Cada correo electrónico denunciado se investiga por usted: las amenazas confirmadas desaparecen en cuestión de minutos

Según un estudio realizado por Omdia y Microsoft, el 42% de las alertas no se investigan en absoluto, sobre todo fuera del horario laboral, cuando las colas de amenazas permanecen sin atender durante la noche. Los incidentes de seguridad se producen precisamente en la brecha existente entre lo que se detecta y lo que se investiga. Mimecast Managed Threat Response cubre esa carencia, ofreciendo un servicio modernizado disponible las 24 horas del día, los 7 días de la semana, que se encarga por usted de la cola de correos electrónicos notificados por los usuarios.

El problema: una cola que crece más rápido que el número de empleados

Los casos de phishing denunciados por los usuarios se sitúan precisamente en ese vacío problemático en el que reside el riesgo. A medida que los programas de gestión de comportamientos de seguridad van madurando y los empleados mejoran su capacidad para detectar correos electrónicos sospechosos, aumenta el volumen de correos electrónicos denunciados. Ese es el resultado deseado —más ojos y más notificaciones—, pero plantea un problema de segundo orden: un buzón de denuncias de abusos que se llena más rápido de lo que cualquier centro de operaciones de seguridad (SOC) puede gestionar manualmente, y la mera contratación de más personal no bastará para subsanar esa deficiencia.

La mayoría de los equipos reaccionan igual que ante cualquier cola que no puedan liquidar: le quitan prioridad. Los informes se agrupan por franjas horarias laborables, se remiten a analistas junior o se revisan únicamente cuando alguien eleva el asunto a un nivel superior. La mayoría de los SOC siguen careciendo de una estrategia coherente para gestionar los datos que llegan a sus herramientas, y los estudios del sector revelan que más de la mitad de los equipos de seguridad se describen a sí mismos como desbordados por el volumen de alertas; no es que carezcan de recursos en un sentido abstracto, sino que, desde el punto de vista estructural, se ven desbordados.

Ese desequilibrio se ve agravado por el hecho de que la mayoría de las colas notificadas por los usuarios no incluyen ningún proceso de enriquecimiento automatizado: ni comprobación de la reputación del remitente, ni correlación entre clientes, ni comparación de similitudes con una campaña conocida. Cada informe requiere que una persona empiece desde cero. El volumen aumenta. El contexto se mantiene sin cambios. El resultado es una cola compuesta en su mayor parte por solicitudes inofensivas mezcladas con un pequeño número de amenazas reales, y no existe una forma fiable de distinguirlas con la rapidez que exige la cola.

Cómo es una buena defensa

La solución no consiste en elegir entre la automatización y los analistas, sino en combinarlos de forma adecuada. La detección, la clasificación y la corrección son tres tareas distintas, y tratarlas como si fueran una sola hace que el sistema se colapse ante el volumen de trabajo. La inteligencia artificial resulta muy adecuada para las dos primeras tareas: clasificar un correo electrónico notificado, compararlo con los patrones de campaña conocidos y destacar el pequeño porcentaje que requiere la intervención humana. Lo que no se debe dejar en manos de la IA es la corrección de errores, la decisión de bloquear a un remitente o la actualización de la lógica de detección basándose en el resultado confirmado de un algoritmo. En la encuesta de Torq sobre seguridad y confianza en la IA, el 34% de los equipos de SOC señalaron el exceso de revisión humana como su principal motivo de queja en relación con la clasificación de incidencias mediante IA, mientras que las conclusiones poco fiables fueron el principal motivo de queja en lo que respecta a las investigaciones impulsadas por IA. Los equipos que están reduciendo la brecha en la investigación son aquellos que establecen esa división del trabajo de forma deliberada: la automatización se encarga del volumen, los analistas se ocupan de las decisiones discrecionales y el ciclo entre «hemos detectado esta amenaza» y «nuestra lógica de detección ya tiene constancia de ella» se mantiene muy ajustado.

El enfoque de Mimecast

Mimecast Managed Threat Response se basa precisamente en esa secuencia, pero la razón por la que reduce el retraso más rápidamente que una cola gestionada manualmente radica en los cambios que se han producido «entre bastidores». El servicio funciona con una arquitectura de corrección totalmente nueva: nuestra IA propia clasifica cada correo electrónico notificado por los usuarios en el momento mismo en que se recibe, sin seguir un horario fijo ni procesarse por lotes durante la noche, y solo deriva las amenazas confirmadas a un operador humano. A continuación, los analistas del Centro de Operaciones de Seguridad de Mimecast dan curso a dichas confirmaciones las 24 horas del día, los 7 días de la semana, bloqueando al remitente o al dominio, eliminando toda una campaña en todo el entorno del cliente y actualizando la lógica de detección en función del resultado, de modo que las medidas correctivas se aplican en cuestión de minutos, en lugar de permanecer en una cola a la espera de que alguien se ocupe de ellas.

Esa velocidad se va acumulando con el tiempo hasta convertirse en algo más potente. La lógica de detección mejora continuamente a medida que se identifican amenazas confirmadas en la base de más de 42 000 clientes de Mimecast, lo que significa que lo que el centro de operaciones de seguridad (SOC) de una organización confirma como amenaza mejora la detección para todos los demás usuarios de la plataforma. Una campaña detectada en una empresa estrecha el cerco sobre todas ellas, antes incluso de que la mayoría de los SOC hayan terminado de evaluar el primer aviso.

Para su equipo de seguridad interna, el cambio operativo es igualmente deliberado: no hay que aprender a utilizar ninguna consola nueva, no hay que ajustar ningún modelo de IA y no hay que financiar la contratación de más analistas. El resultado se muestra en el panel de control, no en la carga de trabajo. El servicio «Managed Threat Response» se integra en el botón de notificación y en el flujo del buzón de denuncias ya existentes del cliente, por lo que nada cambia para los empleados que denuncian correos electrónicos sospechosos; lo que cambia es lo que ocurre con esa denuncia una vez enviada. Además, se trata del primero de una amplia gama de servicios gestionados que Mimecast tiene previsto lanzar al mercado, ampliando esta misma secuencia de «detección, clasificación y corrección» más allá de la cola de correos electrónicos notificados.

¿En qué situación queda esto para los equipos de seguridad?

La brecha en la investigación no se está cerrando por sí sola, y ajustar el sistema para conseguir una cola más silenciosa solo supone cambiar visibilidad por silencio. Si su SOC clasifica manualmente los correos electrónicos notificados, procesa la cola por lotes durante la noche o recurre a analistas junior para poder mantener el ritmo, merece la pena preguntarse cuántas de esas notificaciones están siendo objeto de un segundo análisis en profundidad y cuántas permanecen exactamente donde un atacante querría que estuvieran. Consulte con su equipo de Mimecast sobre el servicio «Managed Threat Response» para descubrir cómo la clasificación de incidencias acelerada por IA y la corrección confirmada por analistas pueden subsanar esa deficiencia en su entorno. ¿Aún no es cliente de Mimecast? Obtenga más información sobre la respuesta gestionada ante amenazas o solicite un presupuesto para ver cómo se adapta a su entorno.