Why more tech won't prevent Cyberattacks | Network Visibility

Summary

En este episodio, el Dr. Eric Cole aborda los principales desafíos y estrategias que un CISO debe implementar para proteger eficazmente la red de una organización. Destaca la importancia de tener una visión clara y actualizada de la red, equilibrando la prevención con la detección de amenazas. Además, enfatiza el concepto de defensa en profundidad, asegurando que, incluso si una capa de seguridad falla, otras puedan compensar. Cole también promueve un enfoque proactivo mediante la caza de amenazas, superando la respuesta reactiva tradicional que ya no es suficiente ante los ciberataques modernos.

Takeaways

• 😀 La visibilidad de la red es fundamental: Un CISO debe tener una comprensión clara de la arquitectura de la red y cómo fluyen los datos. Esto requiere un diagrama de red preciso y actualizado.
• 😀 La tecnología sola no es suficiente: Las herramientas tecnológicas deben ser parte de un enfoque integral que también incluya procesos y personal capacitado para ser verdaderamente efectivas.
• 😀 Prevención vs. Detección: Aunque las herramientas de prevención son necesarias, no son infalibles. Los CISOs deben dar prioridad a la detección para identificar ataques que eluden las barreras de prevención.
• 😀 Defensa en profundidad: Un enfoque verdadero de defensa en profundidad distribuye el riesgo a través de múltiples capas. Si una capa falla, las demás deben seguir protegiendo la organización.
• 😀 La redundancia debe ser diversificada: No basta con tener dispositivos redundantes del mismo proveedor. Si ambos fallan, la organización quedará comprometida.
• 😀 Respuesta a incidentes proactiva vs. reactiva: La respuesta a incidentes tradicionalmente reactiva (esperar a que se vean signos visibles de un ataque) ya no es suficiente. Los CISOs deben incorporar la caza de amenazas proactiva para detectar signos de compromiso antes de que se vuelvan visibles.
• 😀 La confianza debe estar respaldada por pruebas: Los CISOs deben tener confianza en su capacidad para detectar compromisos rápidamente, pero esa confianza debe estar basada en datos y pruebas verificables.
• 😀 Las decisiones deben basarse en datos, no en emociones: Los CISOs deben guiarse por hechos y métricas, no por intuiciones o emociones, para tomar decisiones informadas sobre la seguridad.
• 😀 La visibilidad es la base de una buena estrategia de seguridad: Un CISO exitoso debe asegurarse de que todas las partes de su infraestructura tecnológica sean visibles y monitoreadas para garantizar que ningún ataque pase desapercibido.
• 😀 El enfoque de caza de amenazas es esencial para detectar ataques sigilosos: Dado que muchos ataques actuales son invisibles hasta que ya han causado un daño significativo, es crucial adoptar métodos de monitoreo proactivo y buscar patrones que indiquen intrusiones.
• 😀 Evaluación continua de la tecnología es clave: La compra de más tecnología no resuelve los problemas de seguridad si no se realiza una evaluación continua para asegurarse de que las herramientas son adecuadas, están bien configuradas y se alinean con los objetivos estratégicos de la organización.

Q & A

¿Qué significa 'defensa en profundidad' en ciberseguridad?

La 'defensa en profundidad' es un enfoque que distribuye el riesgo a través de múltiples capas de seguridad. Si una capa falla, otras deben seguir funcionando para proteger la organización. Es comparable a diversificar una inversión para no depender de una sola fuente de seguridad.

¿Por qué no es suficiente solo invertir en tecnología para mejorar la seguridad?

Aunque la tecnología es importante, sin procesos adecuados y personal capacitado, la tecnología por sí sola no es eficaz. Los dispositivos de seguridad solo son útiles si se utilizan correctamente dentro de un marco procesal y con un equipo competente.

¿Cuál es la diferencia entre 'prevención' y 'detección' en ciberseguridad?

La prevención se enfoca en bloquear el tráfico malicioso antes de que ingrese a la red, mientras que la detección se ocupa de identificar amenazas y ataques dentro de la red, especialmente aquellos que ya han eludido las medidas preventivas.

¿Por qué la detección de tráfico saliente es más importante que la detección de tráfico entrante?

El tráfico saliente es más importante porque, una vez que un atacante ha comprometido un sistema, generalmente tratará de exfiltrar datos o comunicarse con servidores externos. Detectar estas actividades es crucial para identificar compromisos antes de que causen un daño significativo.

¿Qué se entiende por 'respuesta ante incidentes reactiva' y por qué no es efectiva hoy en día?

La respuesta reactiva implica esperar una señal visible de un ataque (como un virus o malware) y luego reaccionar. Sin embargo, muchos ataques modernos son sigilosos y no dejan señales claras de inmediato, por lo que esta estrategia ya no es suficiente.

¿Qué es la 'caza de amenazas' y cómo complementa la respuesta ante incidentes tradicional?

La caza de amenazas, también conocida como respuesta proactiva, es un enfoque en el que los equipos de seguridad buscan activamente indicios de ataques dentro de la red, en lugar de esperar señales visibles. Esto permite detectar intrusiones antes de que se conviertan en un problema grave.

¿Cómo pueden los CISOs asegurarse de que su red esté segura?

Los CISOs deben comenzar por tener un diagrama de red preciso y actualizado para tener visibilidad de todos los dispositivos y conexiones. Además, deben equilibrar la prevención con la detección, evaluar la efectividad de cada dispositivo de seguridad y aplicar 'defensa en profundidad'.

¿Qué significa tener 'confianza' en la seguridad de una organización?

Tener confianza significa basarse en pruebas y datos, no en suposiciones. Un CISO debe ser capaz de demostrar que los controles de seguridad son efectivos mediante métricas y análisis, no simplemente afirmando que la red está segura.

¿Por qué es crucial evaluar la redundancia de los dispositivos de seguridad?

La redundancia no solo se trata de tener dispositivos duplicados, sino de asegurarse de que sean de diferentes proveedores o tecnologías para evitar que una falla en ambos sistemas cause una brecha de seguridad. Además, se deben evaluar para confirmar que no están fallando al mismo tiempo.

¿Qué errores cometen los equipos de seguridad al depender solo de tecnología sin tener en cuenta otros factores?

Los equipos a menudo se enfocan excesivamente en la tecnología, pensando que un nuevo dispositivo o herramienta resolverá todos los problemas. Sin embargo, si no se tienen procesos sólidos y personal capacitado para gestionar las herramientas de manera efectiva, la tecnología no tendrá el impacto esperado.