Posted on

Sistemas de detección y prevención de intrusiones

Sistemas de detección (IDS) y prevención (IPS) de intrusiones

Anteriormente hablamos de las defensas centradas en los datos como la última línea de defensa crítica, donde uno de nuestros requisitos es intentar que sea lo más hermética posible. No es un requisito menor ni trivial, y en este artículo hablaremos de cómo conseguirlo.

Hay dos conceptos que tendremos que discutir:

– Falsos positivos y falsos negativos

– IPS (Sistemas de Prevención de Intrusiones) e IDS (Sistemas de Detección de Intrusiones)

Los falsos negativos se producen cuando un sistema de seguridad no reacciona ante un ataque. Por lo tanto, nuestro objetivo es reducir o intentar eliminar los falsos negativos. Si lo conseguimos, tendremos una seguridad hermética.

Los falsos negativos son el pequeño y sucio secreto de los sistemas de seguridad: el tema del que nadie habla. Nadie habla de cuántos falsos negativos tienen, de cómo medirlos, estimarlos y, en general, de la eficacia de la seguridad. Es un tema importante, pero que todo el mundo intenta evitar.

Para entender cómo reducir los falsos negativos, primero debemos entender los falsos positivos.

Un falso positivo es lo contrario: cuando un sistema de seguridad clasifica incorrectamente una actividad legítima como un ataque, por ejemplo, cuando un buen correo electrónico llega a la carpeta de spam.

Los falsos positivos pueden ser molestos, como en el caso de los correos electrónicos mal clasificados, pero también pueden impedir que la gente haga su trabajo cuando, por ejemplo, no pueden iniciar sesión en un sistema que necesitan para trabajar. Estos son ejemplos de falsos positivos en seguridad preventiva. Dado que pueden ser debilitantes y causar muchas quejas, los IPS se diseñan y ajustan para que tengan pocos o, en el mejor de los casos, ningún falso positivo.

Como puedes imaginar, hay un equilibrio entre falsos positivos y falsos negativos. Reducir uno tiende a aumentar el otro. Así, al reducir los falsos positivos para que la gente pueda hacer su trabajo, inevitablemente aumentan los falsos negativos, y más ataques pasan desapercibidos.

Otra forma de verlo es la sensibilidad del sistema de seguridad. Un sistema sensible detectará más ataques pero tendrá muchas falsas alertas. Un sistema calibrado para ser menos sensible tendrá menos falsas alertas pero pasará por alto muchos ataques.

Esto nos lleva al otro tema de los IPS y los IDS. Existe la idea errónea de que la prevención es más importante que la detección. La lógica detrás de esto es, ¿por qué detectar algo cuando puedes prevenirlo? Parece una buena idea, pero es errónea.

Como acabamos de decir, en IPS tenemos que reducir los falsos positivos, y eso aumenta los falsos negativos. Pero IDS no tiene un requisito de cero falsos positivos, e incluso esperamos un cierto nivel de falsos positivos. Los falsos positivos en IDS son falsas alertas que recibe la gente de seguridad, y pueden ser molestos si son demasiado frecuentes, pero los esperamos hasta cierto punto. Ser capaces de acomodar algunos falsos positivos nos permite reducir significativamente los falsos negativos. En otras palabras, calibramos los sistemas IDS para que sean más sensibles y detecten un número mucho mayor de ataques.

Utilizar una combinación de IDS e IPS es una forma sencilla de calcular el número de falsos negativos del IPS. Hay otras formas de hacerlo utilizando el análisis estático.

Entonces: ¿Qué es mejor, IDS o IPS?

La verdad es que necesitamos ambos. Preventivos para bloquear todo lo posible y detectives para identificar y alertar sobre el resto. Así es como nos acercamos al hermetismo.

Y también hay otros mecanismos estratégicos para acercarse al hermetismo, como el uso de defensas en serie y parcialmente solapadas. Esto nos lleva a la matriz de control de riesgos, que es el tema de otro artículo.

Si desea saber más o mantener una conversación gratuita con uno de nuestros expertos, póngase en contacto con nosotros en info@bluecoreresearch.com.

Posted on

Seguridad centrada en datos

Seguridad centrada en datos: la clave en en siglo XXI

A menudo pensamos en la ciberseguridad como si estuviera formada por muchos silos. Pensamos en la seguridad de la red, la formación, la seguridad física, la seguridad del correo electrónico, etc., donde a su vez cada uno de ellos suele estar formado por silos más pequeños. Por ejemplo, la seguridad de la red incluye cortafuegos, routers, VLAN y muchas otras medidas que no están necesariamente relacionadas de forma directa.

Post de LinkedIn

Pequeña descripción de la publicación en LinkedIn

Leer articulo →

El problema cuando se piensa en cualquier tema como si estuviera hecho de tantos componentes pequeños y no relacionados es que es casi imposible elaborar una estrategia adecuada, asignar valor a los diferentes componentes y, en general, crear un enfoque equilibrado que lo cubra todo. Obtenemos una seguridad que es muy desigual, con algunas áreas que están fuertemente fortificadas y otras que no tienen ninguna cobertura en absoluto.

Así que empecemos por poner un poco de orden en este caos y averigüemos a dónde pertenecen las cosas y qué valor aportan. qué funciona con qué, qué es complementario, qué se solapa, etcétera.

Una oportuna primera división es entre las medidas destinadas a impedir que entren los de fuera y las medidas destinadas a impedir que nadie llegue a los datos. Me gusta llamar a la primera seguridad perimetral y a la segunda seguridad centrada en los datos.

Una buena prueba para ver si una medida de seguridad forma parte del perímetro o está centrada en los datos es preguntarse «¿Nos va a proteger esto de una amenaza interna?». Las amenazas internas son personas que trabajan para la empresa, por lo que si una medida les impedirá robar o modificar datos, es una medida que protege los datos.

En general, los atacantes externos suelen necesitar vulnerar un activo interno antes de acceder a los datos, pero no siempre se da así. Por ejemplo, una aplicación de cara al público en Internet puede dar acceso directo a los datos sin vulnerar nada más que esa aplicación. Ese es un ejemplo de datos a los que se puede acceder directamente desde el exterior y que no tienen protección perimetral. Otro ejemplo son los datos que están fuera del perímetro, como un portátil o una cinta de copia de seguridad que está fuera del edificio: tampoco tienen protección perimetral y pueden ser robados sin acceder a los activos internos.

La seguridad del perímetro es importante, pero su función es sólo reducir el número de intentos de ataque a los datos, ya que ninguna de las medidas de seguridad del mismo es hermética. Por ejemplo, la seguridad del correo electrónico, siendo realistas, sólo pretende reducir el spam y no evitarlo. Si se supone que debe evitar el spam por completo, casi todos los días fracasa en su cometido. Incluso si algunas medidas del perímetro pudieran ser herméticas, hay demasiados vectores de ataque en el perímetro como para pretender que siempre podemos cubrirlos todos perfectamente. Por lo tanto, el perímetro pretende reforzar las medidas centradas en los datos y no sustituirlas.

Aunque algunos lo consideran una exageración, creo que las medidas centradas en los datos deben aspirar a ser herméticas. Es una afirmación contundente y difícil de conseguir, pero no imposible. Es un punto importante porque cuando las medidas centradas en los datos fallan, tenemos una vulneración de datos. A menudo no tenemos ninguna barrera adicional que nos proteja. Si es posible, deberíamos superponer medidas centradas en los datos para obtener esa protección adicional.

¿Qué tipo de medidas de seguridad se centran en los datos?

Bueno, aquí estamos hablando de la protección en torno a los datos, por lo que la seguridad de las bases de datos y de las aplicaciones son los pilares principales. También tenemos la seguridad del servidor junto con la seguridad física y de la red para el centro de datos, el cifrado de datos en reposo y los controles contra administradores. En general, cualquier cosa que se interponga entre los datos y las personas.

Tenemos nuestra primera división de la seguridad entre la perimetral y la centrada en los datos. Esta clase se centrará en la centrada en los datos. También identificamos el papel de la seguridad centrada en los datos como el objetivo de proteger los datos. Protegerlos tanto de las amenazas internas como de las externas que penetran en el perímetro. Y, por último, tenemos el objetivo de hacer que nuestra protección centrada en los datos sea hermética.

Como la gente trabaja cada vez más desde casa, el perímetro se vuelve imposible de asegurar. No podemos proteger el perímetro físico de los empleados en casa, sus ordenadores personales, su red doméstica ni todos sus dispositivos. Es una batalla perdida que simboliza la muerte del perímetro y convierte la protección centrada en los datos en la principal forma de seguridad del siglo XXI.