Uso de registros y telemetría

Una caza solo es tan buena como los datos que la respaldan. Los registros y la telemetría son el rastro de evidencias que los atacantes dejan en los sistemas.

En esta lección se tratan las principales fuentes de datos y cómo buscar amenazas en ellas.

Los datos de los endpoints son la fuente más completa. Herramientas como EDR y Sysmon registran la creación de procesos, las líneas de comandos, las escrituras de archivos y los cambios en el registro.

La mayoría de los ataques modernos interactúan con un endpoint, por lo que muchas cazas comienzan aquí.

Los datos de red muestran con qué se conectan los hosts. Los registros de firewall, proxy y DNS, junto con los registros de Zeek, revelan beaconing, exfiltración y movimiento lateral.

Complementan los datos de los endpoints al mostrar el aspecto de las comunicaciones.

Los registros de autenticación muestran cómo se utilizan las cuentas. Busque inicios de sesión a horas inusuales, desde ubicaciones nuevas o patrones de fallos seguidos de éxitos.

Los identificadores de eventos de Windows y los registros de directorio son fundamentales en este caso.

Los entornos modernos generan registros de la nube: actividad de API, inicios de sesión de identidades y cambios de configuración.

Busque nuevas claves de acceso, registros deshabilitados o llamadas inusuales a API administrativas.

Un SIEM recopila registros de todas partes en un único lugar consultable. Buscar amenazas en distintas fuentes solo resulta práctico cuando los datos están centralizados.

Splunk, Elastic y Sentinel son plataformas habituales.

Las distintas fuentes utilizan nombres diferentes para los campos. La normalización los asigna a un esquema común, de modo que una sola consulta pueda abarcar muchas fuentes.

Sin ella, debe escribir una consulta nueva para cada formato de registro.

La verdadera potencia está en la correlación: relacione un proceso de endpoint con una conexión de red y un evento de autenticación correspondientes al mismo host y momento.

Una fuente genera sospechas; tres fuentes juntas construyen un caso.

Sepa qué es lo que no está registrando. Los atacantes prosperan en los puntos ciegos: hosts sin registros, auditoría de líneas de comandos deshabilitada o una retención de registros demasiado corta.

Identificar las carencias también es un resultado valioso de una caza.

Los registros ocupan mucho espacio y el almacenamiento es limitado. Equilibre la retención con el coste para que, cuando realice una caza, los datos sigan existiendo.

Un ataque descubierto hoy puede haber comenzado hace meses; una retención corta lo oculta.

Cuando una caza en los registros encuentra una técnica, codifíquela como una regla de detección para que el SIEM la detecte automáticamente la próxima vez.

Así, la caza manual refuerza continuamente la defensa automatizada.

Ponga a prueba su comprensión de los registros y la telemetría.

Ha aprendido a buscar amenazas en registros y telemetría.

• Los datos de los endpoints (procesos y líneas de comandos) son la fuente más completa.
• Los registros de red, autenticación y nube aportan contexto.
• Un SIEM centraliza los datos; la normalización permite realizar consultas entre fuentes.
• Correlacione las fuentes para construir indicios sólidos.
• Tenga en cuenta las carencias de registro y la retención; convierta los hallazgos en detecciones.

A continuación asignará sus hallazgos a MITRE ATT&CK.