Por qué las organizaciones necesitan orquestación de seguridad
Los entornos corporativos son cada vez más complejos. Las organizaciones ahora tienen una amplia variedad de sistemas distribuidos en el centro de datos local y la implementación basada en la nube. El aumento del trabajo remoto complica aún más la cuestión, ya que los empleados trabajan desde dispositivos personales y móviles.
Asegurar el entorno empresarial moderno requiere soluciones de seguridad que puedan defender múltiples plataformas contra una amplia gama de vectores de ataque. En la mayoría de los casos, las organizaciones han optado por implementar soluciones de seguridad independientes para abordar casos de uso específicos.
El problema con este enfoque es que los equipos de seguridad se ven abrumados por una avalancha de alertas de seguridad y luchan por gestionar y monitorear de manera efectiva sus complejas arquitecturas de ciberseguridad. La orquestación de seguridad ayuda a abordar este problema al agilizar y automatizar la detección y respuesta de amenazas.
SOAR frente a SIEM frente a XDR
Entre las muchas herramientas diferentes utilizadas en los centros de operaciones de seguridad típicos, tres de las principales herramientas utilizadas son SIEM y SOAR heredadas y las herramientas XDR de tendencia reciente.
Una herramienta de gestión de eventos e información de seguridad (SIEM) combina datos de diferentes fuentes y utiliza análisis para detectar las amenazas más probables.
Las soluciones SOAR están diseñadas para incorporar muchos módulos, regularmente de diferentes proveedores. Permiten a las empresas racionalizar las operaciones de seguridad en algunas áreas: administración de ataques, respuesta y automatización de operaciones de seguridad.
Las herramientas de detección y respuesta extendidas (XDR) asimilan la visibilidad de la seguridad en toda la organización de las empresas, incluida puerta de enlace, terminal, nube, dispositivos móviles e IoT, para identificar amenazas avanzadas y distribuidas, aprovechar el análisis de datos y la inteligencia sobre amenazas, y responder automáticamente a ataques reconocidos. XDR crea el contexto y los flujos para que el analista apoye el triaje de incidentes, la investigación y la rápida corrección.
Donde SIEM se queda corto
A pesar de sus diversos beneficios, los SIEM no son soluciones ideales para los desafíos que enfrentan los analistas del Centro de Operaciones de Seguridad (SOC). Algunas de las limitaciones más destacadas de los SIEM incluyen dedicar una gran cantidad de tiempo a configurar e integrar una solución SIEM con la arquitectura de seguridad actual. Las capacidades de detección de amenazas se basan principalmente en reglas, faltan nuevos ataques o no siguen un patrón establecido. Además, las alertas se generan en función de los datos agregados de varias soluciones en una organización. Sin embargo, la validación no se realiza, creando detecciones de falsos positivos.
La principal desventaja de un SIEM es su falta de capacidad para elaborar la “historia del ataque” completa y visualizarla de manera procesable para el analista. En cambio, los registros solo se están correlacionando, dejando que el analista determine por qué se correlacionaron los eventos y qué sucedió.
Los beneficios y limitaciones de SOAR
Las soluciones SOAR están diseñadas para integrar múltiples componentes de seguridad, a menudo de diferentes proveedores. Una pila de herramientas de seguridad compatibles permite a las empresas recopilar datos sobre ataques y responder a ellos sin intervención humana. El objetivo principal de la herramienta SOAR es aumentar la eficacia de las operaciones de seguridad. Los principales mecanismos de las herramientas SOAR son la orquestación de seguridad, la automatización y la respuesta.
Independientemente de sus beneficios, las herramientas SOAR carecen de API disponibles y tienen algunos problemas de unificación de datos y un flujo de trabajo independiente de la acción de detección. SOAR recibe entradas de muchos dispositivos, pero no tiene un punto de control: una terminal, puerta de enlace, solución de correo electrónico, etc. Además, los usuarios testifican que se necesita un trabajo serio para lograr todo el potencial de SOAR en muchos proveedores.
Pasando a XDR
Para las organizaciones medianas, XDR ofrece una alternativa a la costosa y complicada pila SIEM/SOAR utilizada por las grandes empresas. XDR está bien posicionado como una alternativa a las soluciones limitadas disponibles en la actualidad.
Para estas organizaciones que buscan un enfoque práctico, XDR es una plataforma única que puede hacer todo: comenzando con un enfoque de prevención primero, detección, investigación, búsqueda de amenazas, respuesta y remediación.
Para organizaciones maduras que ya cuentan con soluciones de seguridad de múltiples proveedores, incluido SIEM, etc., XDR proporcionará API para utilizar sus capacidades y beneficios además de la pila existente. Una solución SOAR puede funcionar para las organizaciones más destacadas si tienen recursos para la integración, el desarrollo de libros de jugadas, etc.
Implementación de operaciones de seguridad con Check Point
With Check point’s Infinity XDR/XPR you will be able to use a single application across all vectors to maximize ROI and operational efficiency. It allows you to use a single SaaS solution to detect, investigate, hunt, respond to attacks across all threat vectors, and leverage your existing Check Point security stack by reusing the infrastructure for detection and response.
También es sencillo de incorporar, ya que se integra con su ecosistema actual, incluida cualquier plataforma SIEM/SOAR. Las soluciones de Check Point Security Operations ofrecen un conjunto de API para clientes de SIEM y SOAR. Además, se proporcionan libros de jugadas automatizados para optimizar y acelerar la respuesta a incidentes y aplicar una corrección efectiva con un solo clic, integrados con las principales plataformas SOAR para un flujo de proceso sin problemas de extremo a extremo.
Comentarios