Alertas de seguridad: 25 millones revelan un riesgo oculto

El sector de la ciberseguridad se enfrenta a una paradoja alarmante: la proliferación de alertas de bajo riesgo que, en conjunto, representan una amenaza latente y constante para las empresas. Un reciente estudio, basado en el análisis de más de 25 millones de alertas generadas en entornos empresariales operativos, revela que la práctica de ignorar estas alertas, común en los equipos de seguridad, permite a los atacantes explotar lagunas predecibles en las operaciones de defensa. La investigación, que incluye el seguimiento de 10 millones de puntos finales y identidades, 82.000 investigaciones forenses de puntos finales con escaneo de memoria en vivo, el análisis de 180 millones de ficheros y la recopilación de telemetría de 7 millones de direcciones IP, 3 millones de dominios y URLs, y más de 550.000 correos electrónicos de phishing, arroja un patrón claro: los ciberdelincuentes se aprovechan de estas lagunas de forma sistemática, generando un riesgo real que, a menudo, pasa desapercibido.

El informe destaca que la tendencia a despriorizar las alertas de baja severidad se ha institucionalizado en las operaciones de seguridad empresarial. La acumulación de estas alertas, aunque individualmente consideradas de bajo impacto, se traduce en una brecha de seguridad significativa. La metodología tradicional, basada en la clasificación de severidad, se ha demostrado inadecuada para identificar las amenazas reales, ya que los atacantes explotan la capacidad de los equipos de seguridad para ignorar estos alertas. La magnitud del problema radica en la escala de las organizaciones, donde la acumulación de estas alertas, incluso de bajo impacto, puede generar un riesgo considerable. Este fenómeno, a menudo denominado el "1% problemático", se traduce en una oportunidad perdida para detectar una brecha de seguridad que, en condiciones normales, podría representar un ataque en curso.

Análisis técnico

El estudio revela que las alertas de bajo riesgo, lejos de ser inofensivas, son el vector principal de entrada para los ciberdelincuentes. La clasificación de severidad, basada en criterios como la presencia de malware de bajo impacto o la detección de actividades sospechosas de poca relevancia, impide identificar amenazas que, en un análisis más profundo, podrían ser indicativas de una intrusión en curso. La lógica de las operaciones de seguridad, centrada en la eficiencia y la gestión de recursos, ha priorizado la mitigación de alertas de baja severidad, dejando desprotegidas las amenazas más sofisticadas y persistentes. La dependencia de los sistemas de detección y respuesta en endpoint (EDR) para la gestión de estas alertas, a menudo, se basa en la "mitigación" automática, que puede ocultar la presencia de malware activo en el sistema. La falta de un análisis forense profundo, que incluya el escaneo de memoria en vivo, impide identificar la verdadera naturaleza de las amenazas, que pueden ser mucho más graves de lo que aparentan inicialmente.

El análisis de los datos revela que las herramientas de seguridad más utilizadas, los sistemas EDR, a menudo marcan erróneamente las amenazas como "mitigadas" cuando, en realidad, el malware sigue activo en el sistema. La utilización de técnicas de escaneo de memoria en vivo, que permiten identificar la presencia de malware en memoria, es fundamental para detectar estas amenazas ocultas. La investigación confirma que, en más de la mitad de los casos de comprometimiento detectados mediante análisis forense, el sistema EDR había cerrado el ticket y declarado la amenaza resuelta, sin identificar la presencia de malware activo. El malware encontrado en memoria durante estos escaneos incluye nombres conocidos como Mimikatz, Cobalt Strike, Meterpreter y StrelaStealer, herramientas utilizadas por actores criminales y servicios de inteligencia de naciones hostiles, lo que demuestra la sofisticación de las amenazas que se están ignorando.

Contexto y antecedentes

Este hallazgo se enmarca en un contexto de creciente sofisticación de los ataques cibernéticos y en la sobrecarga de información que experimentan los equipos de seguridad. La proliferación de amenazas, impulsada por la expansión de la nube y el aumento de la conectividad, ha generado un incremento exponencial en el número de alertas generadas por los sistemas de seguridad. La presión para reducir los falsos positivos y optimizar los recursos de seguridad ha llevado a muchos equipos a despriorizar las alertas de baja severidad, creando un círculo vicioso que favorece la proliferación de amenazas. La industria de la ciberseguridad ha sido tradicionalmente reactiva, respondiendo a las amenazas después de que ya han causado daños, en lugar de adoptar un enfoque proactivo que se centre en la prevención y la detección temprana.

Además, el informe destaca una tendencia preocupante: el traslado de la infraestructura de ataque a plataformas de confianza, como Vercel, CodePen, OneDrive y el sistema de facturación de PayPal. Esta migración dificulta la detección de amenazas, ya que los atacantes utilizan herramientas y servicios legítimos para ocultar sus actividades. El caso documentado en el informe, que utiliza la infraestructura de pago de PayPal para enviar correos electrónicos maliciosos, ilustra la capacidad de los atacantes para adaptarse a las nuevas tecnologías y aprovechar las vulnerabilidades de los sistemas de seguridad. El uso de CAPTCHA Turnstile de Cloudflare, que identifica sitios web de phishing, y la correlación entre Google reCAPTCHA y la infraestructura legítima, evidencian la necesidad de adaptar las estrategias de seguridad a las nuevas tácticas de los atacantes.

Impacto y afectados

Las consecuencias de esta práctica son graves. Las alertas de baja severidad, que pasan desapercibidas, pueden ser la puerta de entrada para ataques sofisticados que comprometen la seguridad de las empresas y de sus usuarios. El informe revela que, en aproximadamente un tercio de los casos, las alertas de baja severidad son el punto de partida para ataques más complejos, que pueden resultar en la exfiltración de datos sensibles, el robo de propiedad intelectual o el secuestro de sistemas. Las organizaciones que ignoran estas alertas se exponen a un riesgo considerable, ya que no tienen visibilidad de las amenazas que se están gestando en su red.

La escala del problema es considerable. En una organización típica, se generan alrededor de 450.000 alertas por año. Uno por uno, estos alertas pueden ser ignorados, pero en conjunto, representan un riesgo significativo. El 1% de esas alertas, que se traducen en aproximadamente 54 amenazas anuales, pueden representar una brecha de seguridad que, si no se detecta y se aborda, puede tener consecuencias devastadoras. Las empresas que se ven afectadas pueden sufrir pérdidas económicas, daños a su reputación y sanciones legales.

Medidas de mitigación y recomendaciones

Ante esta situación, es crucial adoptar un enfoque más proactivo en la gestión de alertas. Los equipos de seguridad deben abandonar la práctica de despriorizar las alertas de baja severidad y, en su lugar, implementar un sistema de gestión de alertas que permita analizar y evaluar cada alerta de forma exhaustiva. Es fundamental realizar un análisis forense profundo de las alertas de baja severidad, utilizando técnicas como el escaneo de memoria en vivo y el análisis del tráfico de red, para identificar la verdadera naturaleza de las amenazas. La inversión en herramientas de seguridad que permitan automatizar el análisis de alertas y la detección de amenazas es esencial.

Además, es importante capacitar a los equipos de seguridad en la identificación de amenazas y en el uso de herramientas de seguridad. La formación continua en ciberseguridad es fundamental para mantener a los equipos actualizados sobre las últimas amenazas y las mejores prácticas de seguridad. La colaboración entre los equipos de seguridad y los proveedores de tecnología es también crucial para compartir información sobre amenazas y para desarrollar soluciones de seguridad eficaces.

Conclusión

La investigación revela una realidad incómoda: la ciberseguridad se enfrenta a un problema de gestión de alertas que puede tener consecuencias graves. La práctica de ignorar las alertas de baja severidad, impulsada por la eficiencia y la gestión de recursos, está permitiendo a los atacantes explotar lagunas en las operaciones de defensa, generando un riesgo real que, a menudo, pasa desapercibido. La falta de una visión holística de la seguridad, que permita analizar la relación entre las alertas y la actividad de la red, es un factor clave en este problema.

La adopción de un enfoque más proactivo en la gestión de alertas, que incluya el análisis forense profundo, la inversión en herramientas de seguridad y la formación continua de los equipos de seguridad, es fundamental para proteger a las empresas y a sus usuarios de las amenazas cibernéticas. El informe subraya la necesidad de cambiar la mentalidad en el sector de la ciberseguridad, pasando de una cultura de reacción a una cultura de prevención y detección temprana. La seguridad de la información ya no puede ser vista como un simple gasto, sino como una inversión estratégica que protege los activos más valiosos de una organización.

---

Fuente original: The Hacker News