Una empresa del sector sanitario frustra miles de ciberataques

Gracias a ambos por acompañarnos. Si no les importa, dediquen un minuto a presentarse, explicar cuál es su  puesto y a qué se dedica su organización.

Claro, soy Quynn Kars, el arquitecto de seguridad de redes. Trabajamos para una organización del sector sanitario. Y yo soy Evan Martinez. Colaboro muy estrechamente con Quynn como ingeniero de seguridad de redes. Me encargo de implementar productos como este.

¿Cómo comenzó su relación con Akamai y qué productos se están utilizando actualmente en la organización?

Somos, principalmente, clientes de Akamai Guardicore Segmentation. Buscábamos una solución de microsegmentación o de filtrado del tráfico este-oeste mediante firewalls. En aquel momento todavía no teníamos muy definido lo que necesitábamos, y asistimos a un evento de proveedores con uno de nuestros socios, con el que colaboramos muy estrechamente; y tuve la suerte de conocer a alguien del equipo de ventas de Akamai y pudimos hablar tranquilamente de las necesidades que yo creía que tenía nuestra organización. Y sobre cómo veía que iban las tendencias del sector y qué podría beneficiarnos. Así que no tardamos mucho en fijarnos en Akamai Segmentation. Y luego, a través de algunas demostraciones y pruebas de concepto, pudimos encauzar el proyecto y convertirnos en clientes.

Echando la vista atrás a la implementación y adopción de Guardicore, ¿cómo cree que ha contribuido a transformar su organización desde su implementación y qué mejoras ha aportado?

Cuando estábamos trabajando en ese proyecto, analizábamos las configuraciones tradicionales de filtrado mediante firewalls que se habían utilizado durante años en distintos entornos, y queríamos adoptar un enfoque diferente que requiriera menos recursos humanos, pero que también lograra los mismos objetivos. Y, al hacerlo, Guardicore nos proporcionó todo eso. Nos dio esa solución basada en agentes. Nos ofreció algo que pudimos implementar desde el primer día y que nos permitió obtener un alto nivel de visibilidad y control sobre ese tráfico sin tener que realizar grandes cambios en la infraestructura en todo nuestro entorno. 

¿Qué opinión tiene sobre la aplicación de políticas asistida por IA y las recomendaciones de políticas? Es decir, ¿cómo se ha traducido eso en la organización en términos de mejora organizativa?

El GPE ha supuesto una mejora enorme de nuestros procesos, especialmente para el equipo de seguridad de la red, en lo que respecta a la rapidez con la que podemos llevar las aplicaciones al modo de aplicación de políticas. Esto no solo beneficia a los propietarios de las aplicaciones, que consiguen que la delimitación de sus aplicaciones esté plenamente operativa antes, sino también a nosotros, en el ámbito de la ingeniería y el esfuerzo que supone realizar esa implementación, ya que ha reducido el tiempo de forma significativa. Y la cantidad de horas de trabajo necesarias para definir un conjunto sólido de reglas de firewall que cubra todas las necesidades de comunicación de las aplicaciones de nuestro entorno. Esa ha sido, sin duda, la mayor mejora para nosotros.

¿Cuál ha sido su impresión hasta ahora sobre la implementación de Guardicore Segmentation y la relación con Akamai?

Ha sido realmente buena. Guardicore ha cumplido básicamente todos y cada uno de los requisitos que buscábamos. Queríamos visibilidad, un control sencillo, granularidad, y todo ello se resolvió desde el primer día. La implementación ha sido sencilla. Ha sido muy fácil generar confianza en el producto. Hasta ahora, ha cumplido con todas nuestras expectativas.

¿Cómo cree que se compara el motor de políticas de IA con cualquier solución de segmentación existente antes de adoptar el programa beta de generación de políticas? Es decir, ¿cómo fue la diferencia entre el antes y el después desde el punto de vista de la implementación?

Desde mi punto de vista, y después trabajando tan estrechamente con Quynn, diría que puedo recordar varias sesiones de trabajo de una hora de duración en las que me sentaba a realizar ingeniería inversa de los registros de tráfico de los servicios principales. Y, ya sabe, las horas de trabajo que eso conlleva. Pero no solo eso, el tráfico tiene que estar ahí, ¿no? La aplicación tiene que haber generado ese tráfico. Así que no solo tuvimos esas sesiones de una hora de duración, sino que también mantuvimos varias de ellas repartidas a lo largo de la semana para que llegara más tráfico. ¿Verdad? Y, con el motor GPE, no se trata solo de tomar esos datos en tiempo real como hacíamos nosotros en nuestro puesto. Analizaba los registros recopilados durante los últimos 30 días. Así pues, detecta aspectos que quizá no hubiera visto desde la última vez que borré los recuentos de incidencias de la política de alertas. Por lo tanto, ofrece una visión mucho más amplia de la que yo podría tener, sin tener que dedicarle cada vez más tiempo.

Desde su perspectiva y su puesto, ¿qué carga cree que el motor de políticas de IA ha aliviado a su equipo? Le ha liberado de la parte de detección, ¿no?

Al participar en este proyecto, nuestros propietarios de aplicaciones no siempre tenían una idea clara de lo que hacía su aplicación, con qué se comunicaba y demás. Por eso, contar con el motor de políticas nos ha permitido aportar a esa conversación una visión detallada de lo que hace su aplicación y de lo que esperamos implementar desde el punto de vista de las reglas. Con ello, podemos mostrar esta información a los propietarios de las aplicaciones y decirles: "Según el tráfico en los últimos 30 días, esto es lo que esperamos ver en cuanto a lo que hay que bloquear y lo que hay que permitir", y ellos solo tienen que dar el paso de validación. Esto permite que el proceso sea mucho más sencillo, mucho más fácil y mucho más fluido  para nosotros de principio a fin. Y esto ha sido fantástico.

¿Cómo valora la importancia que tiene para la organización poder simular las políticas antes de aplicarlas realmente, ya sea para evitar falsos positivos o para protegerse de interrupciones? ¿Cómo ha afectado esto a la organización? La simulación mediante reglas de alerta para cada conjunto de reglas de política me ha ayudado mucho a la hora de ganarme la confianza de mi comité de cambios.

Así que cada vez que activaba el modo de aplicación de políticas en un sistema —ya fuera de nivel 1, nivel 2, nivel 3 o lo que fuera—, tenía que pasar por el comité de cambios y obtener las autorizaciones necesarias. Desde que puedo hacerlo, me resulta diez veces más fácil ganarme la confianza de quienes deben aprobar los cambios, en comparación con, ya sabe, un firewall tradicional, en el que quizá intentáramos implementar una nueva regla de bloqueo. Así que ha sido fantástico para quienes ocupan puestos directivos, pero también para los propios propietarios de las aplicaciones: puedo demostrarles y tranquilizarles asegurándoles que no les voy a provocar un tiempo de inactividad en su día libre ni una llamada en mitad de la noche porque Guardicore haya bloqueado tráfico que no querían que se bloqueara. Así que ha supuesto un gran avance en cuanto a la confianza dentro de la organización.

¿Qué importancia cree que tiene la adopción de la IA en el ecosistema de herramientas y la protección de la IA en sí? ¿Qué importancia le da a contar con una IA explicable, con una base empírica más sólida que indique que esto es  lo que estamos observando para aplicar esta política, de modo que no solo se genere tranquilidad en toda la organización, sino que también se mantenga la intervención humana en el proceso? Es decir, podemos hacer todas estas recomendaciones de políticas y proporcionar las pruebas, pero, en esencia, es necesario que sea una persona la que decida su aplicación, para que no se haga de forma totalmente automatizada. ¿Qué importancia tiene eso para usted?

Es interesante, ¿verdad? Porque es muy importante. No queremos acumular deuda técnica. Con estas políticas de IA, ¿vale? Queremos que lo que se obtenga con estos sistemas sea algo limpio y que realmente aporte valor a la organización. Por lo tanto, es importante contar con información explicable sobre las reglas que se están implementando y sobre lo que la IA proporciona a los ingenieros o a nuestros equipos. Y es algo que, estoy seguro, ganará mucho terreno en los próximos años a medida que la IA se vaya generalizando en el sector.

Evan, ¿puede compartir algún ejemplo de algo que se haya sugerido y que haya ayudado a mejorar la seguridad o la estrategia de la organización? ¿Tiene algún ejemplo que compartir al respecto?

Sí, desde luego. Entonces, un ejemplo relacionado con GPE sería detectar que la aplicación 1 se comunica con la aplicación 2 a través del puerto 80, el 443 o cualquier otro. Y, luego, una segunda sugerencia mostraría que una única dirección IP está realizando exactamente la misma comunicación. Para mí, eso es una señal de alerta inmediata de que nos hemos dejado algún agente sin desplegar o sin asociar correctamente a las etiquetas de la aplicación. Entonces, hay que investigar algo para determinar: vale, ¿  qué es este equipo final al que Guardicore no tiene asociada ninguna etiqueta ni reconoce como activo gestionado? Y luego puedo trabajar con el equipo de aplicaciones, descubrir de qué se trata y asignarle las etiquetas adecuadas para que, de esa forma, tengamos visibilidad real, pero también la aplicación de las políticas vinculadas a ello. Así no habrá cargas de trabajo no autorizadas ejecutándose en nuestro entorno.

¿Hay alguna ventaja cuantificable que le hayan aportado las herramientas, como, por ejemplo, algo relacionado con la resolución de problemas de los usuarios finales, el tiempo ahorrado o cualquier otra cosa que se le ocurra a raíz de la implementación que ha
experimentado desde el punto de vista de las operaciones?

Sí, sin duda. En lo que respecta a las operaciones, estoy un poco alejado del punto de vista de la seguridad de la red de lo que estamos haciendo aquí. De hecho, me llaman para sesiones de resolución de problemas o tiempos de inactividad, sea lo que sea, para cosas que ni siquiera tienen que ver con las aplicaciones o los sistemas que gestiono, simplemente porque tengo visibilidad a nivel de procesos de lo que está ocurriendo. Así que, ya sabe, puedo ver, por ejemplo, si un servidor de aplicaciones tiene  configurado un relé SMTP que apunta a un registro DNS existente, pero no hay ningún servidor en esa dirección Y luego los otros 10 servidores del conjunto lo tienen todos configurado para otra cosa que sí responde, y esa es la configuración correcta. En muchas  ocasiones, me incluyen en una sesión de resolución de problemas para profundizar hasta el nivel de los procesos y aportar esa información adicional que los propietarios de las aplicaciones deben tener en cuenta.

¿Según su experiencia, qué importancia tiene explicar a sus compañeros lo que ha hecho Akamai de forma diferente con la IA?

Creo que es importante. Y lo es porque muchas organizaciones están incorporando la IA a sus sistemas y, ya sabe, si eso realmente aporta valor a la experiencia del usuario final o a la de los ingenieros es una cuestión discutible. Y creo que la forma en que Akamai ha abordado ese tema es una de las mejores metodologías. Lo que están haciendo es aportar valor de verdad. El motor GPE no es solo algo que genere basura. Por muy fácil que sea decirlo, las sugerencias reales que genera el motor son realmente útiles. Aporta valor a nuestra organización y realmente nos permite ahorrar tiempo. Y es lo que me gustaría que hicieran más proveedores.

¿Qué cree que, en toda la plataforma, ha aportado más valor a su organización?

Sin duda diría que el motor GPE es lo que más valor ha aportado. Aparte de las necesidades de segmentación que Guardicore ha cubierto para nuestro entorno, una vez realizada la compra y convertidos en clientes, el valor añadido fue realmente el lanzamiento de las funciones del GPE. Quynn y yo tenemos varios proyectos en marcha en todo momento. Participamos en reuniones para resolver problemas relacionados con nuevas iniciativas. Por eso, el hecho de ahorrar un poco más de tiempo a algunos de nuestros usuarios avanzados en la fase de implementación ha supuesto una gran ventaja para nosotros, ya que nos ha permitido liberar tiempo y centrarnos en otras tareas que quizá no se realizan con tanta eficiencia.

Cuando se planteaban diferentes soluciones de segmentación, ¿cómo cree que, desde el punto de vista de un proveedor de segmentación, Guardicore ha acabado reduciendo realmente el tiempo necesario para la delimitación?

¿Ha ampliado el valor de sus ventajas, ya sabe, en términos de estimaciones de tiempo de implementación en toda la organización? ¿Cómo cree que Akamai ha logrado realmente eso dentro de la organización? 

Creo que la mejor forma de explicarlo es que el sector llevaba mucho tiempo siguiendo una forma establecida de llevar a cabo la segmentación este-oeste. Se trataba de conseguir un firewall tradicional, instalarlo en la red en el punto de presencia deseado y configurar allí las reglas de firewall, o bien aplicar algunas ACL en un conmutador. Disponer de un agente que simplemente permite definir una política, instalarla en el equipo y dejarlo listo para funcionar ha agilizado mucho la implementación. En un principio teníamos previsto adoptar un enfoque tradicional, y nos habría llevado meses poder pasar por tiempos de inactividad, periodos de mantenimiento, etc., para  llegar al punto en el que pudiéramos siquiera empezar a ver el tráfico sobre el que tomar decisiones. Y en cambio, bastó una semana para tener el agente en todas nuestras máquinas y completar el proceso de implementación. Y, como ya sabe, obviamente tuvimos que pasar por varias fases como todo el mundo, pero el tiempo necesario para obtener esa visibilidad fue mucho más corto. A partir de ahí, podemos empezar a implementar políticas y a tomar decisiones. Podemos empezar a hacer algo con esos datos, que están disponibles de inmediato. Así que creo que ha sido muy útil y que es definitivamente la tendencia que va a seguir el sector.

¿Cómo cree que ha contribuido Akamai Guardicore a la implementación de ese modelo Zero Trust en la organización? ¿Le ha abierto los ojos, desde el punto de vista operativo, a las posibilidades que ofrece Guardicore más allá de la función de filtrado del tráfico este-oeste mediante firewalls? ¿Ha habido otros casos de uso y valor que haya obtenido de la herramienta, además de lo que buscaba inicialmente?

Sí, desde luego. Teníamos nuestro plan de proyecto sobre cómo sería la implementación en cuanto nos convertimos en clientes y comprendimos las capacidades del producto. Y luego, como ha indicado, con el tiempo eso cambió a medida que adquirimos más experiencia con el producto y empezamos a entender de verdad lo que podíamos hacer con él. Sin entrar en demasiados detalles, como algunas de las aplicaciones que inicialmente decidimos delimitar y dejarlas así, volvemos a la fase 2 de la implementación y nos fijamos en los sistemas realmente sensibles. Quizá se trata de ofrecer una solución alternativa para un sistema que ya no recibe actualizaciones de seguridad, ya sabe, siendo mucho más estrictos con las reglas basadas en procesos. Se aplica la delimitación, es mucho más reducida. Así que, en lugar de, digamos, una aplicación en un entorno para delimitarla, se reduce el perímetro a un único clúster de servidores al que no se quiere permitir la comunicación con las estaciones de trabajo ni con el servidor de correo.

¿Cuántas aplicaciones protege actualmente, aproximadamente, teniendo en cuenta el punto de la implementación en el que se encuentra?

Sí, bueno, tenemos algo más de 100 aplicaciones y, ya sabe, ese número sigue creciendo a medida que la organización continúa expandiéndose. Y, sin duda, ha permitido que el proceso sea muy sencillo.

¿Cuánto tiempo cree que se tarda en comprender cómo funciona la respuesta ante incidentes? Y, en ese sentido, ¿ha contribuido a reducir el MTTR de la organización , por ejemplo, en lo que respecta a algunas de las tareas de investigación?

Sí, absolutamente. Nuestros analistas del SOC y nuestros equipos de respuesta a incidentes, como Evan y yo, también formamos parte de ese equipo. Esto nos ha permitido identificar con rapidez lo que está pasando Al tener esa vista de nivel de proceso, es como decir: "Vale, se ha activado una alerta de XDR para un proceso". No, "Vale, ahora no solo estamos analizando esos registros de XDR e intentando encajar todas las piezas, sino que podemos ver cosas como, ¿con qué ha hablado esa máquina en los últimos 7 días? ¿Qué ha estado haciendo exactamente?" ¿Ha generando ese proceso algún tráfico de red? Esto nos ha permitido realmente alcanzar otro nivel de visibilidad que es posible que otra herramienta XDR no ofrezca o no lo ofrezca con la misma eficacia que Guardicore.

¿Qué opina, desde el punto de vista de la configuración al implementar una solución de microsegmentación con delimitación, sobre la frecuencia con la que se detectan errores de configuración o quizás cualquier actividad maliciosa que cree que se habría pasado por alto si no tuviera Akamai Guardicore Segmentation?

Diría que en casi todas las aplicaciones, o al menos en una de cada dos, detectamos que no todo supone un problema de seguridad, pero sí que hay errores de configuración. He visto ambas cosas con mucha frecuencia, ya sea algo tan sencillo como que las solicitudes salgan por el puerto 80 en lugar del 443 o, por ejemplo, que se ejecuten tareas que utilizan FTP en lugar de SFTP y se ejecutan desde sistemas críticos. Ya sabe que esa visibilidad es muy fácil de obtener a través del GPE o, incluso, simplemente de los propios registros, hasta el nivel de proceso. Además, nos proporciona una forma muy sencilla de exportar esos registros de red, facilitárselos al propietario de la aplicación y, a continuación, asignar una tarea de corrección del tipo: queremos que se corrija en el plazo aproximado de un mes. Si eso no es posible, vuelva a hablar con nosotros y trataremos de averiguar qué podemos hacer al respecto. Pero la visibilidad por sí sola nos ha proporcionado una gran cantidad de información para poder, en cierto modo, subsanar esos problemas. Creo que eso es todo.

De nuevo, agradezco enormemente su tiempo. Agradecemos la colaboración y el negocio, y gracias también a los espectadores que nos siguen desde casa.