Detectando lo desconocido

Aspectos destacables• Protección eficaz contra el

compromiso por APT: Protección en las fases de intrusión y persistencia.

• Detección de amenazas no conocidas, mediante análisis de comportamiento y sin necesidad de firmas.

• Detección a medida: desarrolle sus propias capacidades para la detección de amenazas dirigidas

• Acelere los ciclos de investigación: Simplifique los procesos de análisis de datos, facilitando la detección a su equipo de analistas (threat hunting)

• Obtenga visibilidad completa e informada del movimiento de información no legítimo en su organización

• Instalación rápida y sencilla usando métodos no intrusivos.

Amenazas Avanzadas PersistentesHoy en día, los ciberataques son más sofisticados y dirigidos que nunca. Hemos pasado de amenazas conocidas, puntuales y dispersas, a amenazas de gran sofisticación, persistentes, y con objetivos muy concretos conocidas como APT (Advanced Persistent Threats).

Su nivel de sofisticación, premeditación y persistencia ha hecho que los mecanismos de detección y protección tradicionales, orientados a la detección y bloqueo de amenazas conocidas, dejen de ser eficaces.

Estas amenazas no buscan un beneficio a corto plazo, permanecen desapercibidas y constantes hasta alcanzar su objetivo. Sus pretensiones son muy altas y las organizaciones víctimas de las mismas raramente saben que son objetivos y desconocen su origen. Sus objetivos pueden ser económicos, militares, técnicos o políticos afectando principalmente a organizaciones de sectores estratégicos o que manejan información sensible.

Identificar un compromiso por una APT tiene una enorme complejidad, y es en la práctica, como encontrar una aguja en un pajar.

Defensa contra compromisos por APT

www.s2grupo.es Anticipando un mundo ciberseguro

Una de cada cinco empresas ha sufrido un

compromiso por APT

El 94% de los encuestados cree que este tipo de ataques

representan una amenaza para la estabilidad económica

y la seguridad nacional.

Más del 80% considera que su empresa no ha

actualizado su protección frente a este tipo de amenazas

El 63% opina que es sólo una cuestión de tiempo el que

su empresa sufra un APT.

* Según estudio realizado por ISACA entre 1.500 profesionales

CARMEN es la capacidad nacional para la identificación de amenazas persistentes avanzadas (en concreto, del malware avanzado asociado a dichas amenazas). Es un producto desarrollado por S2 Grupo apoyado por el Centro Nacional de Inteligencia a partir de la experiencia adquirida en el trabajo de campo en el ámbito de la vigilancia avanzada.

CARMEN monitoriza el tráfico entrante a la organización para ayudar a identificar y detener las amenazas en fase de intrusión, mediante la aplicación de técnicas avanzadas de sandboxing. Sin embargo, hoy en día hay que asumir que no es suficiente con proteger el perímetro y hay que trabajar dando por hecho, que las amenazas ya han superado esta fase de intrusión.

Por este motivo, Carmen pone el foco en el procesamiento y análisis de tráficos de red salientes (Command & Control y exfiltración) de

la organización vigilada, con el objetivo de identificar exfiltraciones o comunicaciones con sistemas C2 en protocolos como HTTP, DNS o SMTP (los más habituales para este tipo de comunicaciones) así como mecanismos habituales de mantenimiento de persistencia o robo de información en la red corporativa (movimiento lateral).

Para ello, se adquiere la información de estos tráficos tanto de forma pasiva (vía sniffing y disección del protocolo, por ejemplo Passive Proxy) como mediante la recepción de registros (por ejemplo, proxy HTTP), se normaliza y se almacena. A partir de entonces, puede comenzar el análisis automático, semiautomático y manual, convirtiéndose CARMEN en una herramienta de apoyo a la toma de decisiones que permita a un analista de seguridad encontrar la aguja en el pajar; priorizando los elementos a analizar de entre todo el volumen de datos adquirido.

¿Qué es y cómo funciona?

Para lograr el objetivo de ayudar al analista de seguridad, CARMEN trabaja en varios frentes: la detección de usos indebidos, el análisis del comportamiento y la detección de anomalías, tanto estadísticas como basadas en conocimiento (este último ámbito especialmente interesante, ya que posibilita mucho el intercambio de información, la compartición de inteligencia relativa a malware avanzado). Así, analiza

los datos relativos a tráfico adquiridos y almacenados en la plataforma, buscando patrones de comportamiento que, con mayor o menor probabilidad puedan denotar bien una exfiltración de información o, alternativamente, la comunicación con servidores C&C bien un movimiento lateral sospechoso.

www.s2grupo.es Anticipando un mundo ciberseguro

Investigue, detecte y detenga los compromisos por Amemanzas Avanzadas Persistentes dirigidos a su organización

DATASHEET

Capacidades • Sistema no intrusivo. Adquisición pasiva de la

información a partir de protocolos como HTTP, HTTPS, DNS, SMTP o NETBIOS.

• Detección de intrusión mediante técnicas avanzadas de sandboxing, detonando ficheros identificados como sospechosos en una fase previa de triaje .

• Detección de usos indebidos, por identificación de accesos a direcciones no legítimas. Catálogo de Identificadores de Compromiso, soporte para OpenIOC.

• Detección de anomalías estadísticas, haciendo destacar la actividad del malware entre el importante volumen de tráfico legítimo.

• Detección de anomalías en series temporales usando mapas de calor y patrones de conexión recurrente.

• Análisis de comportamiento mediante identificación de patrones en el tráfico de red, a partir de un catálogo prediseñado de analizadores o personalizado por el usuario.

• Detección de anomalías en URL mediante análisis entrópico.

• Detección de anomalías y usos indebidos env puesto de usuario, correlación con actividad de red.

• Detección de movimiento lateral analizando tráfico no legitimo o sospechosos entre los puestos de usuario y/o servidores.

• Potente interfaz para el desarrollo de Plugins con extensiones en Python que permite ajustar las capacidades de detección a las particularidades de una amenaza dirigida.

• Soporte para investigaciones durante todo su ciclo de vida, facilitando el proceso de Threat Hunting.

• Reciba alarmas por detección de anomalías con toda la información contextual, que den lugar a una nueva investigación o complementen una existente.

• Detección de exfiltración sin movimiento externo, en la que la información no es exfitrada directamente sino depositada en un recurso accesible desde el exterior.

• Integración con honeypots. Tienda una red de señuelos en su organización y reciba alertas en Carmen

• Integración con eMas Incident Handling y LUCIA para la gestión de incidentes

www.s2grupo.es Anticipando un mundo ciberseguro

902 882 992info@s2grupo.eswww.s2grupo.es Anticipando un mundo

ciberseguro

Para saber más sobre cómo Carmen puede ayudar a proteger su organización, o solicitar una demo, póngase en contacto con nosotros.

Solicite una demo

Arquitectura

Carmen se distribuye en forma de appliance, físico o virtual, con diferentes soportes hardware en función del volumen de datos a procesar y las interfaces de red a las que se deba conectar.

La arquitectura flexible de Carmen permite su despliegue de forma centraliza, con un único nodo asumiendo las funciones de recolección,

procesamiento y análisis así como dar respuesta a escenarios más complejos con varios nodos de recolección y procesamiento conectados a un nodo central de análisis.

RIC (Red de inteligencia compartida)Las amenazas avanzadas evolucionan con mucha rapidez y los mecanismos de protección deben hacerlo al mismo ritmo. Compartir inteligencia es clave para la detección y con este objetivo se crea RIC.

La Red de Inteligencia Compartida está concebida como un entorno colaborativo donde la comunidad de usuarios puede ir descargando nuevas capacidades previamente evaluadas y validadas.

Proteja su información sensible, su propiedad

intelectual y los activos críticos de su organización

Evite daños a la reputación corporativa y

sus marcas

Reduzca el impacto económico derivado de los

robos de información

Obtenga visibilidad completa y consciente del

movimiento de información no legítimo en su organización

Beneficios

carmen.ds.es.1.0.0