Seguridad en el Endpoint,
Antecedentes.
En la actualidad el objetivo de cualquier atacante o cibercriminal son los dispositivos finales de los usuarios que pueden ser teléfonos, pc’s, laptops, teléfonos móviles. en adelante endpoints.
Hasta hace unos años la forma de propagar malware incluía el uso de dispositivos USB, CD’s, web, email, aplicaciones falsas, entre otras. Hoy esta más que comprobado que el vector número 1 de infección es a través del correo electrónico y en segundo lugar probablemente sitios webs fraudulentos.
¿Como funciona este vector de ataque y como infectan a los usuarios finales?
Caso #1
Usuario recibe un correo electrónico con un archivo adjunto que tiene la capacidad de evadir mecanismos de seguridad cuando es abierto, estos payloads se pueden crear fácilmente con utilerías como: Powershell Empire, Metasploit, CobaltStrike, mimikatz entre otros.
Usuario recibe un correo electrónico con un link en el cuerpo del mensaje el cual hace referencia a un dominio (puede ser de un sitio nuevo, fraudulento, legitimo. previamente comprometido o perteneciente a los cibercriminales).
Una vez que el usuario hace clic en el enlace del correo electrónico o abre el archivo adjunto, el correo electrónico continúa la etapa de infección:
Caso #2
El usuario hace clic en un enlace en alguna página previamente comprometida o fraudulenta, es decir, paginas que inyectan algún tipo de código en el navegador del usuario (gracias a los Exploit kit) el cual la mayoría de las veces tendrá como fin:
Como podemos ver, este comportamiento de infección o intrusión NO ocurre totalmente en el Endpoints antes paso por otras capas de la red o de seguridad.
Y si ya sabe a industria y los clientes que esas son las principales capas a proteger ¿Por qué no es suficiente? Esto es por que las tecnologías funcionan de forma independiente, integraciones que no terminan de embonar o arquitectura que no trabaja en conjunto. Muchas veces las empresas pasan más tiempo afinando las herramientas de seguridad buscando la integración y menos tiempo mejorando, evaluando sus procesos de Prevención, Detección y principalmente de Respuesta a incidentes de seguridad y ni hablar del Threat Hunting. El Threat Hunting no es un producto o tecnología en un proceso que depende que las tecnologías este propiamente configuradas, integradas y trabajando en conjunto como uno solo, en todas las capas de seguridad donde interviene un ataque.
En este artículo nos enfocamos en abordar el endpoint por ser el objetivo principal, la última línea de defensa el punto donde las empresas pueden detectar y/o contener un ataque. Concretamente una introducción a Cisco AMP
¿Cuáles son las principales funciones que debería tener una solución de seguridad de endpoint?
Primero que nada, todas las soluciones de siguiente generación tienen funcionalidades de Endpoint Protection Platform y Endpoint Detection and Response, como es el caso de Cisco AMP.
Sin embargo, existen otras funcionalidades las cuales lo hacen una solución única. Aparte de que todas las funciones que mencionaremos ocurren en el mismo agente. Cuenta con funcionalidades como:
En la actualidad existen una variedad de soluciones de seguridad orientadas hacía el Endpoint, sin embargo, muchas trabajan de forma aislada o simplemente requieren de componentes adicionales lo cuál encarece la oferta además de la afinación o problemas de integración con otras soluciones para tener la capacidad de realizar remediaciones.
Un caso de USO:
Host comprometido
1. Un usuario hace clic en un enlace del correo electrónico y por alguna manera este logra descargar un archivo malicioso y comienza la infección. ya sea que se trate de un malware (Ransomware, troyano, virus, etc.), Cisco AMP detectara todo ese comportamiento y en el momento en que se catalogue como malicioso creara una Snapshot forensics que contendrá:
a) Procesos en ejecución
b) Puertos abiertos
c) Usuarios conectados
d) Conexiones TCP
e) Servicios en ejecución
f) Conexiones establecidas
g) Carpetas compartidas en ese momento
h) Entre otra información.
Ilustración 1: Funciones para tomar Snapshot forensics
Ilustración 2: Resultado de un Forensics Snapshot
2. Los archivos identificados serán enviados a Threat Grid, el sandbox de Cisco que realizará análisis dinámico y estático de forma automática para determinar todos los indicadores de comportamiento y proporcionará la evidencia necesaria para determinar si es un archivo malicioso o no. La inteligencia generada será compartida con toda la arquitectura de la seguridad (Firewall, Correo, DNS, RED, etc.)
Ilustración 3: Reporte de muestra de análisis automático
Ilustración 4: Reporte Threat Grid (Reporte de Análisis de malware)
3. El host infectado sea movido de forma automática a un grupo especial de HOST que requiere de análisis.
Ilustración 5: Acciones automatizadas
4. Después de esto, CISCO AMP activara mecanismos de aislamiento de RED a este equipo, por lo que se evitara el movimiento lateral.
Ilustración 6: Log de equipo aislado por un evento de seguridad
5. Finalmente, con la integración Zero trust, tener la capacidad de negar de forma inmediata el acceso de este HOST comprometido a las aplicaciones corporativas.
a) Un paso obligado cuando esta ocurriendo una brecha de seguridad. Desde un host de comprometido realizar accesos a las aplicaciones en busca de información confidencial y muy difícil de detectar.
Ilustración 7: Con Device Trajectory, podrás saber que paso exactamente en que tiempo 30 días hacía atrás.
Ilustración 8: Identificación de TTP’s
Ilustración 9: Visibilidad de las técnicas con base en Mittre ATT&CK identificadas en tu RED
Como nota adicional. Los pasos mencionados anteriormente se pueden reducir si las políticas esta activadas en modo protección.
La clave para poder responder ante un incidente de seguridad, lejos de la prevención es la preparación.
La oferta de Cisco es una arquitectura integrada Cisco y Non-CISCO, permitiendo la integración a través de API por que las integraciones son rápidas y eficientes.
Por último, si los equipos de seguridad no están preparados mediante expertise, tecnologías que proporcionen evidencia cuando la requieren o capacidades de remediación instantáneas es muy probable que fallaran llegado el día D, por que va a llegar. Todas las empresas hoy en día tienen que aceptar que en algún momento van hacer vulnerados.
¿Qué tan preparadas están sus defensas de seguridad en el Endpoint??
Para más información de Cisco AMP: https://www.cisco.com/c/es_mx/products/security/amp-for-endpoints/index.html
En el próximo artículo hablaremos de funcionalidades avanzadas de Cisco AMP para responder a incidentes de Seguridad y realizar Threat Hunting.
Ilustración 10: SecureX Threat Response