detection
6 artículos con esta etiqueta
Qué es una puerta trasera (backdoor): cómo un atacante conserva su acceso y cómo detectarla
Una puerta trasera es un punto de entrada oculto que se deja para que un atacante pueda volver saltándose la autenticación normal. Suele aparecer tras una primera intrusión y convierte un solo acceso en un acceso continuado; también puede llegar dentro de una dependencia envenenada. Lo que la separa del mantenimiento remoto legítimo es si alguien la autorizó, si se sabe que existe y si aparece en los registros. Defensa: mínimo privilegio, monitorización de la integridad, monitorización del tráfico saliente y revisión de dependencias.
¿Qué es el malware? Tipos, vías de infección y las defensas básicas
El malware (software malicioso) es el término genérico para el software creado para dañar tus dispositivos o datos. Virus, gusanos, troyanos, ransomware, spyware y bots son tipos dentro de él. Por muy distintos que parezcan, la defensa es la misma en tres partes: prevenir la infección (actualizaciones, no abrir adjuntos/macros sospechosos, MFA), detectar (EDR, antivirus) y poder recuperarse (copias de seguridad). Aplicar bien estas defensas comunes importa mucho más que memorizar los nombres de los tipos.
Qué es C2 (mando y control): el canal que usan los atacantes para controlar un dispositivo tras una brecha
C2 es el canal que un dispositivo comprometido usa para llamar al servidor del atacante (una baliza) para recibir órdenes y exfiltrar datos: la fase posterior a la brecha. Las principales pistas son el tráfico saliente periódico sospechoso y los destinos maliciosos conocidos. Defensas: filtrado de salida, monitorización de DNS, cotejo de IOC/IOA, mínimo privilegio. Confirmar que 'no hay C2 residente' es una parte clave de la investigación de una brecha.
Qué es EDR: registrar la actividad de los endpoints para detectar y responder a los ataques que el antivirus no detiene
EDR registra de forma continua el comportamiento del endpoint, detecta actividad sospechosa (estilo IOA) y apoya la respuesta (aislar, investigar). Atrapa ataques sin archivos y de abuso de herramientas legítimas que el antivirus basado en firmas/IOC se pierde, mediante el comportamiento y una línea de tiempo. Los equipos pequeños a menudo no necesitan un EDR completo: la protección integrada del sistema operativo más registros más la mentalidad IOA aportan gran parte del valor.
Qué es un IOA (Indicador de Ataque): detectar una brecha por el comportamiento, no por los rastros
Un IOA (Indicador de Ataque) detecta una brecha por el comportamiento de un ataque en curso (escalada de privilegios → movimiento lateral → exfiltración). Es la contraparte del IOC a posteriori. Los atacantes cambian hashes e IPs al instante, pero la técnica (el comportamiento) es difícil de cambiar, así que los IOA perduran. Incluso los equipos pequeños pueden acercarse a ello vigilando el comportamiento que difiere de lo normal.
Qué es un IOC (Indicador de Compromiso): rastros que revelan una brecha
Un IOC (Indicador de Compromiso) es un rastro que deja una brecha: hashes de archivos maliciosos conocidos, IPs/dominios de atacantes, URLs, procesos inusuales. Su valor es detectar/bloquear mecánicamente lo malo conocido. Pero es una pista reactiva que los atacantes pueden cambiar barato, así que el cotejo de IOC es una comprobación final, no una defensa completa. La defensa principal es un diseño que resista la intrusión (mínimo privilegio, parcheo, MFA).