Información de seguridad

Figura 1. Arquitectura de Security Insights

Cómo funciona

Como complemento de LiveWire accesible a través de la interfaz de usuario de LiveNX, Security Insights funciona de forma nativa en los entornos existentes de LiveNX y LiveWire, transformando la observabilidad de la red en inteligencia de seguridad útil. Utilizando los mismos datos que alimentan la supervisión del rendimiento, permite una detección práctica de la red sin añadir herramientas ni complejidad. Al aprovechar la telemetría de flujos de LiveNX y el análisis a nivel de paquetes de LiveWire, Security Insights correlaciona estos hallazgos en todos los entornos —LAN, WAN, SD-WAN, centro de datos y nube—, lo que proporciona a los equipos una visibilidad completa de dónde y cómo surgen las amenazas.

LiveWire proporciona una visibilidad forense en profundidad mediante la captura y el análisis a nivel de paquetes en el perímetro de la red. No solo captura cargas útiles —tanto cifradas como en texto claro—, sino que también identifica patrones y reconstruye sesiones. Este proceso de captura y análisis se denomina LiveFlow. A continuación, estos registros de LiveFlow se envían a LiveNX, que detecta anomalías mediante la agregación y el enriquecimiento de datos telemétricos exhaustivos del tráfico de red. Los datos de flujo de tráfico se recopilan en LiveNX a partir de NetFlow, IPFIX, sFlow y los registros de alta velocidad y unificados de Cisco.

A continuación, el panel de control centralizado de LiveNX muestra estas amenazas detectadas y las anomalías de tráfico. Security Insights es una plataforma abierta y basada en estándares, lo que permite la correspondencia con los marcos Open Worldwide Application Security Project (OWASP) y MITRE ATT&CK, así como una integración perfecta con herramientas SIEM, SOAR y XDR para una respuesta coordinada. Si una amenaza detectada se observa por primera vez en un SIEM u otra solución de seguridad, los equipos de seguridad y de redes pueden aprovechar LiveNX y LiveWire para realizar una investigación más exhaustiva.

Tanto LiveWire como LiveNX son componentes necesarios para Security Insights.

Casos de uso

En esta sección se describen tres escenarios de detección reales que demuestran las ventajas de utilizar Security Insights.

Caso de uso 1: Detección de actividad anómala en el protocolo Transport Layer Security

MITRE ATT&CK ID T1571 – Puerto no estándar

Una empresa de logística global experimenta picos inesperados de tráfico cifrado en puertos no estándar. Security Insights detecta automáticamente este patrón como «Cifrado inesperado en un puerto reservado por la IANA», un claro indicador de actividad maliciosa de tunelización utilizada para ocultar comunicaciones de comando y control (C2).

Flujo de trabajo de investigación:

1. Detection (Security Insights)
   • Detecta tráfico cifrado en el puerto 8088, que no suele utilizarse para comunicaciones seguras.
   • Asigna la detección a MITRE T1571 y marca el evento.
   • Realiza cruces de referencias con los puertos reservados por la IANA para su validación y avisa automáticamente al equipo de operaciones de seguridad.
2. Analysis (LiveNX)
   • Visualiza las subredes afectadas e identifica los sistemas que generan el tráfico anómalo.
   • Correlaciona los registros de flujo a través de enlaces WAN y SD-WAN, lo que confirma que el patrón se limita a una única pasarela de IoT.
   • Detecta intervalos de comunicación recurrentes, un rasgo característico de las balizas.
3. Forensics (LiveWire)
   • Captura e inspecciona paquetes para confirmar las cargas útiles cifradas.
4. Response
   • El equipo de operaciones de seguridad aísla la pasarela de IoT y bloquea todo el tráfico saliente en los puertos no autorizados.
   • Los datos forenses se exportan al SIEM para su validación tras el incidente y la elaboración de informes de cumplimiento normativo.

Resultado: la detección temprana impidió que el malware estableciera persistencia C2, redujo el tiempo de detección de horas a minutos y mejoró la visibilidad del tráfico cifrado sin la sobrecarga que supone el descifrado.

Figura 2. Panel de resumen y vista detallada de Security Insights en LiveNX

Caso de uso 2: Búsqueda proactiva de amenazas con indicadores de inteligencia sobre amenazas

ID de MITRE ATT&CK: T1102 – Servicio web

La fuente de inteligencia sobre amenazas de una entidad financiera informa de dominios sospechosos asociados a una reciente campaña de infraestructura C2. Mediante Security Insights, el equipo de seguridad busca de forma proactiva en toda su red híbrida cualquier indicio de contacto con dichos dominios.

Flujo de trabajo de investigación:

1. Detection (Security Insights)
   • Importa indicadores de compromiso de inteligencia sobre amenazas desde una fuente externa y los asocia a MITRE T1102.
   • Realiza una correlación en toda la red utilizando telemetría de flujos para identificar las comunicaciones salientes hacia dominios sospechosos.
   • Se detectan múltiples puntos finales que se comunican con el dominio app-sync-storage[.]net, clasificado como un posible servicio web C2.
2. Analysis (LiveNX)
   • Los analistas utilizan LiveNX para visualizar la frecuencia y la duración de las comunicaciones por terminal.
   • Correlaciona las consultas de DNS y los registros de flujo para confirmar contactos repetidos procedentes de una única subred dentro de la red de I+D.
   • Detecta patrones inusuales en el tamaño de los datos compatibles con la filtración a través de HTTPS.
3. Forensics (LiveWire)
   • Realiza la captura de paquetes de los hosts marcados para confirmar el comportamiento de la carga útil.
   • Identifica las solicitudes POST que contienen datos codificados en Base64 dirigidos al dominio sospechoso.
   • Extrae la carga útil para su análisis en un entorno aislado con el fin de confirmar la exfiltración maliciosa.
4. Response
   • Envía datos al SOAR para bloquear automáticamente los dominios comprometidos y los rangos de IP asociados.

Resultado: Se detuvieron las comunicaciones C2 encubiertas antes de que se produjeran pérdidas significativas para la empresa.

Caso de uso 3: Investigación forense de un ataque de uso indebido de certificados TLS

ID de MITRE ATT&CK: T1587.003 – Certificados digitales

Un gran proveedor de servicios sanitarios detecta un comportamiento irregular de los certificados SSL en todos sus centros de datos. Security Insights señala que se están utilizando múltiples certificados TLS autofirmados en el tráfico saliente, lo que podría indicar que hay malware utilizando certificados falsificados para eludir los controles de inspección.

Flujo de trabajo de investigación:

1. Detection (Security Insights)
   • Identifica múltiples certificados TLS autofirmados y no fiables que se utilizan en las conexiones salientes internas.
   • Se asocia a MITRE T1587.003 y se clasifica como «Actividad inusual de certificados».
2. Analysis (LiveNX)
   • Los analistas utilizan la visualización de flujos para aislar el tráfico procedente de los sistemas afectados.
   • Confirma sesiones TLS repetitivas y de corta duración desde una subred de dispositivos médicos IoT hacia una IP externa.
   • Detecta intervalos anómalos en el protocolo de enlace TLS y discrepancias en los cifrados.
3. Forensics (LiveWire)
   • Captura paquetes para un análisis forense completo.
   • Confirma que las conexiones salientes contienen comandos cifrados ocultos dentro de las cargas útiles TLS.
   • Identifica el uso de certificados autofirmados generados por el malware para establecer la persistencia.
4. Response
   • Integra los resultados en el SIEM y el SOAR para la revocación automatizada de certificados y el envío de alertas.

Figura 3. Panel de datos de paquetes individuales de Security Insights utilizado para una búsqueda forense

Resultado: se evitó la persistencia de C2 mediante certificados TLS falsificados, se mejoró el cumplimiento normativo y la preparación para auditorías al conservar pruebas a nivel de paquetes, y se reforzó la gestión de certificados en toda la organización.