La detecci\u00f3n de amenazas internas impulsada por IA trabaja para identificar amenazas internas utilizando una combinaci\u00f3n de an\u00e1lisis de comportamiento, aprendizaje autom\u00e1tico y detecci\u00f3n de anomal\u00edas. Las amenazas internas, que incluyen a insiders maliciosos, usuarios negligentes y empleados comprometidos, son un desaf\u00edo de seguridad importante ya que la amenaza ya tiene acceso leg\u00edtimo al entorno de una organizaci\u00f3n. Esto hace que estas amenazas sean dif\u00edciles de identificar utilizando soluciones de seguridad tradicionales, y el acceso privilegiado puede amplificar el impacto que la amenaza tiene en la organizaci\u00f3n.<\/p>\n\n\n\n
La IA ofrece el potencial de identificar y bloquear estos tipos de amenazas aprovechando la detecci\u00f3n de patrones y anomal\u00edas para captar las se\u00f1ales de advertencia de estos riesgos. Es especialmente efectiva cuando se implementa como parte de una arquitectura de Secure Access Service Edge (SASE)<\/a>, donde la visibilidad centralizada ofrece acceso a los datos que la IA necesita, y el Zero Trust Network Access (ZTNA)<\/a> integrado proporciona la capacidad de identificar y bloquear solicitudes an\u00f3malas y potencialmente maliciosas.<\/p>\n\n\n\n Las amenazas internas son un riesgo de seguridad potencial para la organizaci\u00f3n que ya tiene acceso leg\u00edtimo a sus sistemas, eliminando la necesidad de explotar vulnerabilidades o tomar otras acciones \u00abruidosas\u00bb para obtener ese primer punto de apoyo. Las amenazas internas vienen en diferentes formas, incluyendo insiders maliciosos, cuentas comprometidas y usuarios negligentes.<\/p>\n\n\n\n Estas amenazas internas son m\u00e1s dif\u00edciles de detectar que las externas, y factores como el trabajo remoto, la migraci\u00f3n a la nube y el acceso h\u00edbrido complican el problema. En este entorno, SASE es una herramienta invaluable, ofreciendo la capacidad de ver el tr\u00e1fico de usuarios, los patrones de acceso y los eventos de seguridad en un solo lugar.<\/p>\n\n\n\n No todas las amenazas internas intentan deliberadamente da\u00f1ar el negocio. Los tres tipos principales de amenazas internas incluyen:<\/p>\n\n\n\n Las amenazas internas pueden existir en cualquier parte de una organizaci\u00f3n, pero algunos roles comerciales son m\u00e1s riesgosos que otros. Por ejemplo, los desarrolladores con acceso a repositorios de c\u00f3digo, los profesionales financieros y el personal de recursos humanos tienen acceso a datos o recursos altamente sensibles que pueden causar impactos significativos en el negocio.<\/p>\n\n\n\n Adem\u00e1s, el concepto de \u00abamenaza interna\u00bb no se limita a los empleados que trabajan en el lugar. Con el trabajo remoto, los contratistas y el acceso de terceros, la parte de confianza podr\u00eda ser alguien f\u00edsicamente o organizacionalmente externo al negocio.<\/p>\n\n\n\n Los actores de amenazas que comienzan desde fuera de la organizaci\u00f3n necesitan realizar acciones ruidosas como explotar vulnerabilidades o realizar ataques de phishing para obtener un primer acceso. En contraste, las amenazas internas ya tienen este acceso, lo que les permite usar credenciales v\u00e1lidas y dispositivos aprobados para llevar a cabo sus ataques. Esto hace que su actividad parezca m\u00e1s leg\u00edtima, ya que est\u00e1n ejerciendo en gran medida los privilegios y permisos que ya tienen.<\/p>\n\n\n\n Para una amenaza interna, un ataque podr\u00eda implicar realizar m\u00e1s descargas de lo habitual o acceder gradualmente a m\u00e1s datos y aplicaciones nuevas. Estos tipos de actividades son f\u00e1ciles de descartar como benignas y pueden perderse en el ruido de las muchas alertas que los analistas de seguridad necesitan evaluar. El volumen de alertas tambi\u00e9n puede llevar a los equipos de SOC a ajustar configuraciones para ignorar estos tipos de amenazas de bajo nivel y posibles falsos positivos en favor de identificar los ataques m\u00e1s llamativos realizados por actores de amenazas externos.<\/p>\n\n\n\n Como resultado, los sistemas tradicionales pueden tener dificultades para identificar amenazas internas que no necesitan malware, explotaci\u00f3n de vulnerabilidades o acceso no autorizado para lograr sus objetivos. Gestionar estas amenazas requiere an\u00e1lisis de comportamiento dise\u00f1ados para identificar desviaciones del comportamiento normal de un usuario, cuenta o dispositivo particular.<\/p>\n\n\n\n SASE se define por la convergencia de la optimizaci\u00f3n de la red y la funcionalidad de SSE en una \u00fanica plataforma entregada en la nube. Esto ofrece informaci\u00f3n sobre el tr\u00e1fico de usuarios, decisiones de acceso, aplicaci\u00f3n de pol\u00edticas de seguridad y navegaci\u00f3n web a trav\u00e9s de toda la WAN corporativa.<\/p>\n\n\n\n Con esta centralizaci\u00f3n, es posible rastrear el comportamiento de un usuario a trav\u00e9s de todo el entorno de TI corporativo desde una \u00fanica soluci\u00f3n. Reemplazar soluciones de seguridad puntuales con una plataforma integrada tambi\u00e9n reduce el riesgo de perder amenazas debido a la falta de contexto o puntos ciegos entre herramientas de seguridad independientes. Este conjunto de datos completo y normalizado tambi\u00e9n es ideal para entrenar soluciones basadas en IA, ya que evita brechas de cobertura o problemas potenciales al correlacionar y traducir informaci\u00f3n a trav\u00e9s de diferentes herramientas y formatos.<\/p>\n\n\n\n En la pr\u00e1ctica, la detecci\u00f3n de amenazas internas impulsada por IA utiliza IA para buscar patrones y anomal\u00edas que indican la presencia de una amenaza potencial dentro del entorno de la organizaci\u00f3n. Las herramientas de IA pueden construir l\u00edneas base de comportamiento normal y luego identificar desviaciones de este comportamiento que podr\u00edan indicar un riesgo potencial para el negocio. Al destilar datos en bruto en se\u00f1ales de alta fidelidad, la IA reduce el volumen de alertas y la carga sobre los analistas humanos, protegiendo contra el agotamiento y acelerando la detecci\u00f3n y respuesta a incidentes.<\/p>\n\n\n\n La anal\u00edtica de comportamiento utiliza aprendizaje no supervisado para identificar l\u00edneas base de comportamiento normal para los usuarios. Con el tiempo, la IA monitorea datos sobre los tiempos de inicio de sesi\u00f3n del usuario, ubicaciones, dispositivos, aplicaciones accedidas, vol\u00famenes de transferencia de datos y combinaciones t\u00edpicas de recursos. A partir de esto, puede extraer patrones y una comprensi\u00f3n del comportamiento normal del usuario.<\/p>\n\n\n\n Con esta l\u00ednea base en su lugar, la IA puede pasar a identificar variaciones estad\u00edsticamente significativas del comportamiento normal del usuario. Por ejemplo, un usuario podr\u00eda acceder repentinamente a bases de datos que contienen datos sensibles de clientes cuando nunca lo ha hecho en el pasado.<\/p>\n\n\n\n Estas variaciones podr\u00edan ser benignas, potencialmente como resultado de una promoci\u00f3n o transferencia a un nuevo equipo. O podr\u00edan ser indicativas de una amenaza potencial. Si estas anomal\u00edas aumentan el puntaje de riesgo del usuario m\u00e1s all\u00e1 de un nivel particular, se informan para su revisi\u00f3n e investigaci\u00f3n. El resultado de esta investigaci\u00f3n puede luego ser retroalimentado a la IA, permitiendo que las l\u00edneas base evolucionen con el tiempo para reflejar cambios leg\u00edtimos en el comportamiento.<\/p>\n\n\n\n La anal\u00edtica de comportamiento de usuarios y entidades (UEBA) se centra en comprender y puntuar el comportamiento de los usuarios y entidades no humanas, como cuentas de servicio, servidores y dispositivos. UEBA recopila datos de diversas fuentes, y va m\u00e1s all\u00e1 del an\u00e1lisis de registros para analizar gr\u00e1ficos de relaciones entre usuarios y recursos, comparaciones con sus grupos de pares y tendencias a largo plazo.<\/p>\n\n\n\n UEBA es \u00fatil para la detecci\u00f3n de amenazas internas porque las desviaciones del comportamiento pasado de un usuario o del de su grupo de pares podr\u00edan indicar una amenaza potencial. UEBA tambi\u00e9n puede utilizar el aprendizaje autom\u00e1tico para agrupar comportamientos similares e identificar anomal\u00edas que podr\u00edan indicar un uso indebido o una violaci\u00f3n.<\/p>\n\n\n\n Las percepciones impulsadas por IA est\u00e1n dise\u00f1adas para asegurar que los analistas de seguridad humanos concentren su atenci\u00f3n en las amenazas m\u00e1s probables y significativas para el negocio. Los analistas reciben puntuaciones de riesgo, alertas priorizadas, cronolog\u00edas de eventos correlacionados y contexto como el rol del usuario y la criticidad del activo para una amenaza potencial a trav\u00e9s de paneles de SIEM, manuales de SOAR, sistemas de tickets y herramientas de gesti\u00f3n de casos.<\/p>\n\n\n\n Si una amenaza potencial es revisada y validada por un analista humano, el sistema puede implementar autom\u00e1ticamente diversas respuestas a ella. Por ejemplo, se puede requerir a los usuarios que realicen pasos adicionales de autenticaci\u00f3n o que est\u00e9n sujetos a pol\u00edticas de seguridad m\u00e1s estrictas. Durante el transcurso de la investigaci\u00f3n, los usuarios tambi\u00e9n pueden estar sujetos a restricciones temporales dise\u00f1adas para gestionar el riesgo hasta que se alcance un veredicto.<\/p>\n\n\n\n Los sistemas de an\u00e1lisis de comportamiento necesitan acceso a se\u00f1ales de alto valor para ayudar a identificar amenazas y diferenciarlas de actividades anormales pero benignas. Algunos ejemplos de datos que deber\u00edan ser recolectados en toda la empresa incluyen:<\/p>\n\n\n\n Con estas fuentes de datos, los sistemas de IA pueden identificar sistemas de comportamiento de alto valor, como accesos fuera de horario, combinaciones inusuales de recursos, descargas excesivas de datos o accesos desde ubicaciones inusuales. Esta informaci\u00f3n tambi\u00e9n puede correlacionarse con casos de uso comunes de insiders, como la exfiltraci\u00f3n de datos, la exploraci\u00f3n sigilosa, el abuso de privilegios y las violaciones de pol\u00edticas, para determinar el riesgo y los posibles impactos en la organizaci\u00f3n.<\/p>\n\n\n\n A nivel de red y nube, la IA necesita acceso a diversos datos para el an\u00e1lisis de comportamiento. Los datos clave de telemetr\u00eda a recopilar incluyen:<\/p>\n\n\n\n Combinar estos diversos puntos de datos puede ayudar a reconstruir el recorrido del usuario para un actor de amenaza interno. Por ejemplo, un usuario puede solicitar acceso a datos corporativos sensibles, realizar una gran descarga y luego mover los datos a una cuenta de nube personal.<\/p>\n\n\n\n Unir estas piezas requiere que la IA tenga acceso a datos completos y normalizados. Si los datos no est\u00e1n normalizados, carecen de contexto sobre los usuarios y dispositivos, o tienen lagunas, entonces los sistemas de IA pueden pasar por alto un posible incidente.<\/p>\n\n\n\n La identidad es una parte fundamental de la detecci\u00f3n de amenazas internas. Algunas de las se\u00f1ales clave incluyen:<\/p>\n\n\n\n Con estos datos de identidad, los sistemas de IA pueden ajustar din\u00e1micamente las puntuaciones de riesgo en funci\u00f3n de la amenaza percibida que un usuario representa para el negocio. Por ejemplo, muchos intentos fallidos de inicio de sesi\u00f3n o cambios en los privilegios justo antes del acceso a datos o aplicaciones sensibles representan un riesgo elevado. De manera similar, eventos inusuales, como intentos de acceso desde nuevos dispositivos o ubicaciones, deber\u00edan aumentar la puntuaci\u00f3n de riesgo.<\/p>\n\n\n\n Las se\u00f1ales de prevenci\u00f3n de p\u00e9rdida de contenido y datos (DLP) se centran en los recursos que una amenaza interna podr\u00eda atacar. Las se\u00f1ales comunes incluyen:<\/p>\n\n\n\n Con las l\u00edneas base establecidas, una IA puede ayudar a identificar signos tempranos de exfiltraci\u00f3n y diferenciarla del uso leg\u00edtimo y normal. Por ejemplo, un sistema podr\u00eda encontrar que un usuario realiz\u00f3 descargas significativas de datos sensibles poco antes de renunciar o justo despu\u00e9s de la terminaci\u00f3n.<\/p>\n\n\n\n El contexto de la pol\u00edtica tambi\u00e9n puede desempe\u00f1ar un papel significativo, donde las acciones pueden ser permitidas incluso cuando se consideran \u00abarriesgadas\u00bb. Por ejemplo, se puede permitir a un usuario descargar grandes vol\u00famenes de datos de la base de datos de clientes; sin embargo, el acto de hacerlo aumenta su puntuaci\u00f3n de riesgo y la probabilidad de investigaci\u00f3n.<\/p>\n\n\n\n El modelo de seguridad Zero Trust se centra en gestionar la exposici\u00f3n al riesgo eliminando la confianza impl\u00edcita dentro de una organizaci\u00f3n. Esto se alinea bien con la detecci\u00f3n de amenazas internas, ya que los internos son los que m\u00e1s probablemente son los que gozan de confianza impl\u00edcita por parte de la empresa.<\/p>\n\n\n\n SASE apoya la detecci\u00f3n de amenazas internas impulsada por IA al ofrecer los datos necesarios para identificar amenazas y las herramientas necesarias para hacer cumplir los controles de acceso de menor privilegio y las pol\u00edticas de seguridad corporativa. La visibilidad centralizada de las operaciones en la red corporativa mejora la detecci\u00f3n de amenazas, y herramientas como la verificaci\u00f3n continua y la segmentaci\u00f3n de la red ofrecen la capacidad de monitorear continuamente las sesiones de usuario e intervenir cuando el riesgo crece demasiado.<\/p>\n\n\n\n\u00bfC\u00f3mo evolucionan las amenazas internas en entornos SASE modernos?<\/h2>\n\n\n\n
\u00bfQu\u00e9 tipos de amenazas internas son m\u00e1s relevantes hoy en d\u00eda?<\/h3>\n\n\n\n
\n
Por qu\u00e9 las Amenazas Internas son Dif\u00edciles de Detectar con Herramientas Tradicionales<\/h3>\n\n\n\n
\u00bfC\u00f3mo Mejora SASE la Visibilidad para el Riesgo Interno?<\/h3>\n\n\n\n
\u00bfQu\u00e9 es la detecci\u00f3n de amenazas internas impulsada por IA en la pr\u00e1ctica?<\/h2>\n\n\n\n
\u00bfC\u00f3mo funcionan las l\u00edneas base de comportamiento y la detecci\u00f3n de anomal\u00edas?<\/h3>\n\n\n\n
El papel de la anal\u00edtica de comportamiento de usuarios y entidades (UEBA)<\/h3>\n\n\n\n
\u00bfC\u00f3mo son operacionalizadas las percepciones impulsadas por IA por los equipos de seguridad?<\/h3>\n\n\n\n
\u00bfQu\u00e9 se\u00f1ales de comportamiento y fuentes de datos son las m\u00e1s importantes?<\/h2>\n\n\n\n
\n
\u00bfQu\u00e9 telemetr\u00eda de red y nube necesita la IA?<\/h3>\n\n\n\n
\n
\u00bfC\u00f3mo influyen las se\u00f1ales de identidad y acceso en las puntuaciones de riesgo interno?<\/h3>\n\n\n\n
\n
\u00bfQu\u00e9 papel juegan las se\u00f1ales de prevenci\u00f3n de p\u00e9rdida de contenido y datos?<\/h3>\n\n\n\n
\n
\u00bfC\u00f3mo se integra la detecci\u00f3n de amenazas internas impulsada por IA en SASE y Zero Trust?<\/h2>\n\n\n\n
\u00bfC\u00f3mo apoyan los principios de Zero Trust a los programas de amenazas internas?<\/h3>\n\n\n\n