En este artículo voy a explicar el nuevo tema candente en ciberseguridad, EDR, pero más específicamente las alertas de EDR. ¿Qué son y cómo nos informan cuando algo está mal? A medida que los sistemas de inteligencia artificial de las empresas se vuelven más inteligentes, uno de los sistemas se ha convertido en un ser inteligente. Si no entiendes por qué se genera una alerta, entonces no tienes ninguna posibilidad de determinar si un dispositivo es seguro. Si no estás recibiendo ninguna alerta, entonces algo puede estar configurado incorrectamente. ¿Quién ajustó el EDR? Tal vez tu EDR no tiene suficientes disparadores o disparadores mal hechos. ¿Qué es un disparador? ¡Estoy tan confundido! Bueno, si quieres ser el mejor analista de Seguridad Operativa (SOC) que puedas ser, abandona tu carrera en ciencias de la computación, porque estoy a punto de contarte todo lo que necesitas saber sobre EDR, y después de esto, te garantizo que conseguirás el próximo trabajo de analista SOC, probablemente. ¿Qué es exactamente EDR? Detección y Respuesta en el punto final, pregúntale a mi nuevo patrocinador en GPT (no es cierto, ellos dijeron que no). Según el sr. GPT, una alerta de EDR es una notificación generada por un sistema de EDR cuando detecta una actividad sospechosa en un dispositivo o punto final de red. La alerta generalmente contiene información sobre la naturaleza de la actividad y el dispositivo o punto final específico donde se detectó. Depending on the EDR system, the alert may also include recommendations on how to respond to the threat (you get me?).
Índice
¿Cómo funciona?
Broadly speaking, EDR is made up of a command and control interface where all configurations are done and alerts reside. They have a sensor installed on everything that touches your network. You could work off the EDR interface, but we have an API integration that sends the important alerts to our alert board and that’s generally what we work off of. We can bounce back and forth with the EDR interface if we need to do a deeper dive. The alerts are generated by the security teams who configure the rules and triggers. This portion of the job might be taken care of by AI in the future. The trigger conditions are very specific and can look for live processes, file hashes, network connections, registry and DNS events, etc. Each sensor is provided with the triggers that are stored on the mainframe. Currently, our EDR solution has 484 triggers.
¿Cómo se generan las alertas?
Las alertas son generadas por el sensor de EDR al encontrar una condición específica definida en el disparador configurado. Las condiciones en el disparador pueden ser procesos en ejecución, hash de archivos o conexiones de red, entre otros. Estas condiciones están diseñadas para detectar actividad sospechosa o malintencionada en el sistema o en el punto final. Cuando se cumple una condición, se genera una alerta que notifica a los equipos de seguridad para que puedan responder de manera adecuada al posible riesgo.
¿Qué hacer cuando se reciben las alertas?
La detección y respuesta en el punto final generalmente implica detectar una actividad sospechosa o malintencionada y, una vez generada, la primera etapa en el proceso de remediación es determinar el alcance y la naturaleza de la amenaza. Una vez identificada la amenaza, se toman medidas para contenerla y prevenir su propagación, como aislar el dispositivo afectado de la red o bloquear el tráfico de red desde la fuente de la amenaza. Luego se realiza una investigación más exhaustiva para determinar la causa raíz del problema y se toman medidas adicionales, como parchear vulnerabilidades o restaurar datos, para remediar por completo el problema. Finalmente, es importante documentar el incidente y las acciones tomadas para solucionarlo, revisar las políticas de seguridad y ajustarlas si es necesario.
| Categoría | Información |
|---|---|
| EDR | Endpoint Detection and Response |
| Alerta de EDR | Notificación generada por un sistema de EDR cuando detecta actividad sospechosa |
| Disparadores | Condiciones específicas que busca el sistema de EDR para generar una alerta |
Preguntas frecuentes
1. ¿Puedo confiar solo en EDR para proteger mi sistema?
No, EDR no puede proteger contra todos los tipos de ataques, como el phishing o la ingeniería social. Se necesita un conjunto robusto de herramientas de seguridad.
2. ¿Cuál es el objetivo de documentar los disparadores de EDR?
La documentación de los disparadores permite a los analistas de seguridad entender rápidamente por qué se genera una alerta y cómo responder a ella, acelerando el tiempo de respuesta ante una amenaza.
3. ¿Cuántos disparadores tiene su solución de EDR?
Nuestra solución de EDR tiene actualmente 484 disparadores.
¡Gracias por leer este artículo sobre EDR! Espero que hayas aprendido algo nuevo y útil. Asegúrate de revisar nuestros artículos relacionados para obtener más información sobre seguridad cibernética. Si tienes alguna pregunta, déjanos un comentario. ¡Nos vemos en el próximo artículo!
¿Te ha resultado útil??
0 / 0
Hola, somos Mila Jiménez y César Sánchez. Dos apasionados de la ciberseguridad con muchos años de experiencia. Hemos trabajado en muchas empresas del mundo TI y ahora nos apetece compartir nuestro conocimiento con cualquiera que lo necesite.
¡Si te gusta nuestro contenido puedes invitarnos a un café AQUÍ!