Seguir
Todos los días, tu SOC se ahoga en alertas aisladas: un inicio de sesión sospechoso aquí, un lanzamiento de proceso extraño allá, una conexión saliente rara en otro lugar. Individualmente, cada uno parece ruido. Juntos, pueden ser la firma temprana de una campaña coordinada de adversarios que ya se está desarrollando dentro de tu entorno. El problema no es la falta de datos, sino la falta de conexión.
Cadenas de Ataques cambia esa ecuación. En lugar de pedirle a tus analistas que unan manualmente docenas de señales de baja confianza, Cadenas de Ataques lo hace automáticamente por ellos, correlacionando los resultados de escaneos históricos en tu SIEM, EDR/XDR y Data Lake (Prime Hunt), o flujos de eventos en tiempo real a medida que se generan, antes de que esos datos incluso lleguen a tu SIEM (Prime Detect). De cualquier manera, no correlaciona contra un conjunto de reglas estático y genérico, sino contra Amenazas Activas: amenazas del mundo real recién identificadas mientras se publican para detectar posibles Cadenas de Ataques antes de que se conviertan en incidentes confirmados. Eso significa que tu lógica de detección siempre estará tan actualizada como el propio panorama de amenazas.
Dónde encontrarlo: Cadenas de Ataques vive como su propia pestaña dentro de ambos Prime Hunt and Prime Detect. Si estás trabajando con datos históricos, ve a Prime Hunt → Cadenas de Ataques. Si deseas correlación en tiempo real antes de que los datos lleguen a tu SIEM, ve a Prime Detect → Cadenas de Ataques.
Siempre Observando lo Nuevo
Una vez que estés en Cadenas de Ataques, la pestaña de Amenazas Monitorizadas muestra cada Amenaza Activa contra la cual se está correlacionando tu entorno. Cadenas de Ataques se mantiene actualizada sin ningún esfuerzo de tu parte. En el momento en que se identifica una nueva amenaza en estado salvaje, ya forma parte de aquello contra lo que se está verificando tu entorno: sin esperar una actualización de reglas, sin ciclo de investigación manual. Aún decides qué es lo más importante para tu organización, centrando la correlación en las amenazas más relevantes para tu industria o perfil de riesgo.
Habilita o deshabilita amenazas individuales, o aplica acciones masivas para gestionar varias a la vez, directamente desde la lista de Amenazas Monitorizadas, para que tu alcance de correlación siempre refleje lo que realmente importa a tu organización.
Y si la cobertura de detección de una amenaza no está realmente funcionando, ya sea porque no se ha escaneado aún o porque una regla no está bien conectada, lo verás de inmediato, en lugar de descubrirlo después. Así es como se ve:
Un símbolo de verificación verde significa que la cobertura de detección de una amenaza está plenamente implementada. Una etiqueta de problema señala un vacío: haz clic para ver exactamente qué falta.
La Imagen que Te Dan las Cadenas de Ataques
Una vez que se forma una cadena, no es solo un montón de eventos correlacionados, es una historia lista para investigar, tanto a nivel del programa como caso por caso.
De un vistazo, tu Resumen de Cadenas de Ataques te da un pulso en tiempo real sobre tu exposición general: cuántas cadenas se han construido, cuántas amenazas activas están siendo vigiladas, cuántos hosts están involucrados y cuánta de tu cobertura de detección está realmente activada. Es el tipo de resumen que cambia «¿somos el objetivo?» en un número que puedes verificar en segundos.
Haz clic en cualquier cadena individual desde la pestaña de Cadenas de Ataques , y tu equipo obtiene:
- Un resumen generado por IA de la actividad detectada, para que los analistas obtengan contexto inmediato
- Una línea de tiempo visual de técnicas de adversarios, mostrando exactamente cómo progresó el ataque paso a paso, con técnicas ya confirmadas por reglas de detección más actividad capturada a través de coincidencia de patrones difusos (Prime Hunt)
- Atribución de actores de amenazas y técnicas, mapeadas a marcos de referencia estándar de la industria, para que la delimitación de alcance y la construcción de contexto comiencen de inmediato en lugar de desde cero
- Una coincidencia clara, mostrando qué tan alineada está la actividad con un patrón de ataque conocido, para que tu equipo sepa exactamente con qué seriedad tratar el asunto
- Contexto completo de activos y entorno — qué host, qué parte de tu infraestructura, y cuál de tus fuentes de datos la recogió — para que no haya conjeturas sobre dónde buscar a continuación
- Un camino directo de vuelta a tus herramientas existentes, permitiendo a los analistas pivotar directamente a los eventos subyacentes sin perder tiempo ni contexto
- Un rastro de investigación integrado, rastreando el estado de la Cadena de Ataque desde que se detectó hasta que se resolvió por completo, y nada se pasa por alto
El ruido de baja confianza es filtrado por la IA, por lo que lo que llega a tu equipo por defecto es lo que realmente merece su atención, con la opción de profundizar en todo lo demás cuando lo elijan.
Uniéndolo Todo: Configurar la Correlación de Cadenas de Ataques
Con la inteligencia de amenazas y la imagen que produce en mente, así es como se le dice a Cadenas de Ataques exactamente cómo correlacionarlo:
- Establece el umbral para formar una cadena — el porcentaje mínimo de la secuencia de técnicas de una amenaza que debe coincidir antes de que se formen Cadenas de Ataques
- Define la ventana de correlación — qué tan juntos en el tiempo deben ocurrir los eventos para ser correlacionados
- Define la ventana de retrospectiva — hasta qué punto busca el motor al buscar eventos relacionados (Prime Hunt solo)
- Elige tus fuentes de datos — incluye o excluye las fuentes de SIEM, EDR/XDR y Data Lake (Prime Hunt) o temas (Prime Detect) que alimentan la correlación, y opcionalmente auto-inscribir nuevos conforme se añadan
- Revisa la configuración de intercambio de datos — se deben transmitir y almacenar datos de nombre de host para que la correlación funcione, lo que puede requerir consentimiento explícito (Prime Hunt)
-
Guardar y hacer clic en Ejecutar — el monitoreo de Cadenas de Ataques está activo desde ese instante, verificando continuamente tu entorno contra las amenazas más nuevas a medida que surgen
