La importancia de un SOAR en términos de seguridad

La evolución en la Ciberseguridad

Es conocido que el avance tecnológico es cosa del día a día y así los peligros que este puede materializar en el Ciberespacio, es por esto que son muchas las herramientas necesarias a las cuales optan las empresas para proteger sus datos y activos. Pero esto tiene una curva cada vez más amplia, donde lo que se tiene integrado es un mero sinónimo de lo mucho que hace falta.

La inclusión de una infinidad de herramientas hace compleja la unificación del ecosistema de la seguridad, por lo que nacieron herramientas capaces de generar la unificación de la data que cada una de estas nos proporciona. Estamos hablando del SIEM (Security Information and Event Managemenet), el cual nace en la década de los noventa tras la evolución de su software anterior llamado SIM (Security Information Management) y SEM (Security Event Management). El objetivo principal de esta herramienta no estaba abocado a la seguridad sino al cumplimiento, pero con el tiempo su objetivo principal fue evolucionando hasta volverse una herramienta capaz de generar agregación de logs para su uso en generación de dashboard y alertas capaces de detectar anomalías en la red e incidentes de seguridad. Pero con la inmersión en el ciberespacio y el avance de las amenazas desconocidas, se hace necesario el uso de una herramienta que incluya las prácticas del SIEM pero además sea capaz de orquestar los diferentes elementos que integran una arquitectura de infraestructura, la toma de decisiones y la automatización de respuestas ante incidentes. Bajo esta necesidad nace lo que se conoce como herramienta SOAR (Security Orchestration, Automation and Response).

 

El desafío que proponen las nuevas amenazas

Debido al avance tecnológico es inminente la evolución de las amenazas cibernéticas, ya no solo son capaces de generar un ataque bajo el objetivo por el cual fue creado, sino que incluso pueden mutar y realizar diversas intervenciones para derrocar la seguridad. Gracias al nacimiento y expansión del Machine Learning y la Inteligencia Artificial, se han generado grandes barreras para lograr batallar contra las amenazas. Esto porque ahora son incluso capaces de aprender de la infraestructura de una organización para poder evadir las defensas y pasar desapercibidas, así como también pueden ser expuestas hacia Internet siendo capaces de recolectar información y determinar la forma más efectiva para explotar vulnerabilidades dependiendo a los niveles de seguridad que está enfrente.

La relevancia del presente y futuro de un SOAR

Esta herramienta está conformada a base de Inteligencia Artificial y que en su núcleo contempla el Machine Learning, por lo que al momento de hablar del uso de estas dos tecnologías por parte de las amenazas, podemos mencionar lo mismo por parte de esta herramienta. Sí es capaz de aprender con el tiempo, volviéndose así una barrera fundamental para luchar contra las ciberamenazas del presente y con miras al futuro.

Pensando en que esta herramienta se complemente con un área bien conformada de Ciberseguridad, que fundamentalmente contemple un SOC (Security Operation Center) y analistas que aprovechen el potencial del SOAR, son muchos los beneficios que se pueden adquirir. Pero quienes proporcionan dichas herramientas; existen múltiples marcas como Splunk con su SOAR nombrado Phantom, Palo Alto con su renombrado Cortex XSOAR (ex Demisto), Fortinet con su FortiSOAR, IBM Security Resilient de la marca IBM, RespondX de LogRhythm, solo por mencionar algunas de las más reconocidas.

 

 

La necesidad, las características y el propósito.

Son cuatro los puntos que sirven como indicativo para saber cuándo optar por una de estas herramientas:
• Automatizar tareas para aumentar la productividad en la seguridad
• Automatizar la clasificación de las alertas, dando prioridad a las que representen un mayor impacto
• Disminuir el tiempo de los analistas invertidos en tareas repetitivas
• Lograr la excelencia operacional, bajo el levantamiento de playbooks documentados tras procedimientos establecidos.

Para cubrir cada uno de los puntos levantados en la necesidad todo SOAR debe componerse de tres mercados tecnológicos:

1- Orquestación y automatización de la seguridad
2- Plataformas de respuesta a incidentes de seguridad (SIRP)

3- Plataformas de inteligencia de amenazas (TIP)

Los cuales deben cubrir ciertas características:
- Inteligencia de amenazas
- Gestión de casos basado en respuesta a incidente
- Gestión de vulnerabilidades
- Detección y respuesta en Endpoints
- Gestión de procesos
Estos 5 puntos característicos deben cubrir 9 capacidades necesarias para su funcionamiento:
- Automatización y Orquestación
- Caza e investigación de amenazas
- Manejo de incidentes
- Integraciones flexibles y análisis de eventos
- Manejo de evidencia forense
- Reportes y KPIs
- Transferencia de conocimiento y machine learning
- Multitenant
- On-premise o Cloud
Cada uno de los puntos levantados son necesarios para que la herramienta pueda cumplir con su principal propósito, el cual es proveer a las organizaciones una mejora sustancial en la detección de amenazas avanzadas bajo la automatización y orquestación de los procesos de seguridad, otorgando así agilidad en los tiempos de respuesta.

 

 

El SOAR con miras al futuro

Fue en el año 2018 cuando se comenzó a popularizar esta potente herramienta, año al que podemos llamarle el nacimiento del futuro de la ciberseguridad. Y es que es tan poco el tiempo que lleva explotándose esta herramienta en el mercado, que aún es muy desconocido todo su potencial. Muchas empresas han optado por la adquisición de un SOAR, pero son muy pocos los especialistas en el mercado, lo que genera en cierto modo una pequeña desventaja a la cual se suma la imposibilidad de explotación de todas sus cualidades.

Lo que enriquece aún más a esta herramienta es la curva exponencial de crecimiento que esta tiene y genera, siendo capaz de ofrecer soluciones de seguridad que se adelanten al presente así como la formación de un nuevo lenguaje de seguridad, donde todas las aristas se unifiquen en un solo núcleo que sea capaz de detectar, tomar acciones de respuesta, mitigación y remediación. Y por si fuera poco que tenga la capacidad de aprendizaje conforme a lo que vaya experimentando.