3 formas de prevenir las amenazas evasivas
Los atacantes están constantemente reutilizando, modificando o creando malware completamente nuevo, lo que da lugar a grandes volúmenes de malware dirigido a las organizaciones. Esto también permite a los atacantes centrarse en el desarrollo de amenazas más evasivas, construidas para detectar entornos de análisis de malware y detener la actividad maliciosa hasta que dejen de estar bajo análisis. Mientras tanto, las organizaciones luchan tanto para mantenerse al día con el gran volumen de malware como para identificar y prevenir ataques sofisticados.
La detección de amenazas evasivas plantea múltiples retos. Las amenazas evasivas buscan indicadores de actividad válida del usuario y de la tecnología de virtualización y pausarán la actividad maliciosa hasta que ya no corra el riesgo de ser identificada. Explotan vulnerabilidades conocidas en software de código abierto y buscan técnicas de detección utilizadas por hipervisores populares. Como resultado, se están convirtiendo en un producto muy comercializado y, por tanto, de uso más común.
Es esencial replantearse las tácticas utilizadas para detectar este moderno tipo de malware. A continuación se exponen tres aspectos clave que las herramientas de seguridad deben tener en cuenta para ayudar a identificar y, en última instancia, prevenir las amenazas evasivas.
1. Utilizar análisis virtuales a medida
Para detectar el malware altamente evasivo, utilice un entorno de análisis virtual creado específicamente que incorpore un hipervisor y un emulador únicos que no dependan de software de código abierto o propietario. Este entorno no debe mostrar características que puedan divulgar al atacante que ha sido descubierto o que el comportamiento del malware está siendo observado.
2. Emplear el análisis Bare Metal
El uso de un entorno virtual para el análisis de malware es inevitable. Sin embargo, las muestras que muestran técnicas de evasión en un entorno virtual también deben detonarse en sistemas de hardware reales, también conocidos como entornos de análisis bare metal. Para evitar levantar sospechas entre los atacantes, los archivos sospechosos deben dirigirse dinámicamente al entorno bare metal sin intervención humana.
3. Incorporar inteligencia de amenazas
Para combatir el aumento de las amenazas altamente evasivas disponibles en la economía sumergida, las organizaciones deben incorporar inteligencia de amenazas altamente contextual y procesable a sus defensas de seguridad.
La inteligencia de amenazas debe proceder de múltiples fuentes y ser correlacionada y validada para obtener el contexto necesario. Sin un contexto adecuado, la inteligencia de amenazas no hace más que aumentar el ruido con cantidades abrumadoras de indicadores de vulneración en bruto. El resultado es un aumento de falsos positivos y negativos, que requieren personal de seguridad para cualquier respuesta procesable. Además, la integración de la inteligencia de amenazas con entornos de análisis virtuales permite una prevención rápida y automatizada, minimizando la necesidad de personal especializado adicional.
Análisis anti-invasión e inteligencia de amenazas contextual en una sola plataforma
La plataforma de seguridad de nueva generación de Palo Alto Networks detecta y previene incluso las amenazas más evasivas de forma automática en toda la red, la nube y el endpoint. Una parte integral de la plataforma es el servicio de análisis de amenazas WildFire®, que incorpora múltiples técnicas para el análisis de malware resistente a la evasión y la prevención automatizada - análisis estático, análisis dinámico mediante un entorno de análisis virtual personalizado, aprendizaje automático y un entorno bare metal para la ejecución completa en hardware real.
También forma parte de la plataforma el servicio AutoFocus™ de inteligencia de amenazas contextuales, que proporciona la información necesaria para comprender por qué, dónde y cómo afectará un ataque a una red. Responde a preguntas como "¿Quién ataca?". "¿Qué herramientas están utilizando?" y "¿Cómo va a afectar esto a la red?" y prioriza automáticamente los ataques dirigidos. El resultado es un análisis más rápido, una correlación más sencilla y una respuesta rápida a los incidentes, reduciendo en última instancia la necesidad de recursos de seguridad especializados de TI adicionales.
Para saber más sobre cómo defenderse de los ataques evasivos, lea el documento Repiense su estrategia para derrotar los ataques evasivos .
