¿Qué es MDR?
No todas las organizaciones tienen los recursos para alojar a un maduro centro de operaciones de seguridad (SOC) en casa. Al asociarse con un proveedor de MDR, una organización subcontratará algunas de sus responsabilidades de seguridad a un proveedor externo. Algunos de los servicios que generalmente ofrece un proveedor de MDR incluyen:
- Investigación de alerta: Los equipos de seguridad con frecuencia se ven abrumados por los enormes volúmenes de alertas generadas por las soluciones de seguridad. Un proveedor de MDR investigará las alertas para determinar si son verdaderas amenazas o falsos positivos mediante el aprendizaje automático, el análisis de datos y la investigación humana.
- Triaje de incidentes: La respuesta rápida a incidentes críticos es esencial para minimizar el costo y el impacto en la organización. Los proveedores de MDR clasificarán los eventos de seguridad para que primero se aborden los problemas más importantes.
- Remediación: Minimizar el impacto de una intrusión requiere una respuesta rápida por parte de un equipo experto en respuesta a incidentes. Un proveedor de MDR remediará de forma remota los incidentes dentro de los entornos de sus clientes, minimizando sus impactos.
- Caza proactiva de amenazas: Algunas amenazas pueden evadir las defensas de una organización y obtener acceso a los sistemas corporativos. Los cazadores de amenazas proactivos buscarán en el entorno de una organización señales de un ataque perdido y lo remediarán.
Asociarse con un proveedor de MDR puede proporcionar beneficios significativos a una organización, tales como:
- Acceso a la experiencia en seguridad: La brecha de habilidades de ciberseguridad significa que muchas organizaciones están operando con equipos de seguridad con poco personal y una falta de acceso a conocimientos especializados. MDR proporciona un equipo de seguridad con personal completo y acceso a especialistas cuando sea necesario.
- Detección avanzada de amenazas: Los proveedores de MDR tienen un sofisticado conjunto de herramientas con soluciones de vanguardia. Esto les permite detectar y remediar ataques sofisticados y sutiles por amenazas persistentes avanzadas (APT).
- Identificación rápida de amenazas: Muchos incidentes de ciberseguridad pasan desapercibidos durante mucho tiempo, lo que amplifica el impacto y el costo para el negocio. Los proveedores de MDR ofrecen tiempos de respuesta y detección respaldados por acuerdo de nivel de servicio (SLA).
- Programa de seguridad para adultos: Un proveedor de MDR puede permitir que una organización implemente un programa de seguridad maduro con menores costos y requisitos de recursos de lo que es posible internamente. El costo compartido entre la base de clientes de un proveedor reduce el costo total de propiedad (TCO) de la detección de amenazas las 24 horas del día, los 7 días de la semana y la respuesta por parte de un equipo de seguridad experto.
¿Qué es SIEM?
Las diversas soluciones de seguridad implementadas en la infraestructura de una organización ingieren datos, identifican amenazas y generan alertas. Sin embargo, estas soluciones comúnmente tienen visibilidad limitada y solo pueden ver una pequeña pieza del rompecabezas general. Como resultado, muchas de estas alertas pueden ser falsos positivos debido a información incompleta.
Un SIEM recopila datos de todas estas soluciones de seguridad, los agrega, los normaliza y analiza los datos normalizados. En función de su análisis y otras fuentes de datos, como fuentes de inteligencia sobre amenazas o políticas de seguridad corporativas, un SIEM genera alertas y datos de seguridad basados en una visión más amplia de la postura de seguridad actual de la organización.
El acceso de un SIEM a los datos de seguridad de toda la organización y las alertas que genera se pueden utilizar para diferentes propósitos, que incluyen:
- Detección y análisis de amenazas: Un SIEM analiza los datos de seguridad y genera alertas basadas en esta información. Estas alertas pueden permitir que el equipo de seguridad de una organización identifique y analice posibles amenazas para la organización.
- Análisis forense digital y caza de amenazas: Los analistas forenses y los cazadores de amenazas necesitan acceso a datos detallados sobre los sistemas que están investigando. Un SIEM ya ha recopilado, agregado y analizado estos datos, haciéndolos mucho más accesibles para un investigador.
- Cumplimiento normativo: Demostrar el cumplimiento normativo requiere la capacidad de demostrar que existen ciertos controles de seguridad y que no se han producido infracciones. El rico conjunto de datos de seguridad de un SIEM puede simplificar y agilizar el proceso de generación de informes de cumplimiento.
Un SIEM puede ser una herramienta poderosa, pero debe usarse correctamente. Algunas de las principales limitaciones de un SIEM incluyen:
- Operación humana: Un SIEM puede amplificar la eficacia del equipo de seguridad de una organización, pero requiere operadores capacitados. Si una organización carece de un equipo de seguridad interno, un SIEM proporcionará pocos beneficios.
- Integración compleja: Un SIEM está diseñado para recopilar datos de varias soluciones de seguridad, pero primero debe estar conectado a estas soluciones. Configurar un SIEM para recopilar los datos que una organización necesita puede llevar mucho tiempo y requiere importantes conocimientos y experiencia en seguridad.
- Detección basada en reglas: Los SIEM identifican las amenazas en gran medida basándose en patrones y reglas predefinidos. Esto significa que un SIEM puede pasar por alto amenazas nuevas y requiere que el personal de seguridad cree estas reglas.
- Falta de validación de alertas contextualizadas: Un SIEM puede aprovechar la agregación de datos y el contexto adicional para disminuir el volumen de alertas que debe abordar un equipo de seguridad. Sin embargo, un SIEM no valida las alertas, por lo que aún puede generar falsos positivos que requieran mayor investigación.
MDR frente a SIEM
Tanto MDR como SIEM están diseñados para permitir que el equipo de seguridad de una organización escale para cumplir con sus responsabilidades. Sin embargo, las dos soluciones lo hacen de diferentes maneras.
Una solución SIEM logra esto al sintetizar las numerosas alertas de seguridad generadas por las soluciones de seguridad de una organización en un conjunto más pequeño de alertas de mayor calidad, pero potencialmente falsas positivas. El equipo de seguridad de una organización sigue siendo responsable de mantener y operar el SIEM e investigar y responder a las alertas.
MDR, por otro lado, simplifica la seguridad al subcontratar las responsabilidades a un equipo de terceros. Este equipo investiga alertas, trializa eventos, remedia incidentes y realiza una búsqueda proactiva de amenazas. Si bien una organización aún puede tener un equipo de seguridad interno, está respaldado por el equipo de especialistas capacitados del proveedor.
Elija la solución adecuada para su negocio
La elección correcta entre SIEM y MDR depende de las necesidades de una organización y del tamaño y madurez de su equipo de seguridad. Un equipo capacitado que solo necesita escalar podría beneficiarse de un SIEM como Check Point Infinity SOC, que reduce el ruido y centra su atención en lo que más importa. Por otro lado, una organización con un equipo de seguridad insuficiente o inmaduro puede beneficiarse más al aumentar sus capacidades con la experiencia de Check Point. Infinity MDR.
Para obtener más información sobre una solución en particular o para determinar cuál es la adecuada para su organización, vea SOC demo video y regístrate para un free Infinity MDR demo hoy.
Comentarios