Desbloqueando valor de inversión mediante automatización estratégica de seguridad

La automatización de seguridad ha sido largo tema de debate —qué automatizar, cuándo y cómo. A pesar de contratiempos ocasionales, el consenso sigue siendo que la automatización es el camino a seguir. La realidad actual confirma que la automatización ya no es opcional; es esencial.

Aunque muchas organizaciones ya habían implementado automatización básica para tareas críticas de seguridad y respuesta a incidentes (IR), los eventos de 2020 sirvieron como catalizador, según Noor Boulos de ThreatQuotient. El reciente informe SANS destaca cómo la pandemia global aceleró la adopción de automatización, llevando a empresas a re-evaluar prioridades y hojas de ruta futuras. La encuesta cubrió empresas de todos los tamaños en Norteamérica, Europa, Asia Pacífico y África.

Conclusiones clave incluyen:

• Casi un tercio de organizaciones reportó que la pandemia COVID-19 aceleró sus planes de automatización.
• Más del 80% tiene ahora al menos automatización parcial de procesos centrales de seguridad e IR —subida desde el 47% en 2020.
• La automatización de respuesta a incidentes creció más bruscamente, con automatización extensa subiendo 18 puntos porcentuales del 10,5% en 2020 al 28,3% en 2021.
• Operaciones de seguridad y procesamiento de alertas siguen siendo el foco principal, con 35,5% logrando automatización extensa.
• De cara al futuro, el 85% planea expandir automatización de procesos clave de seguridad e IR en los próximos 12 meses.

Estos hallazgos subrayan la importancia de sincronizar la automatización dentro del ciclo de vida de seguridad para maximizar valor empresarial. En ThreatQuotient, enfatizamos que los datos son la piedra angular de la automatización efectiva de detección y respuesta. Examinemos dos casos de uso principales destacados en el informe: Triage de Alertas y Respuesta a Incidentes.

Triage de Alertas:

Los analistas de seguridad enfrentan una avalancha de alertas generadas por reglas SIEM ruidosas y configuraciones de defensa por defecto. Para gestionar volumen y velocidad, los analistas a menudo alimentan datos de amenazas externas e inteligencias directamente al SIEM. Sin embargo, persisten dos desafíos:

Primero, el volumen masivo de datos de amenazas externas abruma el SIEM, produciendo muchas alertas no contextuales que requieren investigación intensiva del analista. Segundo, las herramientas actuales carecen de soporte de decisión robusto para proporcionar contexto y relevancia antes de integrar inteligencia de amenazas en el SIEM. La priorización es por tanto crítica para enfocar analistas en alertas accionables.

Con la Plataforma ThreatQ, puede eliminar alertas inútiles alimentando solo inteligencia de amenazas relevante al SIEM. La plataforma aplica automáticamente contexto, relevancia y priorización a datos de amenazas antes de que lleguen al SIEM, mejorando tanto eficiencia como efectividad.

Puntuaciones de inteligencia de amenazas personalizadas —adaptadas a su entorno— permiten priorización precisa. Al curar un subconjunto enfocado de datos de amenaza, el SIEM produce menos falsos positivos y escala con más gracia.

Respuesta a Incidentes:

Las soluciones tradicionales de Orquestación, Automatización y Respuesta de Seguridad (SOAR) se centran en automatización de procesos. Sin embargo, cuando se aplican a detección y respuesta, los playbooks pueden volverse inmanejables porque la lógica de decisión está hard-coded y debe actualizarse en cada playbook. Esta complejidad se multiplica a medida que crecen los playbooks, y automatizar datos ruidosos puede amplificar el ruido.

ThreatQ TDR Orchestrator adopta un enfoque SOAR simplificado y basado en datos. Aquí, los propios datos disparan playbooks, y los insights recopilados de acciones automatizadas retroalimentan a la analítica para mejorar respuestas futuras. Al embeber inteligencia en la plataforma en lugar de en playbooks individuales, la configuración y mantenimiento se vuelven mucho más simples, conduciendo a resultados de automatización más eficientes y efectivos. Los usuarios pueden pre-curar y priorizar datos, automatizar acciones relevantes y agilizar procedimientos de respuesta.

La autora es Noor Boulos de ThreatQuotient