Detección de Amenazas Internas

Un ataque externo dispara alarmas. Un cortafuegos bloquea una conexión, un sistema de detección de intrusiones señala una firma y el antivirus pone un archivo en cuarentena. Son eventos basados en reglas: algo coincide con un patrón malicioso conocido o no coincide.

Las amenazas internas no funcionan así. La persona interna usa credenciales, aplicaciones y canales legítimos. Cada acción por separado, como abrir un archivo, enviar un correo o subir datos a la nube, está autorizada. La amenaza está en el patrón: en la combinación de acciones a lo largo del tiempo que revela intención o riesgo. Detectarla exige un enfoque distinto al de la seguridad perimetral.

La detección eficaz combina varios métodos, porque ninguno cubre por sí solo todos los casos:

• Monitorización basada en reglas: políticas fijas marcan acciones concretas, como un archivo con la huella digital de un documento confidencial subido a una cuenta personal en la nube. Detectan patrones conocidos, pero no los nuevos.
• Línea base conductual y detección de anomalías (UEBA): el sistema aprende el comportamiento normal de cada usuario y señala desviaciones, como un aumento súbito del volumen de datos o el acceso a sistemas ajenos a su puesto. Detecta amenazas que no encajan en ninguna regla predefinida.
• Inspección de contenido (DLP): en lugar de la conducta, el DLP observa qué se transfiere, como una hoja de cálculo con números de tarjeta o contenido que coincide con un diccionario de términos sensibles. Detecta los datos realmente en riesgo, sea cual sea el canal.
• Puntuación de riesgo: varias señales se combinan en una puntuación de riesgo por usuario. Una señal débil aislada es riesgo bajo, pero varias que convergen en la misma persona elevan la puntuación. Así se priorizan los casos ante la atención limitada de los analistas.
• Enriquecimiento contextual: eventos de RR. HH., cambios de acceso y contexto organizativo hacen la detección más precisa y reducen los falsos positivos.

Anexet evalúa a cada usuario según categorías de riesgo. Cada categoría tiene un nivel de riesgo predeterminado.

Los programas de detección siguen en el tiempo combinaciones de estos indicadores. Ningún indicador aislado es concluyente: el valor está en las combinaciones y las tendencias, no en hechos aislados.

Detectar no es acusar. Cuando se señala a un usuario, el paso siguiente es investigar, no actuar. El analista revisa la actividad señalada en su contexto:

• ¿Existe una explicación de negocio legítima?
• ¿Ha cambiado recientemente el puesto o el proyecto del usuario?
• ¿Corroboran los indicadores varias fuentes de datos?
• ¿Cuál es la gravedad y el impacto potencial?

Solo después de investigar, el programa decide la respuesta: cerrar el caso como falso positivo, reforzar la monitorización, ajustar accesos o escalar a la dirección o a seguridad. Actuar sobre alertas en bruto sin investigar lleva a acusaciones infundadas, pérdida de confianza y exposición legal.

La detección identifica el riesgo y la prevención bloquea el daño. Ambas se complementan.

Muchas amenazas no se pueden impedir de antemano. Una persona interna puede usar canales que el DLP no cubre o actuar de forma legítima por separado. En esos casos, la principal defensa es la detección junto con una investigación rápida. Para canales y contenidos conocidos, la prevención con DLP es más eficaz.

Lectura recomendada: ¿Cómo identifica un oficial de seguridad a un insider mediante el sistema DLP?.

• El DLP es preventivo: puede impedir que un archivo sensible salga de la organización.
• El UEBA es detectivo: identifica riesgo conductual que puede o no derivar en un hecho real.