Threat Intelligence: Inteligencia artificial… y sobre todo humana para hacer frente a las nuevas amenazas

Todos los responsables de tecnología y ciberseguridad son conscientes de que la complejidad de la infraestructura y de los procesos significa la multiplicación de su “superficie de ataque”. El trabajo de los empleados y los procesos son ya completamente digitales y suponen un mayor número de amenazas, a lo que se suma la disponibilidad ubicua de herramientas no registradas basadas últimamente en tecnologías como la IA generativa, que se pueden utilizar sin que los equipos de seguridad puedan establecer un mínimo control.

En este contexto de complejidad, la inteligencia de amenazas es una tecnología clave que permite adoptar una correcta postura de seguridad y evitar el crecimiento de falsos positivos y alertas de vulnerabilidad, que añaden una fricción innecesaria a los equipos de tecnología y negocio al tiempo que socavan la autoridad de los departamentos de ciberseguridad. La inteligencia de amenazas permite recopilar todo tipo de información de ciberseguridad, relacionarla y contextualizarla para detectar y dar respuesta a posibles ataques sin generar falsas alarmas.

Bajo esta premisa de intentar controlar y minimizar los riesgos, Silicon ha celebrado el almuerzo Silicon Meet con el fabricante Kaspersky el pasado 13 de mayo, en el que se han debatido los retos de los profesionales de ciberseguridad y tecnología para hacer frente a las nuevas amenazas, así como las soluciones, estrategias y tecnologías de Threat Intelligence que permiten prevenir las amenazas y vulnerabilidades de forma proactiva, aplicando el conocimiento de su equipo de investigadores “GReAT” y aplicando tecnologías de IA para filtrar todo el ruido del ingente volumen de información que recaban los equipos para detectar e identificar las alertas que requieren una mayor investigación y respuesta.

Las herramientas no bastan

En el inicio de la reunión, Pedro Jorge Viana, Head of PreSales Iberia en Kaspersky y José Antonio Morcillo, Head of Sales & Channel en Kaspersky, han explicado que, a pesar de ser fabricantes de tecnología de ciberseguridad, para Kaspersky, el tener las mejores herramientas no basta para proteger a una empresa. Por eso es clave el papel de los servicios de ciberseguridad gestionada como apoyo a los equipos de ciberseguridad de las empresas, ya sea directamente desde el fabricante o a través de los partners. Así, José Antonio Morcillo, Head of Sales & Channel, ha hecho énfasis en que las empresas no pueden a menudo tener muchos empleados en ciberseguridad y con la especialización que se requiere en muchos casos: “un EDR no siempre puede ser gestionado por un equipo pequeño, hay empresas que compran un EDR porque les obliga una regulación y piensan que con eso están seguros”, ha señalado.

Afrontando el reto de la complejidad en la infraestructura

Para Fernando Sanz de Galdeano, CISO de Arcano Partners, los principales retos de ciberseguridad se encuentran en la exposición pública de la compañía, la cadena de suministro o empresas colaboradoras que no siempre aplican las mismas políticas de seguridad, y la complejidad de la infraestructura que desdibuja el perímetro. No obstante, también apunta que normativas como DORA les están sirviendo para conseguir avances significativos en su protección. Este aspecto de las regulaciones como palanca para el impulso de la ciberseguridad es refrendado por la mayoría de los CIOs, señalando alguno que “metiéndolo en el saco de la NIS2 estoy consiguiendo cosas para mejorar la ciberseguridad que nunca había imaginado”, aludiendo al hecho de que la alta directiva es ahora responsable también de las posibles sanciones por incumplimiento de la normativa.

Otro de los expertos invitados, Carlos Caballero, especialista en Threat Hunting con experiencia en grandes bancos, ha explicado como en este tipo de empresas hay equipos de inteligencia internos; pero que requieren el apoyo de externo de compañías como Google Mandiant, porque ni siquiera un equipo numeroso puede prescindir de un apoyo externo a día de hoy.

Para Víctor Manuel Gayoso, responsable de ciberseguridad de la compañía, BHS Corrugated Maschinen, fabricante de máquinas industriales; el cambio más importante ha llegado por la nueva orientación hacia los servicios de la empresa, lo que supone un cambio radical en la infraestructura tecnológica y en las necesidades de ciberseguridad. El mayor peligro que detecta Víctor Manuel suele venir por sus propios clientes (alrededor de 1.500), que conectan con sus sistemas y en ocasiones detectan que han sido infectados, lo que les obliga a cerrar la conexión de manera temporal y, dado que su equipo de IT no es muy numeroso, ha apostado por complementarlo con un servicio de SOC externo.

Para Enrique García García, Director Red Digital i-DE en Iberdrola, el reciente incidente de la red eléctrica supone una prueba de su tesis de que “ IT no es confiable” para los que protegen los entornos industriales u OT. Por ello, y por ser una infraestructura crítica, ambos entrarnos están completamente separados: utilizan sus propios firewalls y perímetro de ciberseguridad y no hacen uso de cloud pública, sino que usan tecnologías de cloud privada montadas en sus propios CPD, aunque si se usa nube pública en otras áreas de la compañía como en la relación con los clientes y proyectos.

Esta apuesta por la separación entre áreas OT e IT la refrenda también César Santa María, Iberia Information Security Manager de GLS Spain que explica que tiene toda la complejidad que puedas imaginar en la infraestructura, cloud y on premises; con lo que los retos son los de muchas otras compañías hoy en día, a lo que se suma el reto de la normativa NIS2.

No obstante, para todos los responsables de las áreas de ciberseguridad, las normativas, a pesar de implicar un mayor trabajo o nuevos procesos que adoptar, por ejemplo, en lo que tiene que ver con informes o auditorías; son una “bendición” ya que consiguen que las organizaciones y sus directivas sean consciente de las necesidades que hay de inversión en la protección y seguridad.

En el caso de Sergio Calvo, Director IT de Envalora, el responsable explica que al estar todavía montando su infraestructura y su plataforma desde cero, han apostado por completo por la nube pública y los servicios gestionados, aunque reconoce que usa herramientas de firewall para sus oficinas y las soluciones del propio Kaspersky en los endpoint.

Por su parte Marcel Velica, Senior Security Program Manager de Eventbrite, explicó que toda su infraestructura es “full cloud” y su enfoque se basa principalmente en las personas como elemento clave: “en lugar de mirar qué herramientas comprar, la pregunta que nos hacemos es más bien cómo podemos proteger a los empleados para que no pasen cosas peores a largo plazo, o sea, protegerlos de sí mismos.”

El peligro de la IA como vector de ataque

Igual que desde hace tiempo se advierte del peligro del llamado shadow IT o el shadow BI, algunos de los responsables de seguridad invitados como Fernando Sanz de Galdeano, CISO de Arcano Partners, señala el peligro que representan los LLM y las aplicaciones de IA generativa que son tan atractivas y accesibles para los empleados, lo que ya se denomina como shadow IA. Hay usuarios que, “con el reclamo de las IA generativa, están cargando información confidencial, información estratégica y social, alimentando modelos LLM de forma descontrolada”. El peligro es que algunos de estos modelos que quizá se usan para algo tan inocuo como crear una presentación atractiva, se pueden aprovechar por los cibercriminales para servirles de fuente de información confidencial, y los usuarios muchas veces los utilizan más allá de lo que saben que está autorizado y con datos que no deberían manejar, con lo que la IA se convierte en un importante vector de ataque: “antes tenías miedo de que descargasen un .exe modificado y hoy lo que nos preocupa es un prompt en un LLM”, señala César Santa María, de GLS Spain.

Para casi todos los CIOs invitados, la complejidad es uno de los elementos más difíciles de controlar, junto con la falta de visibilidad en entornos cloud y la facilidad con la que los usuarios pueden acceder a herramientas no controladas y la llegada de la IA generativa ha elevado este peligro de manera preocupante. Para Marcel Velica, Senior Security Program Manager de Eventbrite, éste es también un gran problema y explica que en su experiencia está viendo como departamentos de finanzas, recursos humanos y otros quieren usar esta IA generativa, pero no hay una gobernanza ni políticas de uso de estos LLM lo que puede suponer que información sensible de las compañías como las nóminas o los contratos acaben en estas IAs. Para evitar este peligro “estamos creando una cultura hacia la ciberseguridad, al menos en nuestros equipos de desarrollo, utilizando al equipo de seguridad con los equipos de desarrollo y creando una cultura de secure DevOps”, señala Marcel.

En lo que respecta a los problemas de visibilidad, Pedro Jorge Viana, Head of PreSales Iberia en Kaspersky, explica que sus herramientas permiten una visibilidad que normalmente el proveedor cloud no ofrece, como una visión unificada de los distintos servicios o regiones, así como sistemas que pueden proteger cargas de trabajo según se crean máquinas virtuales o microservicios; pero la clave está en la evaluación del riesgo: “no es lo mismo que tengas un front end abierto al público, que tengas un servidor de base de datos, o que sea un sistema en el que no haya conexión al exterior… No son los mismos riesgos, consecuentemente no es la misma aproximación de ciberseguridad”.

El elemento cultural sigue siendo crítico

Por supuesto, el elemento clave que maneja estas tecnologías que pueden resultar una amenaza es siempre el factor humano, que sigue siendo uno de los retos principales para mantener la seguridad en la compañía. Así lo expresa también César Santa María, de GLS Spain, que explica: “ojalá mi mayor problema fuera el uso de la inteligencia artificial cuando veo que todavía hay quienes apuntan las contraseñas en un papel”. También asegura que los propios clientes también pueden estar en la causa de fallos de seguridad o del manejo de datos personales: “es difícil controlar que un cliente te escriba diciendo que quiere que le entregues un envío a un vecino y te incluya toda su información personal, porque a los ojos de la AEPD somos responsables de que ese usuario final haya usado la información de su vecino de manera incorrecta”.

El negocio debe continuar… pero hay que conocer los riesgos

Por último, otro de los asuntos importantes en las conversaciones de seguridad en las organizaciones, es siempre la dicotomía entre la velocidad de avance del negocio y la ciberseguridad. A este respecto, todos los invitados coinciden en la conciencia de que los departamentos de seguridad tienen que servir para apoyar e impulsar a las áreas de negocio al tiempo que mantienen su protección; aunque muchos señalan que en los casos en los que se dice “el negocio debe continuar” hay que tener claro “a qué precio y con qué riesgos”. Al hilo de estos comentarios, el anfitrión Kaspersky asegura que es sin duda su premisa clave: “no sirve de nada parar todo, hay que frenar lo que es realmente dañino y evitar los falsos positivos”, explica José Antonio Morcillo, Head of Sales & Channel en Kaspersky.