Inteligencia sobre ciberamenazas (CTI)

La agilidad, flexibilidad y eficacia de la inteligencia procesable sobre amenazas son cada vez más críticas. Los ciberataques no sólo son más numerosos que nunca, sino que también se ejecutan mucho más rápido. Los actores de las amenazas, especialmente los operadores de ransomware con motivación económica y patrocinados por el Estado, son cada vez más sofisticados.

Incluso los ciberdelincuentes poco sofisticados y sin conocimientos técnicos pueden causar graves daños a una organización. En lugar de utilizar sus propias herramientas y tácticas, pueden alquilar la infraestructura de ciberataque a actores de amenazas más sofisticados. Alternativamente, pueden comprar su entrada en un sistema comprometido a través de un intermediario de acceso inicial (IAB).

El ciclo de vida de la inteligencia sobre amenazas es el proceso mediante el cual una organización recopila y examina datos brutos sobre amenazas potenciales y, a continuación, utiliza esos datos para hacer frente a esas amenazas de forma proactiva. Los principales procesos y técnicas que permiten alcanzar este objetivo no son exclusivos del sector de la ciberseguridad. Más bien se han desarrollado y perfeccionado a lo largo de varias décadas en el sector público, especialmente en las fuerzas armadas y policiales.

En el contexto de la ciberseguridad y la gestión de las ciberamenazas, este ciclo de inteligencia consta de las siguientes fases:

1. Requisitos y dirección. Aquí es donde una organización sienta las bases iniciales de su programa de inteligencia sobre amenazas, definiendo:

1. Los activos y procesos que deben protegerse
2. El impacto de un ataque en cada activo o proceso
3. Cómo debe priorizarse cada activo y proceso en términos de medidas de ciberseguridad.
4. Por qué los autores de las amenazas podrían apuntar a estos artículos, es decir, sus motivaciones.
5. El alcance total de la superficie de ataque de la organización
6. El tipo de información sobre amenazas necesaria para proteger esta superficie de ataque y cómo se utilizarán esos datos.

2. Recopilación. En esta fase se recopila información de una amplia gama de fuentes internas y externas. Esto podría incluir registros antivirus, tráfico web, feeds de la industria y monitorización superficial y profunda de la web.

3. Procesamiento. Gran parte de los datos recogidos en la segunda fase no están filtrados ni formateados; antes de que puedan utilizarse, deben ser procesados y organizados. Dado el enorme volumen de datos recogidos incluso por un programa modesto de inteligencia sobre amenazas, rara vez es factible hacerlo manualmente.

4. Análisis. El personal humano examina los datos procesados, aplicando sus conocimientos, intuición y experiencia para contextualizar aún más la información. A continuación, determinan la mejor manera de aprovechar los conocimientos obtenidos de los datos sobre amenazas.

5. Difusión. Una vez definidas las ideas centrales y los elementos de acción a partir de los datos sobre amenazas recopilados, el equipo de inteligencia sobre amenazas despliega esta información a las partes interesadas clave de la organización, que la utilizan para orientar su toma de decisiones.

6. Comentarios. Una vez recibidos los informes finales sobre amenazas del equipo de inteligencia, las partes interesadas vuelven a reunirse para colaborar en los ajustes que consideren necesarios. 

Los casos de uso de la inteligencia sobre ciberamenazas son bastante amplios e incluyen los siguientes:

• Búsqueda activa y mitigación de amenazas
• Enriquecer y categorizar las alertas de seguridad
• Desarrollar una hoja de ruta de seguridad a largo plazo
• Evaluar el nivel de amenaza, la postura de seguridad y la tolerancia al riesgo de una organización.
• Implantación y configuración de nuevos controles de seguridad
• Ciberinformática forense posterior a incidentes
• Comprender a los actores de amenazas emergentes y amenazas persistentes avanzadas y tomar medidas preventivas contra ellos.