Supervisión (NSM) de seguridad de redes: detección en tiempo real de amenazas basadas en la red

La supervisión de seguridad de redes (NSM) es el análisis continuo del tráfico para identificar amenazas, anomalías y actividad no autorizada en todos los segmentos de red. Las capacidades NSM y de detección y respuesta en redes (NDR) de Cypher Sentinel detectan en tiempo real movimiento lateral, exfiltración de datos, comunicaciones de mando y control y ataques DDoS mediante análisis de comportamiento, integración de cortafuegos e inspección avanzada de tráfico cifrado.

La mayoría de las organizaciones dependen de cortafuegos y sistemas de detección de intrusiones para proteger sus redes. Sin embargo, los cortafuegos solo pueden aplicar las reglas para las que están configurados, y las soluciones IDS/IPS tradicionales no detectan ataques sofisticados que utilizan cifrado o eluden la detección por firmas. La supervisión de seguridad de redes (NSM) ofrece otro enfoque: análisis continuo de todo el tráfico para detectar amenazas por su comportamiento y anomalías, en lugar de reglas predefinidas.

Una solución NSM integral como Cypher Sentinel proporciona visibilidad completa del tráfico de red, permitiendo detectar ataques dentro de ella, incluidos el movimiento lateral entre sistemas, la exfiltración de datos y las comunicaciones de mando y control. Esto es esencial porque muchos ataques ocurren después de que el atacante haya traspasado el perímetro: NSM detecta estas amenazas internas antes de que puedan causar daños importantes.

¿Qué es la supervisión de seguridad de redes (NSM)?

La supervisión de seguridad de redes (NSM) es la recopilación y el análisis integrales del tráfico para identificar en tiempo real amenazas de seguridad, anomalías y actividades no autorizadas. Las soluciones NSM capturan todo el tráfico o toman muestras a escala, lo analizan en busca de indicadores de compromiso y patrones de ataque y permiten responder rápidamente a las amenazas detectadas.

NSM se diferencia fundamentalmente de los cortafuegos y de IDS/IPS tradicionales. Los cortafuegos aplican controles de acceso basados en reglas predefinidas. Los IDS/IPS tradicionales detectan ataques mediante firmas conocidas o reglas sencillas de detección de anomalías. NSM analiza el comportamiento real observable en el tráfico e identifica tanto ataques conocidos (mediante inteligencia sobre amenazas) como desconocidos (mediante análisis de comportamiento y detección de anomalías).

• Visibilidad completa de la red — Vea toda la comunicación de red, no solo lo que registran o alertan los cortafuegos.
• Detección de amenazas más allá de las firmas — Detecte amenazas desconocidas mediante análisis de comportamiento y detección de anomalías.
• Detección de movimiento lateral — Identifique cuándo los sistemas comprometidos se comunican con otros sistemas de la red.
• Prevención de exfiltración de datos — Detecte cuándo los atacantes intentan robar datos analizando los patrones y volúmenes de los flujos de datos.
• Detección de amenazas cifradas — Analice los metadatos del tráfico cifrado para detectar comunicaciones cifradas maliciosas.

Capacidades de detección y respuesta en redes (NDR)

La detección y respuesta en redes (NDR) amplía NSM añadiendo capacidades de respuesta automatizada a las amenazas detectadas. Las plataformas NDR no solo detectan ataques basados en la red, sino que toman medidas defensivas automáticamente para contener amenazas y minimizar su impacto.

Las capacidades avanzadas de NDR incluyen detectar movimiento lateral mediante análisis de comportamiento de los patrones de comunicación entre sistemas, identificar actividades de reconocimiento en las que los atacantes buscan sistemas y servicios valiosos, detectar exfiltración de datos analizando flujos inusuales y grandes transferencias salientes, y detectar mando y control identificando comunicaciones con servidores maliciosos. NDR permite aislar rápidamente segmentos de red comprometidos y bloquear flujos de tráfico maliciosos.

Integración de cortafuegos y seguridad de nueva generación

La seguridad de redes moderna requiere integrar cortafuegos, IDS/IPS, NSM e inteligencia sobre amenazas en una defensa coordinada. Mientras los cortafuegos aplican control de acceso y detección básica de amenazas, NSM ofrece una visibilidad profunda del contenido y el comportamiento del tráfico. Esta combinación proporciona una defensa por capas que detiene los ataques en varios puntos.

Los cortafuegos de nueva generación (NGFW) combinan las funciones tradicionales con prevención de intrusiones, filtrado a nivel de aplicación e integración de inteligencia sobre amenazas. Inspeccionan el tráfico en la capa de aplicación y correlacionan la actividad de red con inteligencia sobre amenazas para bloquear tráfico malicioso conocido y evitar patrones de ataque conocidos.

Al integrarse con plataformas NSM como Cypher Sentinel, los registros y alertas de los cortafuegos se combinan con análisis detallado del tráfico para ofrecer seguridad integral de red. Cypher Sentinel puede actualizar automáticamente las reglas de cortafuegos basándose en las amenazas detectadas y bloquear nuevas fuentes de ataque en tiempo real.

Sistemas de detección y prevención de intrusiones (IDS/IPS)

Los sistemas de detección de intrusiones (IDS) analizan el tráfico de red en busca de patrones que coincidan con ataques conocidos y generan alertas al detectar actividad sospechosa. Los sistemas de prevención de intrusiones (IPS) van más allá y bloquean automáticamente los ataques detectados descartando paquetes maliciosos o restableciendo conexiones.

Sin embargo, los sistemas IDS/IPS tradicionales dependen de la detección basada en firmas, que solo identifica ataques conocidos. Las plataformas EDR avanzadas como Cypher Sentinel combinan la detección por firmas con análisis de comportamiento y aprendizaje automático, permitiendo detectar exploits de día cero y técnicas nuevas que IDS/IPS por sí solos no detectarían.

La integración de IDS/IPS con análisis de comportamiento proporciona detección por capas: los ataques conocidos se bloquean mediante firmas, mientras los desconocidos se identifican mediante análisis de comportamiento y detección de anomalías.

Protección DDoS y mitigación de ataques

Los ataques de denegación de servicio distribuida (DDoS) intentan saturar los recursos de red inundándola de tráfico e impidiendo que los usuarios legítimos accedan a los servicios. Las soluciones de protección DDoS utilizan técnicas sofisticadas para detectar y mitigar ataques mientras mantienen la disponibilidad del servicio.

La mitigación de DDoS utiliza análisis de tráfico para identificar patrones de ataque y filtrar tráfico malicioso en tiempo real. Los ataques volumétricos que inundan la red con datos se identifican analizando el volumen y los patrones de tráfico. Los ataques de protocolo que explotan debilidades en los protocolos de red se detectan analizando la estructura y el comportamiento de los paquetes. Los ataques de capa de aplicación dirigidos a aplicaciones específicas se identifican analizando los patrones de tráfico de ese nivel.

La protección DDoS avanzada utiliza análisis de comportamiento para detectar ataques sofisticados que podrían eludir un filtrado volumétrico simple. La protección DDoS de Cypher Sentinel combina filtrado de tráfico, protección a nivel de protocolo y de aplicación y análisis de comportamiento para mantener la disponibilidad de la red incluso frente a ataques DDoS sofisticados.

Análisis de tráfico cifrado y detección de amenazas ocultas

A medida que el cifrado se vuelve omnipresente, los atacantes lo utilizan cada vez más para ocultar comunicaciones maliciosas. Aunque protege la privacidad de los datos, también oculta las comunicaciones maliciosas de mando y control y la exfiltración de datos a las herramientas NSM tradicionales.

El análisis de tráfico cifrado supera este reto examinando los metadatos y el comportamiento de las comunicaciones cifradas, aunque el contenido permanezca cifrado. Esto incluye patrones de conexión, tamaños de paquetes, frecuencia de comunicación e información temporal. Las comunicaciones cifradas maliciosas suelen presentar patrones distintivos diferentes de los del tráfico cifrado legítimo.

Por ejemplo, las comunicaciones de mando y control suelen incluir señales periódicas (comunicación a intervalos fijos) distintas de los patrones normales del tráfico de aplicaciones. La exfiltración mediante cifrado suele implicar transferencias grandes y sostenidas que difieren del uso habitual de aplicaciones cifradas. Analizando estos patrones de comportamiento, las plataformas NSM pueden detectar tráfico cifrado malicioso sin descifrarlo.

Integración de inteligencia sobre amenazas y contexto

La seguridad de red mejora drásticamente cuando las plataformas NSM se integran con fuentes de inteligencia sobre amenazas que identifican direcciones IP, dominios y patrones de ataque maliciosos conocidos. La inteligencia permite identificar de inmediato amenazas conocidas y proporciona contexto para el análisis de red.

La integración de inteligencia sobre amenazas con distintas herramientas de detección permite a NSM identificar comunicaciones con servidores maliciosos conocidos, detectar ataques que coinciden con patrones conocidos, identificar sistemas comprometidos que se comunican con infraestructuras de botnets y reconocer patrones de ataque de actores conocidos. Esto acelera drásticamente la detección de amenazas conocidas, mientras el análisis de comportamiento aborda los ataques desconocidos.

Cypher Sentinel se integra con varias fuentes de inteligencia sobre amenazas y permite añadir inteligencia personalizada basada en los incidentes de seguridad y la evaluación de amenazas de la propia organización.

Segmentación de red y arquitectura de confianza cero

La segmentación de red divide la red en zonas separadas con comunicación restringida entre ellas, limitando el movimiento lateral cuando se compromete un sistema. La arquitectura de confianza cero va más allá y exige autenticación y autorización para toda comunicación de red con independencia de su origen.

Las plataformas NSM y NDR proporcionan visibilidad esencial de la segmentación de red, detectan cuándo los sistemas se comunican entre segmentos e identifican infracciones de las políticas de segmentación. Esto permite aplicar dichas políticas y detectar patrones de comunicación no autorizados.

Las capacidades de ciberseguridad de confianza cero de Cypher Sentinel aplican la segmentación de red y detectan infracciones, trabajando junto con NSM para detectar y prevenir el movimiento lateral.

Modelos de implementación NSM y soberanía de los datos

La supervisión de seguridad de redes puede implementarse en diversas arquitecturas según los requisitos de la organización. NSM en la nube ofrece servicios gestionados y una implementación sencilla, pero dirige la telemetría de red a servidores externos. NSM local, implementado en los centros de datos de la organización, ofrece plena soberanía y control de los datos. NSM híbrido combina la detección local con integración selectiva de inteligencia sobre amenazas en la nube.

Para organismos gubernamentales y organizaciones que manejan datos sensibles, una implementación soberana de NSM garantiza que todo el análisis de tráfico de red y los datos de amenazas permanezcan bajo el control de la organización, cumpliendo los requisitos de residencia de datos.