Vorpsel / Servicios / Defensa y respuesta
Blue team y threat hunting
Trabajamos junto a su equipo para asegurar que un ataque en su entorno realmente se vería. Verificamos qué cubren sus logs, escribimos y ajustamos las detecciones que faltan y buscamos actividad que ninguna alerta detectó todavía.
En resumen
- Para equipos que recopilan logs pero no saben qué detectarían
- Formato una evaluación cerrada, o un contrato mensual
- Funciona con las herramientas que ya tiene, no solo Vorpsel
- Queda con usted cada detección, consulta y playbook que escribimos
Recopilar logs no es lo mismo que detectar ataques
La mayoría de las empresas ya envía logs a algún lugar. Las preguntas difíciles vienen después: qué técnicas de ataque mostrarían esos logs, qué reglas se dispararían y si alguien notaría la alerta entre cientos de otras en un día con mucho movimiento.
Este servicio responde a esas preguntas con evidencias. Mapeamos sus fuentes de logs frente a técnicas de ataque conocidas, probamos las detecciones que tiene, cerramos las brechas que más importan para su negocio y dejamos a su equipo con menos alertas, y mejores.
Cuándo tiene sentido
Alertas que nadie lee
La plataforma genera cientos de alertas por día y el equipo dejó de mirar la mayoría.
Una plataforma de logs nueva con reglas de fábrica
Los logs están llegando a una herramienta nueva, pero las detecciones todavía son las que vinieron de fábrica.
Nadie sabe qué cubren los logs
Nadie puede decir qué ataques mostrarían los logs actuales y cuáles pasarían inadvertidos.
Un auditor pregunta por el monitoreo
Una norma o un cliente pide evidencia de que los eventos de seguridad se vigilan y se atienden.
Después de un incidente que nadie notó
Algo pasó y se descubrió tarde, y usted quiere saber por qué no se dispararon las alertas.
Un equipo pequeño con mucho que vigilar
Pocas personas se ocupan de la seguridad junto con otras tareas y necesitan menos alertas, y mejores.
Qué cubre el trabajo
Revisión de visibilidad
Empezamos listando lo que usted ve hoy: qué equipos, servidores, cuentas de nube y aplicaciones envían logs, cuánto tiempo se guardan y qué campos llegan realmente.
- Un mapa de sus fuentes de logs frente a las técnicas de MITRE ATT&CK que pueden revelar
- Puntos ciegos ordenados por la probabilidad de que un atacante los use contra usted
- Configuraciones concretas para activar, como auditoría de procesos o logs de DNS
Ingeniería de detección
Escribimos las detecciones que faltan y corregimos las que se disparan demasiado. Cada regla se prueba frente a una reproducción segura del comportamiento que debe detectar antes de ponerse en marcha.
- Reglas escritas para su plataforma, con descripción, severidad y los pasos de triaje
- Ajuste de reglas ruidosas con excepciones documentadas, no silenciosas
- Un registro de qué técnica cubre cada regla, para que la cobertura se pueda medir
Búsqueda de amenazas
Las alertas solo detectan lo que alguien pensó antes. Una búsqueda parte de una hipótesis, como una técnica conocida usada contra su sector, y busca señales de ella en el historial.
- Hipótesis elegidas a partir de la actividad de amenazas actual contra empresas como la suya
- Cada búsqueda documentada: qué se buscó, qué se encontró y qué se descartó
- Cualquier cosa sospechosa pasada a respuesta a incidentes el mismo día
Playbooks de respuesta
Una alerta solo sirve si quien la recibe sabe qué hacer después. Escribimos playbooks cortos para sus alertas más importantes y los repasamos con su equipo.
- Pasos para confirmar, contener y escalar, con el responsable de cada paso
- Un ejercicio de mesa con su equipo para probar un playbook antes de necesitarlo
Cómo funciona
Una primera evaluación suele tomar de tres a seis semanas, según la cantidad de fuentes de logs. Después, muchos equipos nos mantienen en un contrato mensual para ajuste y búsqueda.
Alcance
Acordamos los entornos, la plataforma de logs y las amenazas que más le preocupan, y recibimos acceso de lectura a los logs.
Evaluación
Revisamos la visibilidad y las detecciones existentes y las probamos frente a las técnicas que le importan.
Construir
Escribimos y ajustamos detecciones y playbooks con su equipo y los implementamos en su plataforma.
Entrega
Usted recibe el informe, el mapa de cobertura y cada regla, y su equipo queda capacitado para mantenerlos.
Qué recibe
Mapa de cobertura
Qué técnicas de ataque puede ver y detectar hoy, y cuáles no, antes y después del trabajo.
Detecciones y playbooks
Cada regla y playbook en su propia plataforma, documentados y de su propiedad.
Informe y hoja de ruta
Hallazgos para el equipo técnico, un resumen de una página para la dirección y una lista priorizada de próximos pasos.
Formas de trabajar con nosotros
Ambas opciones usan el mismo método. La diferencia es cuánto tiempo nos quedamos.
| Opción | Indicado para | Qué incluye |
|---|---|---|
| Evaluación | Una primera medición de lo que puede ver y detectar | Revisión de visibilidad, pruebas de detección, reglas nuevas y ajustadas, mapa de cobertura e informe |
| Contrato mensual | Mantener la detección al día a medida que cambia el entorno | Ajuste regular, detecciones nuevas para amenazas nuevas, búsquedas cada mes y un informe mensual corto |
Preguntas
¿Necesitamos usar el SIEM de Vorpsel?
No. Trabajamos con la plataforma de logs que ya tiene. Si usa Vorpsel, las detecciones que escribimos entran directo en su lista de reglas.
¿Es un servicio de detección gestionada?
No. No vigilamos sus alertas las 24 horas. Mejoramos su propio monitoreo y entrenamos a su equipo para operarlo. Si algo aparece durante una búsqueda, le avisamos de inmediato y podemos iniciar la respuesta a incidentes.
¿Qué acceso necesitan?
Acceso de lectura a los logs y a las reglas de detección. No necesitamos permisos de administrador en sus equipos, y el acceso se quita al final del trabajo.
¿Cómo miden el resultado?
Por la cobertura: la cantidad de técnicas relevantes que podía detectar antes y después, y por el volumen de alertas que no requerían acción antes y después del ajuste.
¿Con qué plataformas de logs trabajan?
Las plataformas de SIEM y de logs más comunes, incluido el SIEM de Vorpsel. Indíquenos cuál usa durante el alcance y confirmamos qué podemos hacer en ella.
¿Pueden trabajar junto a nuestro proveedor de seguridad gestionada?
Sí. Podemos revisar las detecciones que operan para usted, proponer cambios y ayudarle a hacer las preguntas correctas sobre cobertura.
Otros servicios
Cuéntenos qué necesita.
Respondemos con algunas preguntas sobre el alcance y luego enviamos una propuesta con fechas y precio.