La plataforma de detección de amenazas basada en IA de un proveedor de servicios tecnológicos mostraba un panel de cobertura con el estado de la supervisión en todo el entorno tecnológico del proveedor: las capas de red, dispositivos finales, nube, aplicaciones e identidad. Cada categoría de cobertura aparecía en verde, lo que indicaba supervisión activa y cobertura de detección. El equipo de seguridad del proveedor había configurado el panel al desplegar el producto seis meses antes, y los indicadores de cobertura reflejaban las categorías de amenazas y los tipos de técnicas incluidos en la configuración inicial. A los tres meses del despliegue, un grupo de actores de amenazas que atacaba a empresas de servicios tecnológicos había empezado a usar una técnica novedosa de movimiento lateral: abusaba de la API de un servicio nativo de la nube concreto para moverse lateralmente de forma encubierta, de maneras que no coincidían con ninguna de las firmas de detección ni de los modelos de comportamiento preconfigurados en el producto de IA. El equipo de inteligencia de amenazas del proveedor había recibido un aviso de ISAC sobre la técnica cuatro semanas después de que el grupo empezara a usarla. Se acusó recibo del aviso. No dio lugar a una actualización de la configuración de detección del producto de IA. El panel siguió mostrando verde en todas las categorías configuradas. La técnica novedosa no estaba en ninguna categoría configurada. No aparecía en absoluto en el panel. Un panel totalmente en verde no demostraba que se estuvieran detectando todas las técnicas; demostraba que todas las categorías de detección configuradas producían resultados dentro de los parámetros esperados. Las categorías no configuradas, incluida la técnica novedosa que se estaba explotando activamente, simplemente no figuraban.
¿Qué son realmente las brechas de detección de amenazas de IA?
Las brechas de detección de amenazas de IA son las categorías de técnicas, los patrones de ataque y los comportamientos de actores de amenazas que una plataforma de supervisión de seguridad basada en IA no detecta, ya sea porque nunca se configuró la cobertura de detección para esas categorías, porque los datos de entrenamiento de la IA no incluían ejemplos representativos de esas técnicas o porque las técnicas están diseñadas específicamente para evitar la lógica de detección de la IA. Las brechas de detección de amenazas quedan ocultas de forma sistemática por diseños de panel que muestran el estado de cobertura solo de las categorías configuradas, lo que crea la apariencia de una cobertura integral cuando en realidad el panel guarda silencio sobre las técnicas que no están configuradas.
El problema de la completitud de la configuración es el principal mecanismo de las brechas. Las plataformas de detección de amenazas de IA requieren configuración: las reglas de detección, los modelos de comportamiento y la cobertura de supervisión deben definirse y activarse para cada categoría de técnica que la plataforma deba supervisar. Los paneles de cobertura muestran el estado de las categorías configuradas. No muestran lo que no está configurado. Un panel que aparece en verde en todas las categorías mostradas puede, al mismo tiempo, carecer de configuración para categorías de técnicas que se están explotando activamente; esas categorías no aparecen en rojo ni en ámbar en el panel. Simplemente no figuran.
El problema de la evolución del panorama de amenazas es la dimensión temporal. Las configuraciones de supervisión de seguridad que son precisas en el despliegue se vuelven progresivamente menos completas a medida que evoluciona el panorama de amenazas: surgen técnicas nuevas, las técnicas existentes se modifican para eludir la detección y los grupos de actores de amenazas se adaptan para evitar las firmas y los modelos de comportamiento con los que se han entrenado las plataformas de detección. Una plataforma de detección de amenazas configurada frente al panorama de amenazas de hace seis meses puede tener brechas de cobertura importantes frente al panorama actual, y esas brechas no aparecerán en el panel a menos que alguien añada de forma proactiva configuración de supervisión para las nuevas categorías de técnicas.
La brecha entre inteligencia y configuración es el fallo operativo concreto del escenario inicial. El equipo de inteligencia de amenazas del proveedor recibió un aviso de ISAC sobre la técnica novedosa de movimiento lateral y acusó recibo. Acusar recibo del aviso no equivale a actualizar la configuración de la plataforma de detección para supervisar la técnica. El intervalo entre recibir inteligencia de amenazas sobre una técnica novedosa e implementar la configuración de detección para esa técnica es la ventana durante la cual la técnica puede usarse en el entorno sin generar alertas.
Por qué es importante
Las brechas de detección de amenazas de IA son importantes para TPRM porque los paneles de detección totalmente en verde se presentan con frecuencia como prueba de una cobertura integral, y los equipos de TPRM que revisan la postura de seguridad de los proveedores los aceptan como tal. El panel confirma que la detección configurada funciona. No confirma que la configuración esté completa para el panorama de amenazas actual.
Dónde se equivocan la mayoría de los equipos
El fallo más habitual es aceptar el estado de cobertura del panel como prueba de que la detección es completa. El estado de cobertura describe cómo funciona la supervisión configurada. La completitud de la cobertura describe si la configuración aborda el panorama de amenazas pertinente, una cuestión distinta y más importante.
- Cobertura del panel aceptada como prueba de completitud
- Completitud de la configuración no evaluada frente al panorama de amenazas actual
- Brecha entre inteligencia y configuración no evaluada: cuánto se tarda en implementar la detección de técnicas nuevas
- Cobertura de técnicas novedosas no evaluada específicamente
- Integración de ISAC y de la inteligencia de amenazas en la configuración de detección no monitoreada
Cómo se ve una buena práctica
Los programas maduros de detección de amenazas de IA evalúan la completitud de la cobertura frente al panorama de amenazas actual, valorando específicamente si la cobertura de técnicas de MITRE ATT&CK está actualizada, si la inteligencia de amenazas de ISAC se traduce en actualizaciones de la configuración de detección y si se hace seguimiento de las métricas de brechas de detección junto con las métricas de rendimiento de la cobertura.
- Mapa de cobertura de ATT&CK actualizado trimestralmente frente al panorama de amenazas actual
- SLA de inteligencia a configuración: con qué rapidez los avisos sobre técnicas nuevas se convierten en actualizaciones de la detección
- Seguimiento de brechas de detección: técnicas de los avisos de ISAC sin detección correspondiente
- Proceso de descubrimiento de técnicas novedosas: cómo entran los nuevos comportamientos de los atacantes en el inventario de detección
- Evaluación de la integridad de la configuración, independiente del estado del panel
Herramientas
Cobertura de ATT&CK: MITRE ATT&CK Navigator para el mapeo de la cobertura de detección
ATT&CK Navigator visualiza la cobertura de detección frente a la matriz de técnicas de ATT&CK y muestra qué técnicas tienen cobertura de detección y cuáles no. Actualizar trimestralmente el mapa de ATT&CK Navigator con la inteligencia de amenazas actual ofrece una evaluación de la integridad que el estado del panel no ofrece. Para los profesionales de TPRM, solicitar el mapa de cobertura de ATT&CK del proveedor actualizado en el último trimestre ofrece una pregunta concreta sobre la integridad de la cobertura.
Desafíos de gobernanza
El reto de gobernanza de las brechas de detección de amenazas de IA es la ilusión del panel: la confianza que un estado totalmente en verde transmite a la dirección de seguridad y a los revisores de TPRM. La solución de gobernanza consiste en complementar el estado del panel con una evaluación de la completitud de la cobertura, preguntando específicamente cómo se seleccionaron las categorías configuradas del panel y si esa selección está actualizada frente al panorama de amenazas.
- Solicite un mapa de cobertura de ATT&CK actualizado en el último trimestre, no solo el estado del panel
- Pregunte por el SLA entre la inteligencia y la configuración: con qué rapidez se convierten los avisos de ISAC en actualizaciones de la detección
- Pregunte si la técnica novedosa de movimiento lateral de los avisos recientes de ISAC tiene cobertura de detección
- Pregunte por el seguimiento de brechas de detección: cómo se identifican y se hace seguimiento de las brechas por técnicas no configuradas
- Complemente la revisión del panel con una evaluación de la completitud de la configuración
Si usted forma parte de un equipo pequeño
Para cualquier plataforma de detección de amenazas con IA, haga la pregunta de ISAC: en los últimos seis meses, ¿cuántos avisos de ISAC o de inteligencia de amenazas sobre técnicas nuevas ha recibido su equipo y, para cada uno, cuál es el plazo desde la recepción del aviso hasta la configuración de una detección activa en su plataforma? Esa pregunta revela la brecha entre la inteligencia y la configuración: la ventana entre saber que se está usando una técnica y disponer de detección para ella. Un aviso recibido hace cuatro semanas que todavía no se ha convertido en una configuración de detección es una brecha de detección de cuatro semanas para esa técnica.
- Solicite el plazo de inteligencia a configuración de los avisos recientes de ISAC
- Solicite un mapa de cobertura de ATT&CK actualizado en el último trimestre
- Pregunte si técnicas novedosas concretas de avisos recientes tienen cobertura de detección
- Pregunte cómo funciona el seguimiento de brechas de detección entre los avisos y la configuración
Qué exigir
Pregunte directamente:
“En el caso de los avisos de ISAC que su equipo recibió en los últimos seis meses, ¿cuál es el plazo desde la recepción del aviso hasta la configuración activa de la detección en su plataforma? ¿Puede confirmar si la técnica novedosa de movimiento lateral nativa de la nube del aviso más reciente tiene una configuración de detección activa?”
Evidencia que debe esperar
- Plazo entre la inteligencia y la configuración para los avisos recientes
- Mapa de cobertura de ATT&CK actualizado en el último trimestre
- Confirmación de la detección activa de técnicas específicas señaladas en avisos de ISAC
- Proceso de seguimiento de las brechas de detección
A un proveedor que confirme un estado de detección totalmente en verde se le debe preguntar por la completitud de la cobertura de ATT&CK. El estado del panel confirma que la detección configurada funciona. El mapa de cobertura confirma si la configuración está completa para el panorama de amenazas actual.
Cómo demostrarlo
- Registros del mapa de cobertura de ATT&CK
- Documentación de SLA de inteligencia a configuración
- Registros de seguimiento de brechas de detección
- Plazo desde el aviso de ISAC hasta la configuración de detección
Conclusión clave
Panel completamente en verde. Técnica nueva en un aviso de ISAC de hace cuatro semanas. Aviso recibido. Configuración de detección: no actualizada. Técnica nueva: sin detectar. El panel mostraba verde porque todas las categorías configuradas funcionaban dentro de sus parámetros. La técnica nueva no estaba en ninguna categoría configurada. No estaba en rojo. No estaba. Un panel completamente en verde confirma que la detección configurada funciona. La integridad de la cobertura de ATT&CK confirma si la configuración responde al panorama de amenazas actual. La brecha entre la inteligencia y la configuración revela la ventana entre saber que existe una técnica y disponer de detección para ella. El panel es la métrica de rendimiento. El mapa de cobertura es la métrica de integridad. Ambos son necesarios. Ninguno sustituye al otro.