Security Insights

Figura 1. Arquitectura de Security Insights

Cómo funciona

Como complemento de LiveWire accesible a través de la interfaz de usuario de LiveNX, Security Insights funciona de forma nativa en los entornos existentes de LiveNX y LiveWire, transformando la observabilidad de la red en inteligencia de seguridad útil. Utilizando los mismos datos que alimentan la monitorización del rendimiento, permite una detección práctica de la red sin añadir herramientas ni complejidad. Al aprovechar la telemetría de flujos de LiveNX y el análisis a nivel de paquetes de LiveWire, Security Insights correlaciona estos hallazgos en todos los entornos —LAN, WAN, SD-WAN, centro de datos y nube—, lo que proporciona a los equipos una visibilidad completa de dónde y cómo surgen las amenazas.

LiveWire proporciona una visibilidad forense profunda mediante la captura y el análisis a nivel de paquetes en el perímetro de la red. No solo captura cargas útiles —tanto cifradas como en texto claro—, sino que también identifica patrones y reconstruye sesiones. Este proceso de captura y análisis se denomina LiveFlow. A continuación, estos registros de LiveFlow se envían a LiveNX, que detecta anomalías mediante la agregación y el enriquecimiento de datos telemétricos exhaustivos del tráfico de red. Los datos de flujo de tráfico se recopilan en LiveNX a partir de NetFlow, IPFIX, sFlow y los sistemas de registro de alta velocidad y de registro unificado de Cisco.

A continuación, el panel centralizado de LiveNX muestra estas amenazas detectadas y las anomalías de tráfico. Security Insights es una solución abierta y basada en estándares, lo que permite la correspondencia con los marcos Open Worldwide Application Security Project (OWASP) y MITRE ATT&CK, así como una integración perfecta con herramientas SIEM, SOAR y XDR para una respuesta coordinada. Si una amenaza detectada se observa por primera vez en un SIEM u otra solución de seguridad, los equipos de seguridad y de red pueden aprovechar LiveNX y LiveWire para llevar a cabo una investigación más exhaustiva.

Tanto LiveWire como LiveNX son componentes necesarios para Security Insights.

Casos de uso

En esta sección se describen tres casos prácticos de detección que demuestran las ventajas de utilizar Security Insights.

Caso de uso 1: Detección de actividad anómala en el protocolo Transport Layer Security

MITRE ATT&CK ID T1571 – Puerto no estándar

Una empresa de logística global experimenta picos inesperados de tráfico cifrado en puertos no estándar. Security Insights detecta automáticamente este patrón como «Cifrado inesperado en un puerto reservado por la IANA», un claro indicador de actividad maliciosa de tunelización utilizada para ocultar comunicaciones de comando y control (C2).

Flujo de trabajo de investigación:

1. Detection (Security Insights)
2. Analysis (LiveNX)
3. Forensics (LiveWire)
4. Response

Resultado: la detección temprana impidió que el malware estableciera persistencia C2, redujo el tiempo de detección de horas a minutos y mejoró la visibilidad del tráfico cifrado sin la sobrecarga que supone el descifrado.

Figura 2. Panel de resumen y vista detallada de Security Insights en LiveNX

Caso de uso 2: Búsqueda proactiva de amenazas con indicadores de inteligencia sobre amenazas

ID de MITRE ATT&CK: T1102 – Servicio web

La fuente de inteligencia sobre amenazas de una entidad financiera informa de dominios sospechosos asociados a una reciente campaña de infraestructura C2. Mediante Security Insights, el equipo de seguridad busca de forma proactiva en toda su red híbrida cualquier indicio de contacto con dichos dominios.

Flujo de trabajo de investigación:

1. Detection (Security Insights)
2. Analysis (LiveNX)
3. Forensics (LiveWire)
4. Response

Resultado: Se detuvieron las comunicaciones C2 encubiertas antes de que se produjeran pérdidas significativas para la empresa.

Caso de uso 3: Investigación forense de un ataque de uso indebido de certificados TLS

ID de MITRE ATT&CK: T1587.003 – Certificados digitales

Un importante proveedor de servicios sanitarios detecta un comportamiento anómalo en los certificados SSL en sus centros de datos. Security Insights señala la presencia de múltiples certificados TLS autofirmados que se están utilizando en el tráfico saliente, lo que podría indicar que hay malware utilizando certificados falsificados para eludir los controles de inspección.

Flujo de trabajo de investigación:

1. Detection (Security Insights)
2. Analysis (LiveNX)
3. Forensics (LiveWire)
4. Response

Figura 3. Panel de datos de paquetes individuales de Security Insights utilizado para una búsqueda forense

Resultado: se evitó la persistencia de C2 mediante certificados TLS falsificados, se mejoró el cumplimiento normativo y la preparación para auditorías gracias a la conservación de pruebas a nivel de paquete, y se reforzó la gestión de certificados en toda la organización.