Cuando hablamos de un ciberataque, solemos pensar en el momento en el que se produce el ataque: alguien accede a una cuenta, un dispositivo queda comprometido o una persona cae en una trampa.
Pero conseguir entrar no siempre significa que el ataque termine ahí.
En muchos casos, ese es precisamente el momento en que empieza otra fase. Una vez dentro, el ciberdelincuente puede intentar conocer el entorno, encontrar nuevos accesos, localizar información de interés o ampliar su capacidad de actuación dentro de la empresa.
Y lo más complicado es que, durante parte de ese proceso, todo puede parecer normal.
Un ataque no siempre se nota desde el principio
Una de las dificultades de detectar un incidente es que no siempre aparece una señal evidente.
No tiene por qué haber un sistema bloqueado, una pantalla con un aviso o una interrupción completa de la actividad. Algunas acciones pueden pasar desapercibidas mientras el ciberdelincuente intenta entender cómo está organizada la empresa y qué recursos tiene a su alcance.
Puede comenzar accediendo a una cuenta y, a partir de ahí, intentar obtener más información. Busca otros sistemas, revisa permisos, accede a recursos compartidos o utiliza credenciales que le permitan avanzar dentro de la empresa.
Mientras tanto, los empleados pueden seguir trabajando con normalidad y las aplicaciones pueden continuar funcionando.
Por eso, detectar un ciberataque no consiste únicamente en esperar a que algo deje de funcionar. También implica prestar atención a determinados cambios en el comportamiento habitual de los sistemas y los accesos.
Una vez dentro, el objetivo puede ser avanzar
Cuando un ciberdelincuente consigue acceder a un entorno empresarial, necesita saber qué tiene delante.
¿Qué sistemas existen? ¿Qué usuarios tienen acceso? ¿Dónde está la información que busca? ¿Qué permisos tiene la cuenta comprometida? ¿Hay otros equipos o recursos a los que pueda acceder?
Ese conocimiento puede permitirle avanzar poco a poco.
Una cuenta comprometida puede convertirse en un punto de partida para intentar acceder a otros recursos. Un permiso que no debería existir puede facilitar el acceso a información adicional. Un dispositivo comprometido puede utilizarse para continuar explorando la infraestructura.
Un incidente no siempre se desarrolla de forma rápida ni visible. Puede existir una actividad anómala durante un periodo de tiempo antes de que alguien identifique que algo no encaja.
El comportamiento habitual también es una herramienta de detección.
En ciberseguridad, conocer cómo funciona normalmente una empresa ayuda a identificar cuándo algo cambia.
Un usuario que accede habitualmente desde un determinado dispositivo y de repente aparece conectado desde otro lugar puede ser una señal que revisar.
Un sistema que empieza a realizar acciones fuera de su horario habitual también puede requerir atención.
Lo mismo ocurre cuando aparecen accesos que no corresponden con el comportamiento esperado, cambios de permisos que nadie reconoce, archivos que se modifican sin una razón clara o equipos que empiezan a comportarse de una manera diferente.
Ninguna de estas situaciones significa necesariamente que exista un ataque. Pero sí pueden ser señales que merecen ser investigadas.
La clave está precisamente ahí: detectar que algo se sale de lo habitual antes de que el problema vaya más lejos.
El problema puede crecer si no se detecta a tiempo
Cuanto más tiempo permanece un ciberdelincuente dentro de una organización sin ser detectado, más oportunidades puede tener para conocer el entorno y ampliar su acceso.
Por eso, la seguridad no debería centrarse únicamente en impedir que alguien entre. También es importante saber qué está ocurriendo dentro de los sistemas una vez que existe una actividad sospechosa.
Contar con mecanismos de monitorización, revisar los accesos y permisos y prestar atención a comportamientos anómalos permite tener una visión más completa de lo que sucede en la infraestructura.
Porque una empresa puede seguir funcionando aparentemente con normalidad mientras, en segundo plano, está ocurriendo algo que todavía no se ha identificado.
Detectar las señales cambia el escenario
No siempre es posible evitar que se produzca un intento de acceso. Lo que sí puede marcar una diferencia es la capacidad de identificar rápidamente que algo no está funcionando como debería.
Un acceso que no encaja.
Una actividad fuera de horario.
Un cambio de permisos inesperado.
Un equipo que comienza a comportarse de forma extraña.
Una actividad que no corresponde con el funcionamiento habitual.
Son pequeñas señales que, analizadas de forma conjunta, pueden ayudar a entender que existe un problema.
La ciberseguridad no termina cuando se establecen medidas para proteger los sistemas. También implica observar, detectar y entender lo que ocurre dentro de ellos.
Entender cómo avanza un ataque es el primer paso para detectarlo
Un ciberataque no siempre empieza con una gran alarma.
Puede comenzar con un acceso aparentemente normal y avanzar poco a poco mientras la empresa continúa con su actividad.
Entender este proceso ayuda a cambiar la forma en la que observamos la seguridad de una organización. No se trata de preguntarnos si estamos protegidos, sino también de saber qué ocurre cuando algo se sale de lo habitual.
Porque cuanto antes se identifica una anomalía, antes se puede investigar y actuar.
Y la pregunta que deberíamos hacernos es: