Este principio del pilar de seguridad del Google Cloud Well-Architected Framework proporciona recomendaciones para crear programas de ciberdefensa sólidos como parte de tu estrategia de seguridad general.
Este principio enfatiza el uso de la inteligencia contra amenazas para guiar de forma proactiva tus esfuerzos en las funciones principales de ciberdefensa, como se define en La ventaja del defensor: una guía para activar la ciberdefensa.
Descripción general del principio
Cuando defiendes tu sistema contra ciberataques, tienes una ventaja significativa, pero poco utilizada, contra los atacantes. Como afirma el fundador de Mandiant, "Deberías saber más que cualquier atacante sobre tu empresa, tus sistemas, tu topología y tu infraestructura. Esa es una ventaja increíble". Para ayudarte a aprovechar esta ventaja inherente, en este documento se proporcionan recomendaciones sobre prácticas de ciberdefensa proactivas y estratégicas que se asignan al framework de Defender's Advantage.
Recomendaciones
Para implementar la ciberdefensa preventiva en tus cargas de trabajo de la nube, ten en cuenta las recomendaciones de las siguientes secciones:
- Integrar las funciones de la ciberdefensa
- Usa la función de inteligencia en todos los aspectos de la ciberdefensa
- Comprende y aprovecha la ventaja de tu defensor
- Valida y mejora tus defensas de forma continua
- Administrar y coordinar las iniciativas de ciberdefensa
Integrar las funciones de la ciberdefensa
Esta recomendación es relevante para todas las áreas de enfoque.
El marco de trabajo de Defender's Advantage identifica seis funciones esenciales de la ciberdefensa: Inteligencia, Detección, Respuesta, Validación, Búsqueda y Control de la misión. Cada función se enfoca en una parte única de la misión de ciberdefensa, pero estas funciones deben estar bien coordinadas y trabajar juntas para proporcionar una defensa eficaz. Enfócate en crear un sistema sólido e integrado en el que cada función respalde a las demás. Si necesitas un enfoque por fases para la adopción, considera el siguiente orden sugerido. Según tu madurez actual en la nube, la topología de recursos y el panorama de amenazas específico, es posible que quieras priorizar ciertas funciones.
- Inteligencia: La función de Inteligencia guía a todas las demás funciones. Comprender el panorama de amenazas, incluidos los atacantes más probables, sus tácticas, técnicas y procedimientos (TTP), y el impacto potencial, es fundamental para priorizar las acciones en todo el programa. La función de inteligencia es responsable de la identificación de las partes interesadas, la definición de los requisitos de inteligencia, la recopilación de datos, el análisis y la divulgación, la automatización y la creación de un perfil de ciberamenazas.
- Detección y respuesta: Estas funciones constituyen el núcleo de la defensa activa, que implica identificar y abordar la actividad maliciosa. Estas funciones son necesarias para actuar en función de la información que recopila la función de inteligencia. La función de detección requiere un enfoque metódico que alinee las detecciones con los TTP de los atacantes y garantice un registro sólido. La función Responder debe enfocarse en la clasificación inicial, la recopilación de datos y la solución de incidentes.
- Validar: La función Validar es un proceso continuo que garantiza que tu ecosistema de control de seguridad esté actualizado y funcione según lo previsto. Esta función garantiza que tu organización comprenda la superficie de ataque, sepa dónde hay vulnerabilidades y mida la eficacia de los controles. La validación de seguridad también es un componente importante del ciclo de vida de la ingeniería de detección y se debe usar para identificar brechas de detección y crear detecciones nuevas.
- Búsqueda: La función de búsqueda implica buscar de forma proactiva amenazas activas dentro de un entorno. Esta función se debe implementar cuando tu organización tenga un nivel de madurez de referencia en las funciones de detección y respuesta. La función de búsqueda expande las capacidades de detección y ayuda a identificar brechas y debilidades en los controles. La función de búsqueda debe basarse en amenazas específicas. Esta función avanzada se beneficia de una base de capacidades sólidas de inteligencia, detección y respuesta.
- Control de la misión: La función de control de la misión actúa como el centro que conecta todas las demás funciones. Esta función es responsable de la estrategia, la comunicación y las acciones decisivas en todo tu programa de ciberdefensa. Garantiza que todas las funciones trabajen en conjunto y que estén alineadas con los objetivos comerciales de tu organización. Debes enfocarte en establecer una comprensión clara del propósito de la función de control de la misión antes de usarla para conectar las otras funciones.
Usa la función de inteligencia en todos los aspectos de la ciberdefensa
Esta recomendación es relevante para todas las áreas de enfoque.
En esta recomendación, se destaca la función de inteligencia como una parte fundamental de un programa sólido de ciberdefensa. La inteligencia contra amenazas proporciona conocimientos sobre los agentes de amenazas, sus TTP y los indicadores de compromiso (IoC). Este conocimiento debe informar y priorizar las acciones en todas las funciones de ciberdefensa. Un enfoque basado en inteligencia te ayuda a alinear las defensas para hacer frente a las amenazas que tienen más probabilidades de afectar a tu organización. Este enfoque también ayuda con la asignación y priorización eficientes de los recursos.
Los siguientes productos y funciones de Google Cloud te ayudan a aprovechar la inteligencia contra amenazas para guiar tus operaciones de seguridad. Usa estas funciones para identificar y priorizar posibles amenazas, vulnerabilidades y riesgos, y, luego, planificar e implementar las acciones adecuadas.
Google Security Operations (Google SecOps) te ayuda a almacenar y analizar datos de seguridad de forma centralizada. Usa Google SecOps para asignar registros a un modelo común, enriquecerlos y vincularlos a cronogramas para obtener una vista integral de los ataques. También puedes crear reglas de detección, configurar la coincidencia de IoC y realizar actividades de búsqueda de amenazas. La plataforma también proporciona detecciones seleccionadas, que son reglas predefinidas y administradas para ayudar a identificar amenazas. Google SecOps también se puede integrar en la inteligencia de primera línea de Mandiant. Google SecOps integra de forma única la IA líder en la industria, junto con inteligencia contra amenazas de Mandiant y Google VirusTotal. Esta integración es fundamental para evaluar las amenazas y comprender quién ataca a tu organización y el posible impacto.
Security Command Center, que cuenta con la tecnología de IA de Google, permite que los profesionales de la seguridad evalúen, investiguen y respondan de manera eficiente a los problemas de seguridad en múltiples entornos de nube. Entre los profesionales de la seguridad que pueden beneficiarse de Security Command Center, se incluyen los analistas del centro de operaciones de seguridad (SOC), los analistas de vulnerabilidades y posturas, y los administradores de cumplimiento. Security Command Center enriquece los datos de seguridad, evalúa el riesgo y prioriza las vulnerabilidades. Esta solución proporciona a los equipos la información que necesitan para abordar las vulnerabilidades de alto riesgo y corregir las amenazas activas.
Chrome Enterprise Premium ofrece protección de datos y contra amenazas, lo que ayuda a proteger a los usuarios de los riesgos de robo de datos y evita que el malware llegue a los dispositivos administrados por la empresa. Chrome Enterprise Premium también proporciona visibilidad de la actividad no segura o potencialmente no segura que puede ocurrir en el navegador.
La supervisión de red, a través de herramientas como Network Intelligence Center, proporciona visibilidad del rendimiento de la red. La supervisión de red también puede ayudarte a detectar patrones de tráfico inusuales o cantidades de transferencia de datos que podrían indicar un ataque o un intento de robo de datos.
Comprende y aprovecha la ventaja de tu defensor
Esta recomendación es relevante para todas las áreas de enfoque.
Como se mencionó antes, tienes una ventaja sobre los atacantes cuando tienes un conocimiento profundo de tu empresa, tus sistemas, tu topología y tu infraestructura. Para aprovechar esta ventaja de conocimiento, utiliza estos datos sobre tus entornos durante la planificación de la defensa cibernética.
Google Cloud proporciona las siguientes funciones para ayudarte a obtener visibilidad de forma proactiva para identificar amenazas, comprender los riesgos y responder de manera oportuna para mitigar los posibles daños:
Chrome Enterprise Premium te ayuda a mejorar la seguridad de los dispositivos empresariales, ya que protege a los usuarios de los riesgos de robo de datos. Extiende los servicios de Sensitive Data Protection al navegador y evita el software malicioso. También ofrece funciones como protección contra software malicioso y phishing para ayudar a evitar la exposición a contenido no seguro. Además, te permite controlar la instalación de extensiones para evitar que se instalen extensiones no seguras o no verificadas. Estas capacidades te ayudan a establecer una base segura para tus operaciones.
Security Command Center proporciona un motor de riesgos continuo que ofrece un análisis y una administración de riesgos integrales y continuos. La función de motor de riesgo enriquece los datos de seguridad, evalúa el riesgo y prioriza las vulnerabilidades para ayudar a solucionar los problemas con rapidez. Security Command Center permite que tu organización identifique debilidades de forma proactiva y, luego, implemente mitigaciones.
Google SecOps centraliza los datos de seguridad y proporciona registros enriquecidos con cronogramas. Esto permite que los defensores identifiquen de forma proactiva los ataques activos y adapten las defensas según el comportamiento de los atacantes.
La supervisión de red ayuda a identificar la actividad de red irregular que podría indicar un ataque y proporciona indicadores tempranos que puedes usar para tomar medidas. Para ayudar a proteger tus datos de forma proactiva contra el robo, supervisa de forma continua el robo de datos y usa las herramientas proporcionadas.
Valida y mejora tus defensas de forma continua
Esta recomendación es relevante para todas las áreas de enfoque.
Esta recomendación enfatiza la importancia de las pruebas orientadas y la validación continua de los controles para comprender las fortalezas y debilidades en toda la superficie de ataque. Esto incluye validar la eficacia de los controles, las operaciones y el personal a través de métodos como los siguientes:
- Pruebas de penetración
- Ejercicios de equipo rojo-azul y equipo púrpura
- Ejercicios de simulación
También debes buscar amenazas de forma activa y usar los resultados para mejorar la detección y la visibilidad. Usa las siguientes herramientas para probar y validar de forma continua tus defensas contra las amenazas del mundo real:
Security Command Center proporciona un motor de riesgos continuo para evaluar las vulnerabilidades y priorizar la solución, lo que permite una evaluación continua de tu postura de seguridad general. Cuando prioriza los problemas, Security Command Center te ayuda a garantizar que los recursos se usen de manera eficaz.
Google SecOps ofrece búsqueda de amenazas y detecciones seleccionadas que te permiten identificar de forma proactiva las debilidades en tus controles. Esta capacidad permite realizar pruebas y mejoras continuas de tu capacidad para detectar amenazas.
Chrome Enterprise Premium proporciona funciones de protección de datos y contra amenazas que pueden ayudarte a abordar las amenazas nuevas y en evolución, y a actualizar continuamente tus defensas contra los riesgos de robo de datos y el software malicioso.
Cloud Next Generation Firewall (Cloud NGFW) proporciona supervisión de red y de robo de datos. Estas funciones pueden ayudarte a validar la eficacia de tu postura de seguridad actual y a identificar posibles debilidades. La supervisión de robo de datos te ayuda a validar la solidez de los mecanismos de protección de datos de tu organización y a realizar ajustes proactivos cuando sea necesario. Cuando integras los hallazgos de amenazas de Cloud NGFW con Security Command Center y Google SecOps, puedes optimizar la detección de amenazas basadas en la red, optimizar la respuesta ante amenazas y automatizar las guías.
Administrar y coordinar las iniciativas de ciberdefensa
Esta recomendación es relevante para todas las áreas de enfoque.
Como se describió antes en Integra las funciones de la ciberdefensa, la función de control de la misión interconecta las otras funciones del programa de ciberdefensa. Esta función permite la coordinación y la administración unificada en todo el programa. También te ayuda a coordinar con otros equipos que no trabajan en ciberseguridad. La función de control de la misión promueve el empoderamiento y la responsabilidad, facilita la agilidad y la experiencia, y fomenta la responsabilidad y la transparencia.
Los siguientes productos y funciones pueden ayudarte a implementar la función de control de misiones:
- Security Command Center actúa como un centro para coordinar y administrar tus operaciones de ciberdefensa. Reúne herramientas, equipos y datos, junto con las funciones de respuesta integradas de Google SecOps. Security Command Center proporciona visibilidad clara del estado de seguridad de tu organización y permite identificar parámetros de configuración de seguridad incorrectos en diferentes recursos.
- Google SecOps proporciona una plataforma para que los equipos respondan a las amenazas asignando registros y creando cronogramas. También puedes definir reglas de detección y buscar amenazas.
- Google Workspace y Chrome Enterprise Premium te ayudan a administrar y controlar el acceso de los usuarios finales a los recursos sensibles. Puedes definir controles de acceso detallados según la identidad del usuario y el contexto de una solicitud.
- La supervisión de red proporciona estadísticas sobre el rendimiento de los recursos de red. Puedes importar las estadísticas de supervisión de red a Security Command Center y Google SecOps para la supervisión y correlación centralizadas con otros datos basados en el cronograma. Esta integración te ayuda a detectar y responder a posibles cambios en el uso de la red causados por actividades maliciosas.
- La supervisión del robo de datos ayuda a identificar posibles incidentes de pérdida de datos. Con esta función, puedes movilizar de manera eficiente un equipo de respuesta ante incidentes, evaluar los daños y limitar el robo de datos. También puedes mejorar las políticas y los controles actuales para garantizar la protección de datos.
Resumen del producto
En la siguiente tabla, se enumeran los productos y las funciones que se describen en este documento y se asignan a las recomendaciones y capacidades de seguridad asociadas.
| Google Cloud producto | Recomendaciones aplicables |
|---|---|
| Google SecOps |
Usa la función de inteligencia en todos los aspectos de la ciberdefensa:
Permite la búsqueda de amenazas y la coincidencia de IoC, y se integra en
Mandiant para realizar una evaluación integral de las amenazas.
Comprende y aprovecha la ventaja de tu defensor: Proporciona detecciones seleccionadas y centraliza los datos de seguridad para identificar vulneraciones de forma proactiva. Valida y mejora tus defensas de forma continua: Permite probar y mejorar de forma continua las capacidades de detección de amenazas.Administra y coordina las iniciativas de ciberdefensa a través de Mission Control: Proporciona una plataforma para la respuesta ante amenazas, el análisis de registros y la creación de cronogramas. |
| Security Command Center |
Usa la función de inteligencia en todos los aspectos de la ciberdefensa:
Usa la IA para evaluar el riesgo, priorizar las vulnerabilidades y proporcionar
estadísticas prácticas para la solución.
Comprende y aprovecha la ventaja de tu defensor: Ofrece un análisis de riesgos integral, priorización de vulnerabilidades y una identificación proactiva de las debilidades. Valida y mejora tus defensas de forma continua: Proporciona una evaluación continua de la postura de seguridad y priorización de recursos.Administra y coordina las iniciativas de ciberdefensa a través de Mission Control: Actúa como un centro para administrar y coordinar las operaciones de ciberdefensa. |
| Chrome Enterprise Premium |
Usa la función de inteligencia en todos los aspectos de la ciberdefensa:
Protege a los usuarios de los riesgos de robo de datos, evita el software malicioso y
proporciona visibilidad de la actividad no segura del navegador.
Comprende y aprovecha la ventaja de tu defensor: Mejora la seguridad de los dispositivos empresariales a través de la protección de datos, la prevención de software malicioso y el control de las extensiones. Valida y mejora tus defensas de forma continua: Aborda las amenazas nuevas y en evolución a través de actualizaciones continuas de las defensas contra los riesgos de robo de datos y el software malicioso.Administra y coordina las iniciativas de ciberdefensa a través de Mission Control: Administra y controla el acceso de los usuarios finales a los recursos sensibles, incluidos los controles de acceso detallados. |
| Google Workspace | Administra y coordina las iniciativas de ciberdefensa a través de Mission Control: Administra y controla el acceso de los usuarios finales a los recursos sensibles, incluidos los controles de acceso detallados. |
| Network Intelligence Center | Usa la función de inteligencia en todos los aspectos de la ciberdefensa: Proporciona visibilidad del rendimiento de la red y detecta patrones de tráfico o transferencias de datos inusuales. |
| Cloud NGFW | Valida y mejora tus defensas de forma continua: Optimiza la detección y respuesta ante amenazas basadas en la red a través de la integración en Security Command Center y Google SecOps. |