El SIEM de un proveedor de servicios tecnológicos contenía reglas de correlación a las que se habían asignado niveles de gravedad estáticos (Alta, Media y Baja) cuando se escribieron. Las asignaciones de gravedad se basaban en el perfil de riesgo de la técnica en el momento de desarrollar la regla. Los SLA de revisión de alertas eran: alertas de gravedad Alta revisadas en un plazo de treinta minutos, Media en cuatro horas y Baja en veinticuatro horas. Cuando la inteligencia de amenazas del ISAC del sector del proveedor indicó que un grupo concreto de actores de amenazas atacaba activamente a proveedores de servicios tecnológicos de la región y se le había observado usando una técnica concreta de movimiento lateral basada en la ejecución de WMI desde un host remoto, el informe de inteligencia se distribuyó al equipo de seguridad. Se acusó recibo del informe. Nadie actualizó la asignación de gravedad de la regla de SIEM que detectaba la ejecución remota de WMI, una regla escrita dos años antes, cuando la ejecución remota de WMI se clasificó como Media porque era relativamente común como técnica administrativa legítima y requería contexto adicional concreto para confirmar la intención maliciosa. Tres días después del informe de inteligencia, la regla se activó ante un evento de autenticación seguido de una ejecución remota de WMI, precisamente la secuencia que había descrito la inteligencia. La alerta entró en la cola de gravedad Media. El SLA de revisión de cuatro horas hizo que la alerta se revisara a las tres horas y cuarenta minutos, después de que el atacante hubiera establecido un mecanismo de persistencia mediante una tarea programada y empezado a preparar los datos. La alerta estaba bien clasificada para un mundo en el que la ejecución remota de WMI era un indicador de riesgo medio. En un mundo en el que esa técnica concreta era la TTP principal de un grupo de actores de amenazas activo que atacaba al sector del proveedor, debería haberse revisado en treinta minutos.
¿Qué son realmente las brechas de priorización de alertas?
Las brechas de priorización de alertas son los desajustes entre las asignaciones estáticas de gravedad de las alertas y el contexto de riesgo dinámico que hace que técnicas concretas sean más o menos peligrosas según el panorama de amenazas actual. Los niveles de gravedad de las alertas se asignan cuando se escriben las reglas, según el perfil de riesgo general de la técnica en ese momento. A medida que evoluciona el panorama de amenazas (surgen nuevos grupos de actores de amenazas, los grupos existentes cambian sus TTP, comienzan campañas dirigidas a sectores concretos), cambia la peligrosidad relativa de técnicas concretas. Las asignaciones estáticas de gravedad que no tienen en cuenta el contexto de amenazas actual desalinean sistemáticamente la urgencia de respuesta del SOC respecto del riesgo real.
El problema de la asignación estática es el mecanismo operativo. Las reglas de detección las escriben ingenieros de detección que asignan la gravedad según el perfil de riesgo general de la técnica: con qué frecuencia se observa en contextos maliciosos frente a legítimos, cuánto contexto adicional se necesita para confirmar la intención maliciosa y qué gravedad tiene el posible impacto si la técnica se usa de forma maliciosa. Estas evaluaciones son precisas en el momento de la asignación. No se actualizan automáticamente cuando la inteligencia de amenazas cambia el perfil de riesgo de técnicas concretas. El SLA de revisión de cuatro horas para una técnica que se convierte en la TTP principal de un grupo de actores de amenazas activo que ataca al sector del proveedor es una ventana de cuatro horas diseñada para otro contexto de amenazas.
La brecha entre la inteligencia de amenazas y la priorización es el mecanismo de fallo concreto. Los equipos de inteligencia de amenazas reciben y distribuyen inteligencia sobre las TTP actuales de los actores de amenazas. Los equipos de ingeniería de detección escriben y mantienen reglas para esas TTP. Los equipos de priorización asignan y actualizan los niveles de gravedad de las categorías de alertas. En las organizaciones que trabajan en silos, la inteligencia que cambia el perfil de riesgo de una técnica no llega automáticamente a la decisión de priorización, y el analista que lee el informe de ISAC puede no tener autoridad para actualizar la asignación de gravedad de la regla de SIEM correspondiente.
- Asignaciones estáticas de gravedad no actualizadas cuando la inteligencia de amenazas cambia el contexto de riesgo
- La inteligencia de TTP no llega a las decisiones de priorización: el informe de ISAC no desencadena una actualización de la gravedad
- SLA de revisión de cuatro horas para alertas de gravedad media aplicado a la TTP principal de un actor de amenazas activo
- Sin priorización contextual: los ataques actuales de actores de amenazas no ajustan la gravedad de las alertas
- Brecha entre inteligencia y priorización: equipos separados sin integración
Por qué es importante
Las brechas de priorización de alertas son importantes para TPRM porque la velocidad de respuesta del SOC ante una alerta concreta depende de su nivel de gravedad, y un nivel de gravedad que no refleja el contexto de amenazas actual produce velocidades de respuesta calibradas para un panorama de amenazas que ya no existe. Los SLA de treinta minutos, cuatro horas y veinticuatro horas de un proveedor solo tienen sentido si las asignaciones de gravedad que dirigen las alertas a esas colas están alineadas con el panorama de amenazas actual.
Dónde se equivocan la mayoría de los equipos
El fallo más habitual es evaluar el cumplimiento del SLA de alertas sin evaluar si las asignaciones de gravedad están actualizadas. El cumplimiento del SLA mide si las alertas se revisan dentro de su SLA asignado. La alineación de la gravedad mide si las asignaciones dirigen las alertas al SLA adecuado para su contexto de riesgo actual.
- Cumplimiento del SLA evaluado sin alineación de la gravedad
- Sin canalización de inteligencia de amenazas a priorización: la inteligencia no desencadena revisiones de la gravedad
- Asignaciones de gravedad no revisadas tras recibir inteligencia de amenazas
- La evaluación no distingue entre priorización estática y dinámica
- Priorización de las TTP de actores de amenazas activos no evaluada específicamente
Cómo se ve una buena práctica
Los programas maduros de priorización de alertas integran la inteligencia de amenazas en el proceso de asignación de la gravedad, revisando y actualizando específicamente los niveles de gravedad de las reglas de detección que coinciden con técnicas identificadas en la inteligencia actual sobre actores de amenazas, e implementan una priorización contextual que eleva temporalmente la gravedad de técnicas concretas cuando se recibe inteligencia sobre ataques activos.
- Integración de la inteligencia de amenazas en la priorización: informes de ISAC que desencadenan revisiones de la gravedad
- Elevación temporal de la gravedad para técnicas que coinciden con las TTP de actores de amenazas activos
- Cadencia regular de revisión de la gravedad: revisión trimestral de todas las asignaciones de gravedad de las reglas
- Capacidad de priorización contextual: la misma regla genera una prioridad distinta según el contexto actual
- Autoridad para actualizar la prioridad: capacidad del analista para elevar temporalmente la prioridad según la inteligencia
Herramientas
SIEM con priorización dinámica: Microsoft Sentinel con integración de inteligencia de amenazas, Splunk con alertas basadas en el riesgo
Las plataformas de SIEM con integración de inteligencia de amenazas pueden ajustar dinámicamente la gravedad de las alertas según el contexto actual de IOC y TTP, elevando la prioridad de las alertas que coinciden con técnicas de actores de amenazas activos. Para los profesionales de TPRM, preguntar si el SIEM del proveedor implementa alertas basadas en el riesgo o una priorización dinámica basada en inteligencia de amenazas es una pregunta concreta sobre la priorización contextual.
Desafíos de gobernanza
El reto de gobernanza de la priorización dinámica es el riesgo de que aumente el volumen de alertas. Elevar la gravedad de técnicas concretas durante campañas activas aumenta el volumen de alertas de alta prioridad, lo que reduce el tiempo de análisis por alerta disponible para los eventos realmente graves. La solución de gobernanza es una elevación limitada en el tiempo: una prioridad elevada temporalmente para las técnicas que coinciden con la inteligencia sobre actores de amenazas activos, con restablecimiento automático tras un periodo definido, salvo que se renueve la inteligencia.
- Establezca una canalización de inteligencia de amenazas a priorización: informes que desencadenen la revisión de la gravedad
- Implemente una elevación temporal de la gravedad para las técnicas de TTP de actores de amenazas activos
- Revise todas las asignaciones de gravedad cada trimestre, con independencia de los desencadenantes de inteligencia
- Pregunte por el proceso de actualización de la gravedad: cómo cambia la inteligencia la priorización de las alertas
- Ponga a prueba la priorización contextual: cuándo se actualizó por última vez una gravedad a partir de inteligencia de amenazas
Si usted forma parte de un equipo pequeño
Haga una sola pregunta a su proveedor de mayor riesgo: en los últimos doce meses, ¿se ha actualizado alguna asignación de gravedad de alertas a partir de inteligencia de amenazas? En concreto, ¿se ha elevado la prioridad de alguna regla de SIEM porque una fuente de inteligencia de amenazas identificó esa técnica como la TTP principal de un actor de amenazas que ataca activamente a su sector? Si la respuesta es no, el sistema de priorización es estático, y la velocidad de respuesta del SOC ante las técnicas de actores de amenazas activos está calibrada para un contexto de amenazas que quizá ya no esté vigente.
- Pregunte si alguna asignación de gravedad se ha actualizado a partir de inteligencia de amenazas en los últimos doce meses
- Pregunte por la canalización de inteligencia de amenazas a priorización
- Pregunte si la inteligencia de TTP sobre actores de amenazas activos desencadena una elevación de la prioridad
- Solicite la fecha de la última revisión de la gravedad de todas las reglas
Qué exigir
Pregunte directamente:
“Cuando el ISAC de su sector publica inteligencia que identifica una TTP concreta como la técnica principal de un actor de amenazas activo que ataca a su sector, ¿esa inteligencia desencadena una revisión y una posible elevación de la gravedad de las alertas de la regla de SIEM que cubre esa técnica?”
Evidencia que debe esperar
- Confirmación de la canalización de inteligencia de amenazas a priorización
- Actualización reciente de la gravedad motivada por inteligencia de amenazas
- Capacidad de priorización contextual
- Cadencia de revisión de la gravedad
A un proveedor que confirme SLA de alertas definidos se le debe preguntar si las asignaciones de gravedad que dirigen las alertas a esos SLA se actualizan según la inteligencia de amenazas actual. Los SLA miden el cumplimiento. Las asignaciones de gravedad determinan si ese cumplimiento está calibrado para la amenaza actual.
Cómo demostrarlo
- Registros de la canalización de inteligencia de amenazas a priorización
- Historial de actualizaciones de la gravedad motivadas por inteligencia
- Documentación de la capacidad de priorización contextual
- Registros de la revisión trimestral de la gravedad
Conclusión clave
Alerta de gravedad media. Revisión en cuatro horas. TTP principal de un actor de amenazas activo. El atacante estableció persistencia durante esas cuatro horas. Se cumplió el SLA. La priorización estaba desactualizada. Unas asignaciones estáticas de gravedad calibradas hace dos años para otro panorama de amenazas produjeron una respuesta de cuatro horas ante un riesgo de treinta minutos. Se leyó el informe de ISAC. No se actualizó la asignación de gravedad. No existía la canalización de inteligencia a priorización que habría conectado el informe con la actualización de la gravedad. La priorización dinámica, en la que la inteligencia de amenazas desencadena la revisión de la gravedad, cierra la brecha entre la amenaza actual y la asignación estática que era correcta para la de ayer.