Indicadores de Amenazas Internas

Una alerta de seguridad clásica es un hecho: el cortafuegos bloquea una conexión, un inicio de sesión falla cinco veces o un archivo malicioso queda en cuarentena. El hecho es claro y se explica por sí mismo.

Las amenazas internas rara vez producen hechos tan nítidos. Dejan un rastro de acciones que, cada una por separado, son legítimas. Un empleado que esta semana descarga un 50 % más de archivos de lo habitual, accede a un proyecto ajeno a su departamento y sube datos a una cuenta personal en la nube a las 23:00 no activa ninguna alerta aislada. Juntas, sin embargo, esas señales son significativas.

Por eso los programas frente a amenazas internas trabajan con indicadores, es decir, señales de conducta que forman un cuadro de riesgo, y no con hechos aislados. El trabajo analítico consiste en combinar indicadores y vigilar cómo escalan con el tiempo.

Los indicadores se agrupan en cinco categorías. Otras señales son la actividad alrededor de despidos o reorganizaciones, las infracciones de política que se agravan con el tiempo y las dificultades económicas.

Las reglas que se disparan con un solo indicador, como «avisar cuando cualquier usuario suba algo a la nube», generan una avalancha de falsos positivos. En una organización grande ocurren cada día miles de subidas legítimas a la nube. Tratar cada una como alerta insensibiliza a los analistas y hace que las amenazas reales se pierdan en el ruido.

Los programas maduros usan los indicadores como entrada de la puntuación de riesgo, no como alertas independientes. Así se reducen los falsos positivos, se concentra la atención de los analistas y se protege la privacidad de la plantilla al evitar una vigilancia sin objetivo.

Ningún indicador aislado confirma una amenaza. Un desarrollador que se queda hasta tarde para terminar un proyecto, un comercial que envía una propuesta a su correo personal para trabajar el fin de semana o un administrador de TI que entra en los servidores de noche por mantenimiento realizan actividades legítimas que también pueden coincidir con patrones de indicadores.

La puntuación de riesgo combina varios indicadores para separar la señal del ruido. El resultado es una puntuación de riesgo priorizada por usuario, no una alerta binaria. Los analistas revisan primero los casos con mayor puntuación para establecer contexto e intención, y solo después deciden la respuesta.

1. 1

   Frecuencia y escalada

   Un indicador suelto es de riesgo bajo; repetido y creciente, pesa más

2. 2

   Combinación

   Débil por separado, fuerte cuando varios aparecen juntos

3. 3

   Desviación de la línea base

   Normal para un usuario puede ser anómalo para otro

4. 4

   Peso del contexto

   Gana peso con una salida, un cambio de puesto o una sanción

Los indicadores sugieren riesgo; los hechos acreditados demuestran daño. Un programa maduro usa los indicadores para priorizar investigaciones y, durante estas, reúne hallazgos verificados antes de actuar. Actuar solo sobre indicadores conduce a acusaciones infundadas, y esperar hechos acreditados sin vigilar indicadores significa detectar las amenazas únicamente cuando el daño ya está hecho.

• Los indicadores son patrones de conducta que justifican investigar. Son probabilísticos: un indicador no demuestra que exista una amenaza.
• Los hechos acreditados son actividad verificada que demuestra una infracción real de la política o un daño, como una exfiltración confirmada, un acceso no autorizado documentado o un fraude probado.

El motor de análisis de riesgo de Anexet puntúa a cada usuario en categorías de riesgo predefinidas. El gestor de categorías siguiente muestra esas categorías con sus niveles de riesgo por defecto.

Empieza por las señales de la detección de amenazas internas que afectan a los datos cuya fuga dañaría más y, después, añade canales y conductas, un grupo cada vez.

Una lista corta de señales bien ajustadas es más fácil de revisar que una larga lista de alertas que nadie lee.

Lectura recomendada: ¿Cómo identifica un oficial de seguridad a un insider mediante el sistema DLP?; ¿Cómo reconocer a un insider en una empresa y prevenir sus actividades?.