Ayer leí el post de Alvaro Morales y me pareció sublime, la verdad. Así que, quería dar un poco mi opinión, salvando las distancias, ya que su post ya está perfecto. Si no lo has leído, te animo a ello y a que sigas a Álvaro.
El CEO preguntó: "¿Por qué no detectaron la amenaza durante tres días?" La respuesta que duele admitir: "Porque seguimos luchando contra incendios con extintores mientras los atacantes usan lanzallamas".
Este caso que todos hemos visto en LinkedIn (y que alguno igual hasta ha vivido) refleja una situación que se repite en muchas empresas: cientos de señales de alarma perdidas entre montañas de falsas alertas, días de actividad sospechosa sin detectar, y el descubrimiento “tarde, mal y nunca", cuando el daño ya es irreversible.
Pero lo más alarmante no es el ataque en sí. Es seguir haciendo las mismas preguntas equivocadas de siempre, después de cada incidente.
No deberíamos preguntarnos "¿por qué no bloquearon el ransomware?"
La pregunta que realmente importa es: ¿qué falló en nuestro sistema de detección para que pasaran desapercibidas actividades claramente maliciosas durante X tiempo?
La respuesta, aunque incómoda, es evidente... porque nuestras defensas están diseñadas para amenazas que ya no existen, mientras los atacantes evolucionan a velocidad de vértigo.
Cambiando el juego: De la detección tardía a la prevención temprana
La solución que plantea Álvaro, no es ciencia ficción. Es aplicar lógica básica a la ciberseguridad moderna. Se basa en un principio tan simple como poderoso:
Todo ciberataque sigue un patrón reconocible mucho antes de causar daño. Si identificas el patrón a tiempo, ganas. Si esperas a ver el daño, pierdes.
Los seis pilares que sostienen este sistema:
1. Monitorización de comportamientos sospechosos
Dejemos de buscar "virus conocidos" para centrarnos en "comportamientos sospechosos". Unos ejemplos:
- Un usuario de contabilidad que de repente ejecuta comandos de red típicos de administradores.
- Intentos de acceso a sistemas de backup desde equipos que nunca antes lo habían hecho.
- Servicios críticos de seguridad que se detienen misteriosamente fuera del horario de mantenimiento.
- Patrones de lectura masiva de archivos en servidores que no corresponden con la actividad normal del usuario.
2. Conectar los puntos entre eventos relacionados
Una alerta aislada puede ser un falso positivo. Pero cuando ves varias relacionadas en pocos minutos, estás ante un incidente real.
Pensemos esta secuencia: a las 3:14 PM, un usuario abre un archivo PDF aparentemente legítimo. A las 3:16 PM, ese mismo equipo intenta conectarse a múltiples servidores internos. A las 3:18 PM, aparecen comandos de administración de shadows copies. Por separado, cada evento podría ser inocente. Juntos, cuentan una historia muy diferente.
3. Sistema de puntuación que aprende del contexto
No funciona como un semáforo (verde/rojo) sino como un termómetro de riesgo. Cada actividad sospechosa suma puntos:
- Intentar desactivar el antivirus: 30 puntos.
- Ejecutar herramientas de administración desde equipos de usuarios: 25 puntos.
- Acceder a carpetas de backup sin justificación: 35 puntos.
- Cuando la suma supera los 90 puntos, el sistema actúa automáticamente.
4. Respuesta inmediata, sin burocracia
Cuando el sistema detecta peligro real, no espera aprobaciones. Actúa en segundos:
- Aislamiento inteligente: El equipo comprometido pierde conexión con el resto de la red, pero mantiene acceso a sistemas críticos de gestión. Es como ponerlo en cuarentena sin dejarlo incomunicado.
- Contención de procesos: Se terminan los procesos maliciosos y se bloquea su ejecución futura. No es solo "matar" el proceso actual, sino impedir que vuelva a arrancar.
- Cortar el hilo de comunicación: Se bloquean las conexiones a servidores externos de control, impidiendo que el atacante reciba órdenes o envíe información.
- Guardar las pruebas: Se captura una "foto" del sistema en ese momento exacto (memoria, procesos activos, conexiones de red) para que los forenses puedan analizar lo ocurrido después (y aprender de ello).
5. Defensa distribuida que no depende de un centro único
Cada endpoint tiene capacidad de decidir por sí mismo. Si el servidor central está comprometido, los equipos siguen protegiéndose solos.
6. Aprendizaje continuo de cada incidente
Cada falso positivo ayuda a afinar el sistema. Cada ataque real enseña algo nuevo sobre cómo operan los adversarios.
Por qué este enfoque marca la diferencia:
Las herramientas tradicionales te dicen "aquí ha pasado algo malo". Este sistema te avisa "aquí está pasando algo malo en este momento".
La diferencia es abismal. Pasas de días a segundos. De ser reactivo a ser preventivo. De preguntarte "cuánto hemos perdido" a "cuánto hemos evitado perder".
Implementación realista: Más accesible de lo que parece
Muchos os preguntaréis: ¿necesito un equipo de ingenieros de Silicon Valley y un presupuesto ilimitado? (Spoiler: no).
La verdad es que la mayoría de empresas ya tienen lo básico:
- Los logs de Windows contienen toda la información necesaria.
- PowerShell puede monitorizar casi cualquier actividad del sistema.
- Los firewalls modernos permiten automatizar reglas vía API.
- Python y Go tienen librerías maduras para todo esto.
Los retos de verdad están en otro lado:
- Confianza: Aprender a delegar decisiones críticas en sistemas automatizados.
- Procesos: Tener protocolos claros para cuando el sistema se equivoca (que ocurrirá).
- Prioridades: Entender que esto es más importante que parchear la última vulnerabilidad del día.
Casos donde esta aproximación demuestra su valor:
- Ataques a la cadena de suministro: Software legítimo comprometido que se comporta de forma anormal.
- Ransomware como servicio (RaAS): Cada variante es nueva, pero los pasos que siguen son “los mismos”.
- Amenazas internas: Empleados que comienzan a realizar actividades fuera de lo normal.
¿Por qué no lo tiene todo el mundo?
Porque requiere cambiar formas de trabajar muy consolidadas:
- De "quiero cero falsas alertas" a "quiero detectar todo lo importante".
- De "necesito evidencia perfecta" a "actúo con indicios suficientes".
- De "un humano debe aprobar cada acción" a "la máquina ejecuta, el humano supervisa".
El futuro es claro: O te automatizas o te vuelves irrelevante
Los números hablan por sí solos:
- Detección tradicional: 3 días
- Con este enfoque: 80 segundos
- Coste medio de un ransomware: 1.85M€
- Coste de implementación: una fracción mínima
Para los técnicos que leen esto:
¿Python o Go? Depende de tu escala. Python para empezar, Go para crecer. ¿Reglas simples o machine learning? Empieza con reglas, el ML llegará después. ¿Procesamiento local o central? Decide local, correlaciona central.
Una reflexión para terminar:
Si tu equipo de seguridad sigue obsesionado con "reducir falsos positivos" en lugar de "detectar ataques reales a tiempo", estás perdiendo la guerra antes de empezar.
El ransomware no espera a que tus analistas terminen su café mientras correlacionan manualmente eventos. Por lo tanto, tus sistemas defensivos tampoco deberían hacerlo.
La pregunta ya no es "¿cómo detectamos mejor?" La pregunta que define el éxito actual es: "¿cómo respondemos más rápido de lo que el atacante puede actuar?"
Cuando encuentres la respuesta a eso, habrás cambiado las reglas del juego para siempre.
