¿Por qué los endpoints no deben depender totalmente del escaneado?
El antivirus ha sido sin duda la solución por defecto para proteger endpoints durante décadas. La mayoría de las soluciones antivirus escanean el endpoint, comparando los archivos con una base de datos de firmas de amenazas conocidas. Aunque es adecuada para identificar las amenazas conocidas, la tecnología de escaneado no puede seguir el ritmo de las amenazas avanzadas que se dirigen a los endpoints hoy en día. A continuación se exponen las cuatro razones principales por las que el escaneado no debería ser su primera línea de defensa a la hora de proteger los endpoints.
1. Confianza en la base de datos de firmas
En el panorama actual de las amenazas, el malware puede cambiar a una velocidad vertiginosa, lo que significa que las bases de datos de firmas necesitan actualizaciones continuas de las firmas más recientes para evitar quedarse obsoletas. Al igual que el escaneado, estas actualizaciones pueden reducir el rendimiento del sistema. Las soluciones antivirus suelen permitir a los usuarios programar las actualizaciones para momentos más convenientes, pero esto puede dejar las bases de datos desactualizadas durante largos periodos, durante los cuales las amenazas pueden eludir y evadir fácilmente la detección de los escáneres.
2. Identifica sólo las amenazas conocidas
Los escáneres se limitan a lo que ya se sabe sobre una muestra. Todo lo desconocido -como las amenazas de día cero o el malware polimórfico- pasa desapercibido. Los atacantes suelen introducir ligeras modificaciones en las amenazas existentes que les permiten eludir la detección de los motores de escaneado, lo que da lugar a malware polimórfico, o variantes. Estas variantes requieren firmas totalmente nuevas para ser detectadas, lo que inutiliza los escáneres. La creación de nuevas firmas requiere mucho trabajo y no puede seguir el ritmo al que los atacantes pueden modificar las amenazas.
3. Impacto del rendimiento
Las soluciones antivirus buscan periódicamente archivos maliciosos o amenazas, independientemente de la actividad del sistema en ese momento. Esto consume muchos recursos, se come el espacio del disco y ralentiza los dispositivos. Para minimizar el impacto, los usuarios suelen omitir o reprogramar los escaneos, cambiar la frecuencia de los mismos o desactivar el antivirus por completo. Aunque cualquiera de estas acciones puede evitar temporalmente la degradación del rendimiento, dejan los sistemas vulnerables al malware que los escaneos anteriores podrían no haber detectado. Además, el escaneado periódico aumenta el riesgo de pasar por alto malware introducido en el sistema entre escaneos.
4. Los archivos en reposo no se consideran una amenaza
Los archivos maliciosos no suponen una amenaza real para un sistema hasta que se ejecutan. Las soluciones antivirus buscan archivos potencialmente maliciosos, lo que afecta enormemente al rendimiento al buscar cosas que no suponen una amenaza para el sistema.
Las mejores soluciones de seguridad para endpoints utilizan un enfoque multimétodo para la prevención de malware, protegiendo contra el cambiante panorama de amenazas y abordando las preocupaciones que presentan los escáneres antivirus, todo ello sin depender de las firmas. Pueden integrarse con el servicio de análisis de amenazas basado en la nube para prevenir las amenazas conocidas, desconocidas y de día cero, centrándose en el malware a medida que se activa, en lugar de consumir recursos del sistema para la actividad latente.
Cuando se identifica una pieza de malware, el servicio basado en la nube crea y comparte automáticamente medidas preventivas en todos los endpoints protegidos. Esto garantiza que los endpoints puedan prevenir el malware conocido o recién identificado sin necesidad de actualizaciones periódicas. Sin embargo, los equipos de seguridad aún pueden escanear opcionalmente en busca de archivos de malware según sea necesario para el cumplimiento o la garantía de seguridad.
XDR, o detección y respuesta ampliadas, es un enfoque innovador de la seguridad de los endpoints. XDR puede recopilar prácticamente todos los datos, como los de la red, la nube y los endpoint, reconociendo que no es eficaz investigar las amenazas en silos aislados. Los sistemas XDR utilizan el aprendizaje automático, el análisis y la automatización para unir y obtener información de estas fuentes, aumentando la visibilidad de la seguridad y la productividad en comparación con las herramientas de seguridad aisladas. El resultado son investigaciones agilizadas y aceleradas, que reducen el tiempo necesario para encontrar, cazar, investigar y responder a cualquier forma de amenaza.
Para saber más sobre Cortex XDR, la primera plataforma XDR del sector que integra datos de cualquier fuente para detener los ataques modernos, visite la página del producto.
