazas internas.
- Malware: troyanos infostealer y amenazas persistentes avanzadas (APT) que recogen datos localmente y los envían a un servidor de comando y control.
Por qué la exfiltración es difícil de detectar
La dificultad central es que la exfiltración usa las mismas aplicaciones y canales que el trabajo legítimo. Un empleado que sube un archivo a la nube a las 2 p. m. puede estar compartiendo una propuesta con un cliente. La misma acción a las 2 a. m., a una cuenta personal y por alguien que ya renunció, es otra historia. Ninguna señal por sí sola es concluyente, por eso la detección combina las verificaciones de abajo y puntúa el riesgo a lo largo del tiempo.
- Inspección de contenido: ¿los datos coinciden con patrones confidenciales, huellas digitales o etiquetas? En esta verificación se apoya el bloqueo basado en contenido.
- Contexto: cuándo, dónde y quién: fuera de horario, una ubicación inusual o un empleado que se va de la empresa.
- Volumen y patrón: una descarga masiva seguida de una subida externa es una firma clásica.
Prevención y respuesta
La prevención y la respuesta combinan cinco capacidades:
- 1
Aplicar políticas DLP
Impedir que los datos sensibles salgan por los canales controlados, según la clasificación del contenido.
- 2
Vigilar los canales locales
Visibilidad sobre USB, portapapeles e impresión, que las herramientas de red no ven.
- 3
Establecer el comportamiento normal
El análisis de comportamiento (UEBA) construye un perfil de la actividad típica y marca las desviaciones.
- 4
Limitar el acceso
Acceso solo a los datos necesarios para el trabajo, lo que limita el daño de cualquier cuenta comprometida.
- 5
Investigar y conservar evidencias
Establecer quién, qué, cuándo y dónde, contener nuevas transferencias y guardar la evidencia para acciones legales o disciplinarias.
Cómo se ve en Anexet
En la consola de Anexet, un correo interceptado se abre con una pestaña de IA que enumera posibles amenazas, como ocultamiento de información, y un resumen breve de la conversación. La pantalla también indica que la salida de la IA no siempre es fiable, así que el analista lee el mensaje antes de actuar. Los mensajes marcados se pueden añadir a un caso de investigación.
Por dónde empezar
Empiece por los datos que más daño harían si salieran y, después, mapee los canales que la gente usa de verdad para moverlos. Las reglas que bloquean todo desde el primer día suelen desactivarse, y entonces no queda nada vigilado.
El módulo Anexet DLP funciona en instalaciones propias (on-premise) y cubre los canales descritos arriba.
Lectura recomendada: Sistemas DLP — qué son y cómo funcionan; ¿Cómo identifica un oficial de seguridad a un insider mediante el sistema DLP?.
La exfiltración rara vez parece un ataque. Parece un envío común en una tarde cualquiera.
Anexet TeamCómo lo resuelve Anexet
El módulo de DLP de Anexet está diseñado específicamente para detectar y bloquear la exfiltración de datos en todos los canales que podrían usar un insider o una cuenta comprometida:
La arquitectura on-premise mantiene todos los datos de detección, el contenido capturado y los archivos de investigación dentro de la infraestructura de la organización. Esto importa cuando el caso de exfiltración involucra datos sensibles o regulados que no deberían salir hacia la nube de un tercero.
Políticas de bloqueo
Las políticas de bloqueo actúan sobre 11 tipos de canal: HTTP(S), SMTP, FTP, MAPI, mensajería, impresión, portapapeles, almacenamiento externo, recursos compartidos de red, procesos y transferencias de archivos. Las condiciones pueden usar objetos de clasificación de contenido, como coincidencias de tesauro, hash, huella digital o etiqueta de sensibilidad.
Captura en endpoints
La interceptación en el endpoint captura el contenido del archivo en la estación de trabajo antes de que el cifrado lo oculte. Así se ve lo que se sube a la nube, las transferencias por mensajería y los canales locales (USB, portapapeles, impresión) que las herramientas solo de red no detectan.
Análisis de riesgo
El motor de Análisis de Riesgo puntúa a los usuarios en ocho categorías de riesgo predefinidas. Combina señales de fuga de datos con indicadores de comportamiento, como patrones horarios y anomalías de volumen, para priorizar los casos que hay que investigar.
Investigaciones
El módulo de Investigaciones construye casos con los eventos capturados. Los casos pueden exportarse para uso legal o disciplinario.
Funcionalidad de bloqueo de transferencia de datos
Más información