Centro de seguridad de Windows

Después de una infracción

cómo lidiar con las amenazas
avanzadas
 Centro de seguridad de Windows

Emerge un nuevo desafío

La seguridad de los extremos es una preocupación fundamental en la sala de juntas:

en noviembre de 2015, el 71 % de los ejecutivos corporativos de seguridad y TI seguían
identificando los extremos como los sistemas más vulnerables1. Esta creciente preocupación
se atribuye a la emergente amenaza de nuevos ataques sofisticados dirigidos contra la
propiedad intelectual y la información de gran impacto económico. Las defensas tradicionales
quedan neutralizadas y el 70 % de los ejecutivos de seguridad no confían en las medidas de
seguridad con las que cuentan. Hace falta un enfoque nuevo.

Mientras que el software antimalware continúa en su batalla por bloquear el malware

producido en forma masiva con fines delictivos, vemos emerger un nuevo tipo de amenazas
dirigidas más sofisticadas. Después de la divulgación de las impresionantes armas cibernéticas
de algunos estados nación como Stuxnet y Regin, ahora pareciera que no transcurre ningún
día sin noticias de otra red de un reconocido gobierno o empresa que cayó víctima de un
ataque. 2.122 vulneraciones de datos confirmadas se notificaron tan solo en el año 2015, lo
que, según las estimaciones de una fuente, representa un aumento del 40 % interanual en
los ataques dirigidos contra grandes compañías. Los grupos de hackers de estados nación y
con motivos políticos (como Strontium), van directamente tras la propiedad intelectual y los
registros personales de las organizaciones empresariales y gubernamentales.

Este incremento se ve exacerbado por las dificultades que sufren los conjuntos antimalware
y las revisiones de vulnerabilidad para detener estos ataques. Los atacantes determinados
pueden sortear cómodamente las defensas contra malware al evitar completamente el
uso de malware (hasta el 60 % de los casos registrados2) y optar en cambio por el uso de
herramientas legítimas de administración del sistema operativo y pruebas de penetración
mediante técnicas sencillas de ingeniería social a fin de engañar a los usuarios para que
les otorguen acceso y privilegios y vulneraciones de día cero preparadas, aprovecharse de
errores en el sistema operativo y las aplicaciones con la intención de vulnerar la red sin ser
detectados. Las cifras son alarmantes: las principales 5 vulnerabilidades de día cero en el año
2014 fueron aprovechadas activamente por los atacantes durante 295 días combinados antes
de que se publicaran las revisiones3. Mientras que en promedio los atacantes solo tardaron
minutos en entrar, los equipos de seguridad demoraron 221 días en promedio en descubrir
la infracción. El 81 % de los ejecutivos encuestados opinó que las soluciones antimalware no
forman parte de su futuro para protegerse contra los ataques avanzados4.

A medida que la cantidad de ataques sigue creciendo cada año, más y más empresas
comerciales se dan cuenta de que sufrieron una vulneración. Mientras que en el pasado los
atacantes solo iban tras víctimas prominentes, los intereses de los atacantes de hoy abarcan
desde el espionaje político hasta el industrial, por lo que las empresas de todos los tamaños
y mercados comerciales están bajo la mira.

1
Blog de promisec: Infografía sobre la seguridad de los extremos
2
Informe de Verizon: Informe sobre las investigaciones de filtraciones de datos de 2016, Verizon
3
Informe de Symantec: Informe sobre la seguridad de Internet, Symantec 2016
4
Blog de promisec: Infografía sobre la seguridad de los extremos
 Centro de seguridad de Windows

La estrategia posterior a la vulneración

Las soluciones antimalware para extremos como Windows Defender se enfocan en la
seguridad anterior a la infracción: actúan como portero, examinan los archivos entrantes
y la memoria para detectar y bloquear el contenido malintencionado en tiempo real.
Pero, tal como se vio previamente, por muy buenas que sean, no son invulnerables
y no pueden brindar protección contra los atacantes determinados que cuentan con
amplios recursos financieros y se aprovechan de vulneraciones de día cero, ingeniería
social y herramientas malintencionadas para obtener acceso, privilegios y control. Hace
falta una nueva estrategia de seguridad posterior a la infracción para complementar las
herramientas previas a la infracción.
A diferencia de la defensa anterior a la infracción, la seguridad posterior a la infracción
supone que la vulneración ya se produjo, y actúa como registro e investigador del
lugar del delito. Supervisa los eventos de seguridad en el extremo y se vale de
algoritmos de detección de anomalías y correlación a gran escala para alertar sobre
las evidencias de un ataque en curso. La defensa posterior a la infracción se aprovecha
de la necesidad del atacante de realizar diversas acciones después de la infracción
(como realizar reconocimiento, ocultamiento y desplazarse por la red) para ubicar
activos de gran valor y ejecutar la extracción de la información. La seguridad posterior
a la infracción entrega a los equipos de seguridad la información y el conjunto de
herramientas necesarios para identificar, investigar y responder a los ataques que
de otra manera seguirían desapercibidos y sin detectar. Por último, la seguridad
posterior a la infracción cierra el círculo con las defensas anteriores a la infracción de
antimalware y otras capacidades preventivas al suministrarles las señales y muestras
que no se detectaron. De esta manera, complementa el conjunto de componentes de
la solución de seguridad anterior a la infracción.
Esta nueva estrategia posterior a la infracción
se está reconociendo mundialmente y se está
abriendo un nuevo segmento en el mercado de
la seguridad, denominado detección y respuesta
en el extremo (EDR) por Gartner o análisis y
protección de amenazas especializadas (STAP)
por IDC. Las empresas debieran complementar el
conjunto de soluciones de protección de extremos
y prevención de amenazas, con más tecnologías
de detección y respuesta5 que se enfoquen en las amenazas que no se basan en
firmas y que tengan la capacidad de analizar las amenazas que intentan de evitar la
detección mediante las tecnologías de seguridad predominantes6.

5
Informe de Gartner: Guía de mercado para soluciones de detección y respuesta en el extremo
6
Estudio de IDC: Cuotas de mercado mundiales de análisis y protección de amenazas especializadas, 2014:
defensas de seguridad en rápida evolución
 Centro de seguridad de Windows

Estimado en USD 3.000 millones en el año 2019, con una tasa de crecimiento anual compuesta
del 27,6 %, muchos jugadores en el sector de la seguridad están entrando actualmente
en este mercado: por ejemplo grandes proveedores de seguridad como Symantec y Dell,
así como nuevos emprendimientos como FireEye, Bit9 y CrowdStrike, donde este último
recaudó más de USD 100 millones en el año 2015 de Google7. En una encuesta, el 82 % de los
ejecutivos comerciales de TI expresaron la necesidad de capacidades de análisis de extremos
más profundas, que los ayudarían en la detección y respuesta ante infracciones8.

La solución de seguridad posterior

a la infracción de Windows
Con el lanzamiento de la Actualización de aniversario de Windows 10, Windows lanzará su
propia solución de seguridad posterior a la infracción, llamada Protección contra amenazas
avanzada (ATP) de Windows Defender, para complementar el conjunto de seguridad de
extremos existente de Windows Defender, SmartScreen y varias funciones de protección del
sistema operativo. El servicio nuevo, creado deliberadamente para detectar y responder a los
ataques avanzados, se valdrá de una combinación de un sensor conductual profundo que se
integra en Windows 10, acoplado con un poderoso back-end de análisis de seguridad en la
nube para que las empresas puedan detectar, investigar y responder a los ataques avanzados
dirigidos y sofisticados en sus redes.

Windows Defender ATP ofrecerá a las empresas:

• Detección de ataques avanzados. Uso de un análisis conductual de las anomalías en

todos los extremos de la empresa para generar alertas. Diferenciado de los demás gracias a
las poderosas capacidades de análisis de seguridad de Microsoft y la transparencia inigualada
de todos los activos (Windows Defender, Bing, IE y Office 365) que en su conjunto ofrecen
una visibilidad de más de 1.000 millones de extremos en todo el mundo.

• Investigación y respuesta. Una consola de operaciones de seguridad que ofrece a las

grandes empresas una manera fácil de investigar alertas, explorar de manera proactiva la
red en busca de señales de ataques, realizar análisis forense de máquinas específicas, seguir
las acciones de los atacantes a lo largo de las diferentes máquinas de la red y ver una huella
detallada de los archivos en toda la organización.

7
Financial Times: http://www.ft.com/cms/s/0/dd7ba860-2965-11e5-8613-e7aedbb7bdb7.html
8
Blog de promisec: Infografía sobre la seguridad de los extremos
 Centro de seguridad de Windows

• Inteligencia de amenazas. Informes internos y externos e indicadores para los atacantes

conocidos y ataques destacados (por ejemplo Strontium), validados y enriquecidos por un
equipo interno de cinturones negros en seguridad (laboratorio de investigación de seguridad)
y fuentes de otros proveedores.

Figura 1: Windows Defender ATP en el contexto del conjunto de tecnologías de seguridad anterior y posterior a la infracción
de Windows 10

• Solución integrada. Windows Defender ATP integra las señales de Windows Defender
y expone las amenazas previamente no detectadas para ayudar a las organizaciones
a prevenir que estas se propaguen dentro de la empresa.

Conjunto de tecnologías
de defensa de Windows 10
Frente a la creciente amenaza de los ataques dirigidos más sofisticados, se vuelve imperativa
una nueva solución de seguridad posterior a la infracción a fin de proteger un ecosistema de
redes cada vez más complejo. Windows Defender ATP ofrece una completa solución posterior
a la infracción para ayudar a los equipos de seguridad a identificar un conjunto definitivo de
alertas procesables que el sistema de detección anterior a la infracción podría pasar por alto.
Desde la protección de los dispositivos hasta la detección de infracciones, el conjunto de
tecnologías de seguridad de extremos que ofrece Windows 10 cubre la protección integral de
los extremos necesaria para proteger mejor las redes empresariales de los más sofisticados
ataques avanzados.