Análisis de malware
Desmontamos el software malicioso en un entorno aislado y entregamos reglas de detección concretas para sus sistemas, n…
VerInformática forense
Forense de comportamiento con IA
Dos ataques con el mismo malware pueden venir de grupos completamente distintos. A la inversa, un grupo se mantiene fiel a sus costumbres aunque cambie de herramientas: horario de trabajo, orden de los pasos, vías preferidas para el acceso inicial. Esas costumbres dicen más que cualquier firma.
Los indicios
Qué se analiza
- 01
Patrones temporales
ritmo de trabajo, pausas, una franja horaria reconocible
- 02
Orden de las operaciones
qué pasos en qué secuencia, dónde se toman atajos
- 03
Elección de herramientas
software propio o exclusivamente lo que ya hay en el sistema
- 04
Selección de objetivos
a qué se accede primero, porque eso revela la intención
- 05
Perfil de errores
qué rastros se pasan por alto de forma sistemática
01
El beneficio
De la observación a la anticipación
Del patrón puede deducirse qué cabe esperar a continuación. Si un grupo va sin falta a por los sistemas de copia de seguridad antes de cifrar, ahí es donde la detección tiene que estar afinada. Conclusiones así entran en su monitorización como reglas concretas, no como una recomendación general.
El análisis se apoya en NeoI, nuestro propio motor de análisis. Compara el comportamiento observado con lo que es normal en su entorno, de modo que también detecta a atacantes que no usan más que herramientas legítimas. Los resultados afinan después la correlación en Strider.
02
La mirada interna
También hacia dentro
El mismo método detecta anomalías que no vienen de fuera: una cuenta que recorre de forma sistemática los recursos compartidos poco antes de que esa persona se marche, o accesos a datos que no encajan con el puesto. Eso lo analizamos estrictamente dentro del marco acordado y de acuerdo con el comité de empresa; no montamos una vigilancia permanente del comportamiento de los empleados.
03
La mirada honesta
Límites
Un patrón de comportamiento es un indicio, no una prueba. Ayuda a clasificar y a priorizar la defensa; no basta por sí solo para atribuir un ataque a un grupo concreto. Donde lo que cuenta es la prueba, la sostienen los métodos clásicos: el análisis de malware y la forense de red.
FAQ
Preguntas frecuentes
¿Esto nos dirá qué grupo nos ha atacado?
Podemos decirle a qué forma de operar conocida se parece el comportamiento observado. Eso es una clasificación, no una atribución. Un patrón de comportamiento no basta para afirmar con solidez quién es el autor: puede imitarse, y el parecido no es prueba. En el informe indicamos cuán segura es una clasificación.
¿Significa esto que vigilan a nuestros empleados?
No. No montamos una vigilancia permanente del comportamiento de los empleados. La mirada interna se aplica por un motivo concreto, dentro de un marco acordado de antemano y de acuerdo con el comité de empresa. Donde falta ese marco, no trabajamos.
¿Cuántos datos necesitan para esto?
Los suficientes para distinguir el comportamiento normal de la desviación: por regla general, varias semanas de datos de inicio de sesión, procesos y red. Para investigar un incidente concreto suelen bastar los registros de ese periodo. Lo que falte lo decimos desde el principio, en lugar de anotarlo después como incertidumbre.
¿Sustituye esto a la informática forense clásica?
No, la complementa. El análisis de comportamiento muestra a qué hay que estar atento y qué vendría a continuación. La prueba de lo que realmente ocurrió la sostienen el análisis de malware y la forense de red. Juntos componen la imagen.
¿Qué pasa con las conclusiones después de la investigación?
Se convierten en reglas de detección concretas dentro de su monitorización; ese es el verdadero rendimiento. Un informe que describe cómo operó el atacante sin que cambie nada en su detección no valía el trabajo.
Informática forense
Más servicios de esta área
Forense de red
El tráfico de red revela lo que en los equipos ya se ha borrado. Reconstruimos la entrada, la propagación y la fuga de …
VerForense en la nube
En la nube no hay disco que clonar. Aseguramos registros, configuración y datos de identidad antes de que expire el pla…
VerForense móvil
Los móviles de empresa contienen a menudo más secretos comerciales que cualquier ordenador. Los aseguramos y analizamos…
VerContacto
La reputación tarda años. Destruirla, segundos.
Hable con nosotros antes de que lo haga otro. La primera conversación es gratuita y respondemos el mismo día laborable.