¿Qué es EDR y por qué es fundamental para la seguridad de las PYMES? - Blog de seguridad
El panorama actual de amenazas y la seguridad de los terminales
Más de 7 mil millones de dispositivos globales en un mundo siempre activo y continuamente conectado crean un objetivo fácil para el atacante actual. Ya sea que trabajen para monetizar datos o hacer una declaración política, los adversarios cuentan con buena financiación y personal en la batalla por el acceso y el control de los terminales. Los métodos tradicionales de seguridad de endpoints, como el software antivirus, no pueden competir con la creciente sofisticación y el volumen de amenazas avanzadas que se encuentran en el panorama de amenazas actual. Según el Ponemon Institute, más del 52% de las empresas han experimentado un incidente de seguridad que ha eludido las defensas tradicionales. Las amenazas modernas a la ciberseguridad evaden la detección basada en firmas y son inútiles contra amenazas avanzadas como riesgos internos, ataques de día cero y malware sin archivos. Esta creciente brecha de seguridad es el catalizador de las soluciones de detección y respuesta de endpoints.
¿Qué es EDR?
Las violaciones de datos tardan un promedio de 197 días en descubrirse, y las organizaciones a menudo reciben notificaciones a través de las autoridades o de los servicios comerciales de los titulares de tarjetas en lugar de detectar la violación por sí mismas. Reducir el tiempo que los atacantes pasan en una organización (llamado tiempo de permanencia) y detectar incidentes antes puede generar una mejora dramática en los costos de violación de datos y en la protección de la reputación de la marca. Gartner Research define las soluciones de detección y respuesta de endpoints (EDR) como aquellas que registran y almacenan comportamientos a nivel de sistema de endpoints, utilizan diversas técnicas de análisis de datos para detectar comportamientos sospechosos del sistema, proporcionan información contextual, bloquean actividades maliciosas y brindan sugerencias de solución para restaurar los problemas afectados. sistemas. Generalmente existen dos enfoques de producto para EDR: software EDR autoadministrado o un servicio administrado. Organizaciones de todos los tamaños y sectores verticales están adoptando EDR y la detección de anomalías como una forma crucial de prevenir, detectar, responder y predecir ataques de ciberseguridad. Además, Gartner Research pronostica un aumento de 3 veces en la adopción de EDR hasta 2020.
¿Qué se consideran capacidades EDR críticas?
El mercado de EDR todavía está evolucionando con soluciones y proveedores que varían ampliamente en características y alcance. Sin embargo, la mayoría de las soluciones EDR abarcan estas cinco capacidades principales:
Desde información sobre cómo se desarrollan los ataques a los endpoints hasta el análisis de la causa raíz y el bloqueo de amenazas reales, la detección rápida es esencial para detener las amenazas temprano. Si bien muchas pequeñas y medianas empresas (PYMES) comprenden la necesidad de una mayor eficacia de la seguridad, es posible que no estén familiarizadas con todas las opciones para la detección avanzada de amenazas o no sepan por dónde empezar. Con demasiada frecuencia, los equipos de TI con exceso de trabajo optan por volver a crear una imagen de una computadora portátil sin una investigación completa de la causa raíz y una investigación forense del alcance del compromiso. ¿El resultado? Un ciclo de nuevo compromiso a medida que el adversario capitaliza las debilidades sistémicas en las personas, los procesos y la tecnología que impactan negativamente la resiliencia empresarial.
¿Qué limitaciones existen con la seguridad antivirus tradicional?
El software antivirus (AV) es una herramienta de seguridad tradicional que se basa en una biblioteca en constante crecimiento de reconocimiento basado en firmas. Los atacantes se adaptan al panorama de amenazas en evolución cambiando y mutando sus tácticas, a menudo aplicando ingeniería inversa a las herramientas antivirus para aprender cómo evitar la detección, según "Endpoint Protection and Response: a SANS Survey" de junio de 2018. Con la divulgación de más y A medida que aumentan las filtraciones de datos, las PYMES se dan cuenta de que el software antivirus tiene algunos inconvenientes importantes. Algunas limitaciones antivirus incluyen:
- Visibilidad ineficaz: debido a que se basa en la detección basada en firmas, los antivirus tradicionales no detectan amenazas emergentes desconocidas ni ataques de día cero. Los atacantes suelen realizar ligeros cambios en el malware para crear una nueva variante con un nuevo valor hash; se vuelven expertos en ocultar sus huellas. EDR puede detectar amenazas nuevas y desconocidas, así como proteger contra amenazas internas, ya sean maliciosas o involuntarias, descubiertas con análisis de comportamiento.
- Visión limitada de las acciones de los atacantes: el software antivirus y los antivirus de próxima generación se centran en técnicas de prevención en lugar de detección e investigación. EDR ayuda a identificar cómo el atacante ingresó a una organización y el camino del compromiso llamado "cadena de muerte de ciberseguridad". EDR también permite la investigación forense, para que pueda detectar movimientos laterales dentro de su organización y garantizar que los dispositivos comprometidos se detecten por completo.
- Una falsa sensación de seguridad: la eficacia de los antivirus, que alguna vez fue la herramienta de seguridad fundamental de toda organización, ha disminuido en los últimos años a medida que la economía de los piratas informáticos se ha disparado para monetizar amenazas como el ransomware y evadir la detección con un bajo nivel de seguridad. y enfoque lento. Los antivirus tradicionales detectan solo el 47 % de los ataques de endpoints, según un estudio de investigación de SANS (5). Las organizaciones pueden caer en una falsa sensación de invencibilidad que crea una brecha de riesgo debido a una inversión insuficiente en seguridad.
- Suplantación de credenciales: las credenciales comprometidas son inicios de sesión legítimos en el ordenador con combinaciones de nombre de usuario y contraseña que han quedado expuestos a través de una filtración de datos. Estos inicios de sesión robados son inicios de sesión válidos que funcionan si las contraseñas no se han restablecido. Los piratas informáticos pueden utilizar los más de 1.400 millones de credenciales robadas que existen en la web profunda y oscura para obtener acceso a sistemas confidenciales y a socios de la cadena de suministro de PYMES de empresas más grandes. Aunque las herramientas antivirus no detectarán la suplantación de credenciales, las soluciones EDR con análisis de comportamiento pueden detectar adversarios que inician sesión en momentos sospechosos o desde países donde su organización no opera.
Si bien las herramientas antivirus y antivirus de próxima generación (NGAV) ofrecen cierto nivel de protección, se necesitan defensas de seguridad en capas para mitigar las amenazas sigilosas y mutantes. La detección y respuesta de endpoints (EDR) es uno de esos enfoques. Las organizaciones pueden acelerar la eficacia de la ciberseguridad al integrar EDR y la gestión de eventos e información de seguridad (SIEM), todo ello con un servicio gestionado y un centro de operaciones de seguridad (SOC) 24 horas al día, 7 días a la semana. Estos tres componentes, cuando se integran y administran adecuadamente, brindan a una PYME una protección avanzada contra amenazas poderosa y eficiente.
Nuestro enfoque
Entendemos los desafíos que enfrenta en la batalla por la seguridad de los terminales. Netsurion EDR optimiza su eficacia con un servicio administrado y SOC 24 horas al día, 7 días a la semana, aumentando su personal con experiencia en seguridad difícil de encontrar. Diseñado específicamente para PYMES, aprovecha la automatización y el aprendizaje automático para obtener conocimientos más profundos, inteligencia sobre amenazas procesable y para identificar acciones del adversario en tiempo real. EventTracker EDR le permite detectar rápidamente, responder y recuperarse de manera eficiente de los ataques cibernéticos sin la complejidad y el alto costo asociados con el inflado software EDR centrado en la empresa. Naturalmente, EventTracker EDR es mucho más eficaz para reducir el tiempo de permanencia de los atacantes cuando se integra con nuestra solución EventTracker SIEM (gestión de eventos e información de seguridad).
Conclusión
Los incidentes de seguridad son inevitables. Las organizaciones de todos los tamaños también deben adaptarse al cambiante panorama de amenazas e invertir más en capacidades de detección y respuesta. Con sus equipos y recursos de seguridad y TI finitos, las organizaciones PYMES deben centrarse en reducir la superficie de ataque que las hace vulnerables a los atacantes y habilitar soluciones integradas como SIEM coadministrado y servicio EDR administrado que brinden seguridad de defensa en profundidad.