Seguridad web: Proteja sus datos en la nube

Transcripción

1 Informe técnico Seguridad web: Proteja sus datos en la nube Lo que aprenderá Los equipos de seguridad no pueden estar en todos lados, pero el panorama actual exige que las organizaciones defiendan sus datos dondequiera que pueda manifestarse una amenaza. En cualquier lugar incluye redes, dispositivos móviles, entornos virtuales, y la nube o un centro de datos. Las amenazas actuales están diseñadas para penetrar cualquier defensa. Los adversarios están trabajando activamente para comprender qué tipo de soluciones de seguridad se implementan. Y están adoptando patrones de comportamiento menos visibles y detectables. Según el Informe anual de seguridad de Cisco 2014, la mayoría de estos actores tienen una misión principal: robar datos de gran valor. 1 Mientras tanto, el aumento de empresas distribuidas y el surgimiento de nuevos modelos comerciales, como la computación en la nube, la movilidad y los entornos BYOD, han erosionado el perímetro de seguridad tradicional y están ampliando la superficie de ataque. A los equipos de seguridad les está costando seguir este ritmo. No saben cómo clasificar las amenazas para investigarlas por orden de prioridad y están pasando por alto muchas amenazas que simplemente no pueden ver. Es fácil comprender por qué las soluciones de seguridad preventivas que se centran en un momento determinado no pueden brindar protección adecuada para las empresas modernas. Por supuesto, ningún método de detección es perfecto, y es inevitable que algunas amenazas sean lo suficientemente sofisticadas y furtivas como para penetrar todas las capas de una defensa. Qué se necesita? Seguridad continua y retrospectiva diseñada para cubrir toda la secuencia del ataque: antes, durante y después de este. Figura 1. La secuencia del ataque 1 Informe anual de seguridad de Cisco 2014: Cisco y/o sus filiales. Todos los derechos reservados. Este documento es información pública de Cisco. Página 1 de 7

2 Cisco Cloud Web Security Essentials Cisco Cloud Web Security (CWS) permite a las organizaciones afrontar el desafío de mantener una seguridad continua en toda la red extendida. La solución les ofrece a las empresas distribuidas diversas capacidades de seguridad y control que son líderes en el sector, además de brindar el más amplio conjunto de opciones de implementación disponible. Una versión de Cisco Web Security basada en la nube, la plataforma Cloud Web Security extiende la seguridad web a los dispositivos móviles y a los entornos distribuidos. Preserva la seguridad de los usuarios valiéndose de la inteligencia de amenazas internacional de Cisco, capacidades de defensa contra amenazas avanzadas y protección de usuarios itinerantes. Cloud Web Security incluye herramientas intuitivas para crear, aplicar y supervisar la política web entrante y saliente en la red, lo que otorga a las empresas el control completo sobre cómo los usuarios finales acceden a los contenidos de Internet. En resumen, Cloud Web Security es un perímetro de seguridad en la nube. Permite la aplicación y el control minucioso de políticas contextuales. Además: Bloquea amenazas dinámicamente en tiempo real. Protege a los usuarios y la red de contenidos web no deseados. Optimiza recursos de red al reducir la congestión de ancho de banda. Permite habilitar funciones totales de generación de informes y supervisión de la actividad en línea Protege a la organización de posibles filtraciones de datos. Cloud Web Security se integra con los firewalls, los routers de sucursal y el software basado en clientes de Cisco para brindar protección en cualquier lugar en donde los usuarios trabajen. Todo el tráfico, ya sea originado por las oficinas centrales, las sucursales o por usuarios móviles o remotos, se enruta a través de una red global de centros de datos. Cloud Web Security elimina el backhaul, acelera la implementación de la seguridad web y permite extender el valor de las inversiones existentes en productos Cisco. Con las recientes adquisiciones de las empresas de seguridad Sourcefire y Cognitive Security, Cisco ahora puede ofrecer una versión mejorada de Cloud Web Security para frustrar amenazas avanzadas de malware, en especial la fase posterior de la secuencia del ataque, y mejorar la detección de amenazas en tiempo real durante el ataque en sí. Cisco ofrece esta solución mediante una suscripción Premium opcional, que se describe a continuación. Cloud Web Security Premium El paquete Premium de Cloud Web Security incluye todas las funciones del paquete Essential, pero además incorpora dos innovadores sistemas de detección de malware: Cognitive Threat Analytics (CTA) y Advanced Malware Protection (AMP). Estos sistemas automatizan la búsqueda de amenazas de alto riesgo en el tráfico web de una organización. Cloud Web Security Premium brinda protección adicional en un momento específico, seguridad retrospectiva y análisis continuo para ayudar a las organizaciones a encontrar y abordar las amenazas más importantes. También reduce el tiempo de detección de las amenazas que ya están operando en sus redes. Los equipos de seguridad ahora pueden brindar una seguridad web continua que protege los sistemas en todo el proceso de ataque. A continuación, se incluye una descripción más detallada de estos dos sistemas de detección de software malicioso Cisco y/o sus filiales. Todos los derechos reservados. Este documento es información pública de Cisco. Página 2 de 7

3 Cognitive Threat Analytics Cognitive Threat Analytics, o CTA, es un sistema desarrollado por Cognitive Security que analiza el comportamiento de la red casi en tiempo real. Utiliza aprendizaje automático y estadísticas avanzadas para detectar actividad inusual en una red: los síntomas de una infección. La solución no depende de conjuntos de reglas, lo cual significa que no se requiere intervención humana para ajustar la tecnología. Una vez que se habilita CTA, el sistema comienza a buscar amenazas de inmediato. Los datos se correlacionan en la nube para incrementar la velocidad, la agilidad y la profundidad de las capacidades de detección de anomalías de CTA. Figura 2. Descripción general de CTA CTA aprende de lo que ve. Se adapta con el tiempo para identificar nuevos canales de mando y control no detectados anteriormente por el sector de seguridad. Evalúa el comportamiento de entidades (por ejemplo, usuarios individuales) en la red y utiliza modelos de comportamiento para predecir cómo deberían comportarse esas entidades. CTA emplea un modelado del comportamiento de la red a largo plazo para establecer una correlación entre actividades aparentemente dispares. Luego compara los datos correlacionados con el comportamiento de los usuarios individuales en la red específica del cliente para poder detectar amenazas más rápido. No importa el tipo de amenaza detectada. Si hay una discrepancia considerable o sostenida con el comportamiento esperado, CTA la identifica. Las acciones de CTA son como las de un equipo de seguridad que intenta identificar a un ladrón antes de que tenga la posibilidad de robar: qué hace esa persona que sea diferente de lo que hacen otros compradores? Lleva una bolsa grande en lugar de un carrito de compras? Quiere salir por la puerta trasera en lugar de la principal? Aunque la conducta sospechosa termine siendo legítima, vale la pena investigar Cisco y/o sus filiales. Todos los derechos reservados. Este documento es información pública de Cisco. Página 3 de 7

4 CTA detecta anomalías y luego orienta a los analistas de seguridad hacia problemas potenciales, lo cual ayuda a reducir el volumen de trabajo y permite abordar las amenazas siguiendo un orden de prioridades. También complementa la tecnología de seguridad existente de Cisco y hace que estas soluciones sean más precisas y más capaces de detectar comportamientos desconocidos o infrecuentes en la red. De esta manera, las capacidades de seguridad de Cisco se extienden en el después del proceso de ataque. Aún más importante es que CTA ayuda a brindar seguridad que evoluciona con el cambiante panorama de amenazas. Protección contra malware avanzado El segundo sistema de detección presente en Cloud Web Security Premium es Advanced Malware Protection (AMP) de Sourcefire. AMP no depende de firmas de software malicioso, que pueden tardar semanas o meses en crearse para cada muestra nueva de software malicioso. En su lugar, emplea una combinación de reputación, sandboxing y análisis retrospectivo de archivos para identificar y detener amenazas en todo el proceso de ataque. Reputación de archivos Reputación de archivos es la capacidad de buscar en bases de datos de archivos para determinar si se trata de un archivo limpio, conocido como software malicioso, o desconocido. AMP captura una huella o identificación de cada uno de los archivos mientras atraviesan el servicio Cloud Web Security y consulta la red de inteligencia colectiva basada en la nube de Cisco y Sourcefire para obtener un veredicto de reputación o calificación. Con estos resultados, AMP luego puede bloquear automáticamente los archivos maliciosos y aplicar políticas definidas por el administrador. La Figura 3 muestra los diferentes motores que trabajan en tiempo real para detectar software malicioso avanzado y determinar la reputación de los archivos. Figura 3. Protección contra malware avanzado Sandboxing de archivos El sandboxing de archivos es una función crítica de AMP y, en última instancia, de Cloud Web Security Premium. Con el sandboxing de archivos, AMP analiza los archivos desconocidos que atraviesan la red. En un entorno de sandboxing altamente seguro, AMP averigua detalles precisos sobre el comportamiento de un archivo y combina esos datos con análisis detallados hechos por seres humanos y por máquinas para determinar el nivel de amenaza del archivo. Esta información luego se introduce en la red de inteligencia colectiva basada en la nube de Cisco y Sourcefire, y se utiliza para actualizar dinámicamente el conjunto de datos en la nube de AMP. La generación activa de informes les permite a los equipos de seguridad visualizar análisis muy informativos y fáciles de leer sobre los archivos procesados Cisco y/o sus filiales. Todos los derechos reservados. Este documento es información pública de Cisco. Página 4 de 7

5 Revisión retrospectiva de archivos Quizás el aspecto más importante de AMP gire en torno a sus capacidades de análisis retrospectivos, que brindan a las organizaciones la capacidad de retroceder en el tiempo para identificar el momento en que se produjo un brote y después evaluar los daños. La retrospección de archivos proporciona un análisis continuo de archivos que han atravesado la gateway de seguridad, utilizando actualizaciones en tiempo real de la red de inteligencia basada en la nube de Cisco y Sourcefire. Figura 4. Proceso de análisis retrospectivo de AMP En ocasiones, el análisis retrospectivo revela que un archivo que se consideró limpio al atravesar las defensas perimetrales en realidad era un malware avanzado con un buen disfraz. AMP alerta de inmediato al administrador de seguridad e identifica a los usuarios de la red que podrían haberse infectado y en qué momento. Los equipos de seguridad pueden abordar el ataque rápidamente, antes de que tenga la posibilidad de propagarse. Conclusión Cloud Web Security Premium con CTA y AMP está alineado con la estrategia de Cisco de ayudar a las organizaciones a afrontar desafíos de seguridad conocidos y emergentes. Las ayuda a detectar, comprender y detener las amenazas. El análisis continuo y la inteligencia de seguridad en tiempo real se entregan desde la nube y se comparten entre todas las soluciones de seguridad para mejorar su eficacia. La combinación de estas tres soluciones les permite a las organizaciones identificar nuevos canales de mando y control hasta entonces no detectados por el sector de seguridad, y superar desafíos de seguridad en todo el proceso de ataque Cisco y/o sus filiales. Todos los derechos reservados. Este documento es información pública de Cisco. Página 5 de 7

6 Figura 5. Cloud Web Security con AMP y el CTA: Seguridad en toda la secuencia del ataque Antes: descubre, aplica, refuerza Cloud Web Security ofrece reputación web, controles de uso, controles para aplicaciones (incluidas microaplicaciones), firmas de software malicioso e inteligencia de brotes que brindan seguridad tanto antes como durante un ataque Cisco y/o sus filiales. Todos los derechos reservados. Este documento es información pública de Cisco. Página 6 de 7

7 Durante: detecta, bloquea, defiende AMP aumenta la seguridad durante un ataque con sus capacidades de reputación de archivos y sandboxing de archivos. Bloquea automáticamente los archivos maliciosos y aplica políticas definidas por el administrador según la reputación conocida de un archivo. También analiza los archivos desconocidos que atraviesan la red y actualiza la inteligencia de amenazas en consecuencia. Estas capacidades ayudan a los analistas de seguridad a clasificar las amenazas por orden de prioridad para investigarlas. Después: define alcance, contiene, corrige Tanto CTA como AMP permiten análisis y correcciones continuos en la crítica etapa posterior a un ataque. CTA brinda análisis del comportamiento de la red en tiempo real para identificar comportamientos anómalos en la red. El análisis retrospectivo de archivos de AMP, por su parte, aborda el problema de los archivos maliciosos que atraviesan las defensas perimetrales. Las capacidades de generación activa de informes de AMP proporcionan visibilidad de la reputación y el comportamiento de los archivos que han ingresado en la red. Los equipos de seguridad pueden identificar y evaluar más fácilmente el alcance del ataque y corregir el daño con rapidez. El aprendizaje automático que se logra con CTA y AMP después de un ataque se utiliza luego para mejorar las capacidades de detección en cuasi tiempo real que Cloud Web Security Premium aplica durante un ataque. Para más información Para obtener más información sobre Cisco Cloud Web Security Essentials y Cloud Web Security Premium, visite Para obtener más información sobre CTA, consulte Para obtener más información sobre AMP, visite Impreso en EE. UU. C / Cisco y/o sus filiales. Todos los derechos reservados. Este documento es información pública de Cisco. Página 7 de 7