La tecnología de engaño o decepción se utiliza para atrapar y detener hackers antes de que logren hacer daños irreparables.
También conocida en inglés como Deception Technology, este enfoque fue reconocido en 2018 por su eficiencia en la detección de amenazas avanzadas, así como estudiar al atacante e identificar sus métodos. De hecho, la empresa consultora de TI Gartner, Inc. recomendó este enfoque por 3 años consecutivos como una de las principales prioridades estratégicas en ciberseguridad para las organizaciones.
En este artículo, te explicamos qué es la tecnología de engaño o las deception technologies y cómo pueden ser útiles para mejorar y automatizar las acciones de respuesta a los ataques cibernéticos.
De qué se trata este nuevo enfoque
Las empresas acuden a las deception technologies porque les brinda una protección integral de la superficie de ataque, una detección temprana y una mejor comprensión de sus adversarios. Por lo tanto, la tecnología de engaño es una categoría de herramientas y técnicas de seguridad diseñadas para detectar y desviar el movimiento lateral de un atacante una vez que está dentro de la red.
Una plataforma de estas características se considera tan efectiva contra el ransomware gracias a la escalabilidad de implementación y su facilidad de uso para los operadores. También cuenta con gran capacidad de trabajar sin problemas con las soluciones de seguridad que ya existen.
A diferencia de las soluciones de gestión de eventos e información de seguridad (SIEM), que utilizan registros de eventos para informar lo que sucedió, la tecnología de engaño informa de manera proactiva sobre lo que podría suceder. Utiliza técnicas de detección frente a la dependencia de firmas o coincidencia de patrones, lo que también conduce a su eficacia.
Otro aspecto tan positivo de este enfoque es que emite alertas confiables ante cualquier interacción con tecnología engañosa que sea «no autorizada». De esta manera, además de ocultar la superficie de ataque y dificultar que los atacantes miren a su alrededor sin ser detectados, esta herramienta redirigirá al atacante a un servidor de participación. El cual recopilará información sobre las herramientas, los métodos y los comportamientos del atacante.
Gartner Inc. predice que para 2022, el 25% de todos los proyectos de detección y respuesta de amenazas incluirán características y funciones de engaño. Y esto es porque las plataformas de engaño se han convertido en una solución práctica y efectiva para empresas de todos los tamaños.
Cómo funciona la tecnología de engaño
Al alertar sobre las actividades tempranas de descubrimiento, reconocimiento y escalada de privilegios, los defensores pueden colocar señuelos, como los honeypots. También pueden iniciar estrategias para ocultar activos de producción y desviar a los atacantes con desinformación que descarrilará su ataque.
Estos señuelos imitan activos de TI genuinos en toda la red y ejecutan un sistema operativo (SO) real o emulado. Los señuelos proporcionan entonces servicios diseñados para engañar al atacante haciéndole creer que ha encontrado un sistema vulnerable. Además, la tecnología de engaño también puede reducir la superficie de ataque al encontrar y remediar las credenciales expuestas que crean rutas de ataque.
Tras la interacción del atacante con un activo engañoso, el equipo de seguridad recibirá una alerta, basada en el nivel de compromiso con la información recopilada sobre el ataque.
Una vez obtenida la información sobre las herramientas, métodos e intención del atacante, el defensor o defensores tendrán el conocimiento necesario para detener el ataque. Llegando a fortalecer las estrategias de defensa generales y nivelar el campo de juego contra su oponente.
Desde el lado del atacante, este obtendrá una imagen poco clara de la superficie de ataque, lo que lo ralentizará. Obligándolo a cometer errores, gastar recursos adicionales, lo que se convertirá en un impacto negativo a la economía de su ataque.
El mercado de la tecnología de engaño
La razón detrás de la adopción de la tecnología de engaño ha surgido de la necesidad de una detección de amenazas escalable, es decir, una amenaza que puede crecer en magnitud y causar daños irreversibles.
Por eso, hay una amplia variedad de sectores donde puede aplicar la tecnología del engaño, te nombramos los siguientes:
- Directorio Activo (Active Directory, AD)
- Aplicaciones de software
- Nubes privadas virtuales
- Internet de las cosas (IoT)
- SCADA (Control de Supervisión y Adquisición de Datos)
- Sistemas de punto de venta (PoS)
El incidente de la empresa desarrolladora SolarWinds en 2021 también ha sido motor de la creciente necesidad de detectar movimientos laterales y escaladas de privilegios. Lo cual ha convencido a muchas empresas de invertir en ciberseguridad.
Por eso, otras organizaciones también están adoptando el engaño, como el Instituto Nacional de Estándares y Tecnología (NIST). En la misma dirección, la creación del marco MITRE ATT&CK ayuda a las organizaciones a comprender cómo el engaño encaja en su pila de seguridad para descarrilar las técnicas y tácticas de ataque.
Según la empresa asesora Mordor Intelligence, el mercado de la tecnología de engaño se valoró en USD 1335,5 millones en 2020. Para 2026 se espera que alcance los USD 2814,16 millones. Su mayor mercado lo ocupa Estados Unidos, dado el creciente número de dispositivos inteligentes y el uso de aplicaciones sociales, que generan una gran cantidad de datos.
Implementación e integraciones
De acuerdo con todo lo que hemos dicho, la tecnología de engaño se presenta como una estructura o plataforma de engaño completo. También podemos decir que son características dentro de una plataforma más amplia y como soluciones independientes.
Al utilizar el aprendizaje automático, permite implementar operaciones rápidas y precisas sin interrumpir otras funciones de la red. Por lo tanto, las integraciones de la plataforma nativa con la infraestructura de seguridad existente, como por ejemplo, un análisis forense DFIR, pueden proporcionar un intercambio fluido de información sobre ataques y facilitar la automatización.
Entre sus beneficios podemos nombrar:
- El bloqueo automatizado y aislamiento.
- Búsqueda de amenazas
- Libros de jugadas repetibles que aceleran la respuesta a incidentes.
- Integración con las soluciones de respuesta, automatización y orquestación de seguridad (SOAR).
A su vez, las integraciones de terceros se pueden utilizar para automatizar las acciones de respuesta adecuadas, incluido el aislamiento, el bloqueo y la búsqueda de amenazas.
Las deception technologies más avanzadas también admiten una tecnología de ocultación, que niega el acceso a los datos. En lugar de entrelazar activos engañosos entre activos de producción, se pueden ocultar activos reales a la vista de un atacante.
Incluso se pueden devolver datos falsos al atacante para interrumpir y descarrilar más ataques. La cobertura incluye objetos, credenciales, archivos, carpetas y unidades extraíbles del AD, así como recursos compartidos en la red y en la nube.
Ventajas y beneficios de aplicar la tecnología de engaño
Por último, y como ya hemos visto a lo largo del artículo, las deception technologies son una gran fuente de beneficios en términos de ciberseguridad. No solo porque complementa los controles de seguridad existentes al detectar actividades de descubrimiento. Sino porque también aborda el movimiento lateral, la escalada de privilegios y la recolección que otras herramientas no están diseñadas para tratar.
A continuación, te dejamos un breve listado de los beneficios más destacables de aplicar la tecnología de engaño.
- El engaño permite priorizar las amenazas porque los falsos positivos son poco frecuentes. Las herramientas de engaño son exponencialmente más fáciles de implementar y operar que una implementación SIEM (Sistema de Gestión de Eventos e Información de Seguridad).
- Es una forma rentable de implementar detección precisa de amenazas para equipos de seguridad con recursos limitados.
- Es fácil de implementar y mantener, de hecho puede ser administrado por un MSSP (Managed Security Service Provider).
- Muchas de las actividades de ataque a las que las deception technologies proporcionan visibilidad son tradicionalmente difíciles de detectar. Como mencionamos antes se incluyen el movimiento lateral, robo y reutilización de credenciales, reconocimiento de amenazas internas, actividades man-in-the-middle (MiTM) y ataques a servicios de directorio como el protocolo ligero de acceso a directorios (LDAP) o el AD.
Conclusión
La tecnología de engaño o las deception technologies son un conjunto de herramientas claves para protegerse de los atacantes mediante un enfoque diferente al tradicional. El mercado de este tipo está creciendo y cada vez más empresas lo implementan.
Además, el avance tecnológico también hace más difícil detectar las amenazas internas y detener ataques escalables, por lo que utilizar este tipo de técnicas puede darte no solo un panorama más completo de tu atacante, sino también los insights necesarios para mejorar tus sistemas de ciberseguridad.
