Cisco consigue un 100% en la prueba de detección de brechas de seguridad de NSS Labs

4 min read

Cisco España

Cuando recibimos el último informe de detección de brechas de seguridad de NSS Labs, lo hicimos con gran orgullo; en él, Cisco consiguió una puntuación del 100% de detección.

Nos complace que nuestros productos estén tan bien representados y validados en el mercado, y creemos de verdad que tenemos los mejores y más fiables productos de seguridad disponibles actualmente.

FirePOWER 8120 demostró ser efectivo contra todo tipo de técnicas de evasión probadas

Cisco FirePOWER 8120 con NGIPS y protección frente al malware avanzado recibió una puntuación del 100% en detección de brechas de seguridad. FirePOWER 8120 demostró ser efectivo contra todo tipo de técnicas de evasión probadas. Además, también superó todas las pruebas de estabilidad y fiabilidad.

El informe de NSS Labs, se basa en una serie de pruebas centradas en detectar especialmente aquellas brechas de seguridad que eluden los métodos de detección y protección tradicionales como los antivirus y los firewalls a través de cualquier medio posible. Las pruebas están diseñadas para evaluar:

“La capacidad del producto para detectar y notificar a tiempo infecciones que se hayan introducido en el sistema, aspecto fundamental para mantener la seguridad y la funcionalidad de las redes supervisadas. La infección y la transmisión de malware deben notificarse de forma rápida y precisa para darles a los administradores la oportunidad de contener la infección y minimizar el impacto en la red. Debido a que el tiempo de respuesta es crucial para detener el daño provocado por infecciones de malware, el sistema bajo prueba debe ser capaz de detectar muestras conocidas o analizar las desconocidas y notificarlas en menos de 24 horas después de la infección inicial y la retrollamada de comando y control (C&C). Los sistemas bajo prueba que no alerten de un ataque dentro de un intervalo de tiempo de detección no reciben ningún crédito por la misma“.

Esto significa que los productos de Cisco detectaron el 100% de las brechas probadas en un plazo de 24 horas

Este es un testimonio impresionante que demuestra nuestro compromiso de proporcionar a nuestros clientes una seguridad verdaderamente eficaz.

Reto: reducir el espacio operativo

Aunque esto resulta ser un gran elogio para nuestros ingenieros, el resultado es agridulce. Cisco se enorgullece de contar con productos que funcionan tan eficazmente, pero, preocupados como estamos en guiar a nuestros clientes, una declaración como la de “detección del 100%” sin ningún contexto puede crear confusión. Demostremos a lo que nos referimos con una simple pregunta:

Si dos productos consiguieron una puntuación del 100% en el que el producto A detectó el 100% de las brechas en 5 minutos y el producto B detectó el 100% de las brechas en 1380 minutos, ¿con cuál se quedaría?, ¿a qué producto cree que le gustaría hacer frente un atacante si tiene la oportunidad?.

El tiempo que se tarda en detectar una brecha en la seguridad es la mejor forma de medir la eficacia , y el objetivo de esta medición debería ser de cero minutos. Así se reduciría el espacio operativo del adversario (el espacio y el tiempo que este tiene para operar después de crear una brecha en el sistema). Esta es una mejor representación de la eficacia, a diferencia de la última detección de una brecha en un plazo futuro arbitrario. Reducir el espacio operativo disponible para los atacantes es lo que limita la cantidad de daño producido una vez que se crea una brecha en el sistema, y este plazo es el factor clave para identificar y mitigar satisfactoriamente la brecha.

La forma para medir la eficacia de un sistema es medir la cantidad total del tiempo que lleva al producto detectar la totalidad de las brechas probadas.

Por ejemplo: si asignamos un mayor valor a las detecciones rápidas que a las detecciones lentas, podremos evaluar la eficacia general del producto ponderada según el tiempo. Al hacer esto no necesitamos imponer límites arbitrarios en el tiempo que tiene una solución para detectar una brecha y podemos representar mejor el valor de dicha detección. En nuestras perspectivas nos hemos referido a esta métrica como “tiempo para la detección (TTD)” desde diciembre de 2014 y lo hemos reducido de forma constante desde una media de 50,2 horas hasta una media de 13 horas en este periodo de mediciones. Los datos están disponibles en nuestro Informe de ciberseguidad semestral 2016.

Un ejemplo de cómo funcionaría una evaluación como esta en una prueba de brechas.

Aunque hay muchos modelos que podríamos aplicar, solo se han utilizado los valores de tiempo como una métrica de puntuación que resulte sencilla de entender. En pocas palabras, si tiene 1440 minutos en total para detectar una brecha y la detecta en menos de un minuto, se le concederán 1439 puntos por la detección:

Tenga en cuenta que ambos productos detectaron el 100% de las brechas en menos de 24 horas, aunque uno de los productos funcionó bastante mejor en lo que se refiere al TTD, por lo tanto, redujo el espacio operativo ilimitado del adversario y el riesgo y la exposición correspondientes de su negocio.

Aunque se necesitan datos completos para realizar una evaluación exacta, podemos aplicar un enfoque similar con los datos disponibles de esta prueba. A continuación un resumen en el que se han suprimido los nombres de los productos para no confundir a los defensores ni vulnerar los términos de uso:

¿Qué le parece?

Hay, por supuesto, otros aspectos que se deben tener en cuenta, como el coste operativo real de la tecnología, el impacto real de falsos positivos, el valor de bloqueo y la carga operativa que cualquier tecnología determinada pondría sobre su personal y sus procesos.

Mientras tanto, seguiremos sintiéndonos orgullosos de los resultados actuales de la prueba porque, a día de hoy, es la única medición de nuestro sector.

Eche un vistazo al informe de NSS Labs y piense por un momento cómo nos ayudarían estas medidas a mejorar nuestras defensas contra los atacantes.