Detección e indicadores tempranos

Los operadores de ransomware pasan horas o días dentro de una red antes de cifrar. Este tiempo de permanencia es su ventana de detección. Detectar la intrusión durante el reconocimiento o el movimiento lateral permite contenerla antes de que se bloquee ningún archivo.

La detección se centra en el comportamiento, no solo en las firmas, porque los atacantes abusan de herramientas legítimas para actuar sin llamar la atención.

Los primeros indicadores suelen aparecer en el perímetro y en la capa de identidad:

• Inicios de sesión correctos desde ubicaciones geográficas inusuales o desplazamientos imposibles
• Un aumento repentino de intentos fallidos de RDP o VPN (fuerza bruta)
• Nuevas conexiones externas originadas en servidores expuestos a Internet
• Un usuario que informa de un correo de phishing después de hacer clic

Correlacionar los registros de identidad con los datos de red permite detectar estas señales antes de que el atacante se afiance.

Una vez dentro, los atacantes cartografían el entorno. Esta actividad de descubrimiento resulta ruidosa si se supervisa.

La propagación entre equipos deja rastros característicos:

• Uso de herramientas de ejecución remota en muchos equipos durante un periodo breve
• Cuentas privilegiadas que inician sesión en equipos que normalmente nunca utilizan
• Creación de nuevos servicios o tareas programadas en varios endpoints
• Patrones inusuales de acceso a SMB o a recursos compartidos administrativos

Que una sola cuenta se autentique de repente en decenas de equipos es una señal clara que debe investigarse de inmediato.

Antes de cifrar, los atacantes intentan cegar sus defensas. Los intentos de desactivar las herramientas de seguridad son alertas de alta fidelidad.

• Detener o desinstalar los servicios de EDR o antivirus
• Desactivar el registro o borrar los registros de eventos
• Modificar la política de seguridad o añadir exclusiones

Active la protección contra manipulaciones y genere una alerta ante cualquier intento de desactivar las defensas; los administradores legítimos rara vez hacen esto de forma masiva.

Destruir las opciones de recuperación es un paso previo al cifrado casi universal y una excelente señal de alerta en la fase final.

Los grupos de doble extorsión roban datos antes de cifrarlos. Supervise el tráfico de salida para detectar la preparación y la transferencia.

• Grandes transferencias salientes a servicios de almacenamiento en la nube o IP desconocidos
• Herramientas de archivado que comprimen grandes conjuntos de datos de forma inesperada
• Nuevo uso de utilidades de transferencia de archivos desde servidores
• Picos de ancho de banda saliente fuera del horario laboral

La supervisión del tráfico de salida y DLP pueden detectar la fase de robo incluso si no se detectaron las etapas anteriores.

El engaño proporciona una detección económica y con una señal clara. Coloque señuelos que ningún usuario legítimo debería tocar.

• Archivos canario en directorios que generen una alerta al acceder a ellos o modificarlos
• Credenciales honeytoken que activen una alarma si alguna vez se utilizan
• Recursos compartidos falsos de alto valor supervisados ante cualquier interacción

Cuando el ransomware cifra archivos masivamente, alcanza primero los archivos canario, lo que le proporciona una alerta inmediata y con poco ruido.

La propia fase de cifrado deja una huella reconocible que EDR y la supervisión de archivos pueden detectar en cuestión de segundos.

• Un proceso que lee y vuelve a escribir rápidamente muchos archivos
• Cambios de nombre masivos o aparición de nuevas extensiones uniformes en los archivos
• Aumento repentino de la entropía de los archivos (los datos cifrados parecen aleatorios)
• Aparición de archivos con notas de rescate en distintos directorios

La respuesta automatizada puede aislar el host en cuanto comienza este patrón, limitando la cantidad de archivos que se pierden.

Los indicadores solo son útiles si se recopilan y correlacionan. Centralice la telemetría para que las señales aisladas formen una imagen clara.

• Envíe los registros de endpoints, identidad, red y copias de seguridad a un SIEM
• Escriba detecciones para los comportamientos anteriores y ajuste las reglas para reducir el ruido
• Asocie las alertas con las fases del ataque (MITRE ATT&CK) para aportar contexto
• Asegúrese de que los registros sean resistentes a la manipulación, de modo que los atacantes no puedan borrar sus huellas

La detección solo es valiosa si desencadena una respuesta rápida. Prepárese con antelación:

• Defina qué alertas justifican el aislamiento automático del host
• Establezca rutas claras de escalado y cobertura de guardia
• Ensaye para que quienes respondan actúen en minutos, no en horas

Cuanto antes detecte el ataque en la cadena, más podrá contener. La siguiente lección explica qué hacer cuando se confirma un ataque.

Ha aprendido a detectar un ataque durante su tiempo de permanencia.

• La detección se centra en el comportamiento: inicios de sesión inusuales, reconocimiento de AD y movimiento lateral
• La manipulación de las defensas y la eliminación de copias sombra son señales de alerta de alta fidelidad
• Supervise el tráfico de salida para detectar la exfiltración; coloque archivos canario y honeytokens
• La detección conductual del cifrado (entropía y cambios de nombre masivos) permite el aislamiento automático
• Centralice los datos en un SIEM con registros resistentes a la manipulación y una ruta rápida de la alerta a la acción

A continuación: respuesta y recuperación tras un ataque confirmado.