Colocación correcta de feeds de amenazas, IPS, EDR y SIEM

Una feed de amenazas no reemplaza las políticas de IPS, EDR, seguridad DNS, WAF, SIEM o firewall limpio. Realiza una tarea diferente: preparar la infraestructura activa conocida para que las funciones de aplicación de la ley existentes puedan utilizarla temprano en el perímetro.

El valor no está en detectar todas las técnicas de ataque. El valor está en eliminar antes la infraestructura de atacantes recurrentes y ya observados del flujo de tráfico normal.

¿Qué papel juega una feed de amenazas?

Una feed de amenazas de firewall es una capa de reputación y filtrado previo. Proporciona IP, dominios o URL que han sido evaluados a partir de múltiples señales como relevantes para las políticas de producción. Luego, el firewall puede recuperar estos indicadores a través de funciones de lista nativas y usarlos en reglas.

Los casos de uso típicos incluyen:

• reducir los escáneres conocidos y la infraestructura de botnets antes
• bloquear o registrar infraestructura de comando y control, phishing o malware
• reducir el ruido perimetral recurrente antes de los controles aguas abajo
• Proporcionar a las políticas de firewall existentes información sobre amenazas más actualizada.

Esto no convierte al firewall en un sistema de detección completo. Proporciona al firewall datos de decisión mejores y continuamente actualizados.

Lo que todavía hacen IPS, EDR y SIEM

IPS, EDR y SIEM operan en otras capas. Detectan patrones de explotación, comportamiento de procesos, actividad de endpoints, correlación de registros, anomalías o técnicas de ataque concretas. Estos controles siguen siendo importantes, especialmente para ataques nuevos, dirigidos o aún no observados.

Cybora complementa estas capas:

• IPS y WAF ven menos visitas repetidas conocidas cuando parte del tráfico se reduce antes.
• EDR sigue siendo responsable del comportamiento, la ejecución y el movimiento lateral de los puntos finales.
• SIEM y el registro mantienen su función de correlación, trazabilidad y respuesta a incidentes.
• El DNS y la seguridad web siguen siendo relevantes para el usuario, el navegador y el contexto de la aplicación.

Por lo tanto, un feed de amenazas no es un competidor de estos sistemas. Reduce la infraestructura conocida donde el firewall ya puede tomar decisiones.

Cómo se ve una buena implementación

Una buena implementación es controlada y verificable. Los administradores no deben activar ciegamente una lista y esperar que todo encaje. Es útil una implementación paso a paso:

1. Recupere la URL del feed y verifique el estado de HTTP.
2. Verifique la importación y la lista de población en el firewall.
3. Haga referencia primero al feed en una política con un alcance claro.
4. Observe los registros y las coincidencias durante un período significativo.
5. Si ocurren problemas, distinga entre formato, sondeo, licencia, política y falso positivo.

Los detalles de este proceso están documentados en Validación y solución de problemas.

Lo que deliberadamente no se promete

Ningún feed bloquea todos los ataques. Las nuevas infraestructuras, las campañas muy específicas o los ataques sin actividad observable previamente solo pueden evaluarse una vez que existen señales. La infraestructura legítima también debe tratarse con cautela porque el alojamiento compartido, las plataformas en la nube, las CDN y los servicios SaaS pueden causar daños colaterales.

Por lo tanto, Cybora no optimiza para el tamaño máximo de la lista, sino para la curación lista para el firewall. Más información sobre la evaluación del riesgo operativo está documentada en Policy Confidence.