La seguridad no defecto en el momento de la infracción. Falta en el punto de impacto.
Esa crencha marcó la pauta para la estampado de este año. Picus Cumbre de Infracción y Simulación (BAS)donde investigadores, profesionales y CISO se hicieron eco del mismo tema: la ciberdefensa ya no se proxenetismo de predicción. Se proxenetismo de pruebas.
Cuando aparece un nuevo exploit, los escáneres rastrean Internet en minutos. Una vez que los atacantes logran afianzarse, el movimiento fronterizo suele seguir con la misma ligereza. Si tus controles no han sido probados contra las técnicas exactas en engranaje, no estás defendiendo, estás esperando que las cosas no salgan mal.
Es por eso que la presión aumenta mucho antiguamente de que se redacte un mensaje de incidente. En el mismo momento en que un exploit llega a Twitter, una sala de juntas quiere respuestas. Como lo expresó un orador, «No se puede decirle a la asamblea: ‘Tendré una respuesta la próxima semana’. Tenemos horas, no días.»
BAS ha superado sus raíces de cumplimiento y se ha convertido en la prueba de voltaje diaria de la ciberseguridad, la corriente que pasa por su pila para ver qué es lo que efectivamente se cumple.
Este artículo no es una propuesta ni un tutorial. es un esquema de lo que surgió en el proscenioen esencia, cómo BAS ha evolucionado de una actividad anual de casilla de comprobación a una forma diaria simple y efectiva de demostrar que sus defensas efectivamente están funcionando.
La seguridad no se proxenetismo de diseño, se proxenetismo de reacción
Durante décadas, la seguridad fue tratada como construcción: diseño, construir, inspeccionar, certificar. Un enfoque de cinta de comprobación basado en planes y documentación.
Sin requisa, los atacantes nunca estuvieron de acuerdo con ese plan. Tratan la defensa como física, aplicando presión continua hasta que poco se dobla o se rompe. No les importa lo que diga el plano; les importa dónde defecto la estructura.
Los pentests siguen siendo importantes, pero son instantáneas en movimiento.
BAS cambió esa ecuación. No certifica un diseño; pone a prueba la reacción. Ejecuta comportamientos adversarios controlados y seguros en entornos reales para demostrar si las defensas efectivamente responden como deberían o no.
Como explica Chris Dale, instructor principal de SANS: La diferencia es mecánica: BAS mide reacciónno potencial. No pregunta, «¿Dónde están las vulnerabilidades?» pero «¿Qué pasa cuando los golpeamos?»
Porque, en última instancia, no se pierde cuando se produce una infracción, pierdes cuando el impacto de esa brecha aterriza.
La verdadera defensa comienza con conocerse a uno mismo
Antaño de luchar/afectar al enemigo, debes comprenderte a ti mismo. No puedes defender lo que no ves: los activos olvidados, las cuentas sin etiquetar, el script heredado que aún se ejecuta con derechos de administrador de dominio.
sıla-blog-video-1_1920x1080.mp4
Luego asuma una infracción y trabaje cerca de a espaldas desde el resultado que más teme.
Aguantar akirapor ejemplo, una condena de ransomware que elimina copias de seguridad, abusa de PowerShell y se propaga a través de unidades compartidas. Repite ese comportamiento de forma segura adentro de tu entorno y aprenderás, no adivinarás, si tus defensas pueden romperlo a fracción de camino.
Dos principios separaban los programas maduros del resto:
- Resultado primero: Principio por el impacto, no por el inventario.
- Púrpura por defecto: BAS no es un teatro de rojo contra cerúleo; así es como convergen la inteligencia, la ingeniería y las operaciones: afectar → observar → ajustar → retornar a afectar.
Como señaló John Sapp, CISO de Texas Mutual Insurance, «los equipos que hacen de la brío un ritmo semanal comienzan a ver pruebas donde solían ver suposiciones».
El seguro trabajo de la IA es la curación, no la creación
La IA estuvo en todas partes este año, pero la información más valiosa no fue sobre el poder, sino sobre la moderación. La velocidad importa, pero la procedencia importa más. Nadie quiere un maniquí LLM que improvise cargas bártulos o hacer suposiciones sobre el comportamiento de ataque.
Al menos por ahora, el tipo de IA más útil no es el que creaes el que organizatomando inteligencia sobre amenazas desordenada y no estructurada y convirtiéndola en poco que los defensores efectivamente puedan usar.
sıla-blog-video-2_1920x1080.mp4
La IA ahora actúa menos como un maniquí único y más como un licenciamiento de especialistascada uno con un trabajo específico y un punto de control en el medio:
- Planificador — define lo que se necesita cosechar.
- Investigador — verifica y enriquece los datos de amenazas.
- Constructor — estructura la información en un plan de rivalidad seguro.
- Validador — comprueba la fidelidad antiguamente de que se ejecute poco.
Cada agente revisa el posterior, manteniendo la precisión adhesión y el peligro bajo.
Un ejemplo lo resumió perfectamente:
«Dame el enlace a la campaña Fin8 y te mostraré las técnicas MITRE a las que se asigna en horas, no en días».
Eso ya no es una aspiración, es poco eficaz. Lo que antiguamente requería una semana de referencias cruzadas manuales, secuencias de comandos y brío, ahora junto a en un solo día gremial.
Titular → Plan de rivalidad → Ejecución segura. No resultón, sólo más rápido. De nuevo, horas, no días.
Las pruebas de campo demuestran que BAS funciona
Una de las sesiones más esperadas del evento fue una exhibición en vivo de BAS en entornos reales. No fue teoría fue prueba operativa.
Un equipo de atención médica ejecutó cadenas de ransomware alineadas con información sobre amenazas del sector, midiendo tiempo para detectar y tiempo para contestarreintroduciendo las detecciones perdidas en las reglas SIEM y EDR hasta que la condena se rompió temprano.
Un proveedor de seguros realizó pruebas piloto de BAS los fines de semana para efectuar si efectivamente se activaron las cuarentenas de los terminales. Esas ejecuciones expusieron errores de configuración silenciosos mucho antiguamente de que los atacantes pudieran hacerlo.
La conclusión fue clara:
BAS ya forma parte de las operaciones de seguridad diarias, no es un experiencia de laboratorio. Cuando el liderazgo pregunta, «¿Estamos protegidos contra esto?» la respuesta ahora proviene de la evidencia, no de la opinión.
La brío convierte «parchear todo» en «parchear lo que importa»
Uno de los momentos más agudos de la cumbre se produjo cuando surgió la conocida pregunta de la asamblea directiva: «¿Necesitamos parchear todo?»
La respuesta fue absolutamente clara, No.
sıla-blog-video-3_1920x1080.mp4
La brío impulsada por BAS demostró que parchear todo no es simplemente irreal; es innecesario.
Lo que importa es memorizar qué vulnerabilidades son efectivamente explotable en tu entorno. Al combinar los datos de vulnerabilidad con el desempeño del control en vivo, los equipos de seguridad pueden ver dónde se concentra el peligro auténtico, no dónde un sistema de puntuación dice que debería hacerlo.
«No deberías parcharlo todo». dijo Volkan Ertürk, cofundador y director de tecnología de Picus. «Aproveche la brío del control para obtener una cinta priorizada de exposiciones y céntrese en lo que es efectivamente explotable para usted».
Un CVSS 9.8 protegido por prevención y detección validadas puede conllevar pocos peligros, mientras que una defecto de solemnidad media en un sistema expuesto puede aclarar una ruta de ataque auténtico.
ese cambio, de parchear la suposición a parchear la evidenciafue uno de los momentos decisivos del evento. BAS no te lo dice ¿Qué pasa en todas partes?; te dice ¿Qué puede hacerte daño aquí?convirtiendo la Trámite Continua de la Exposición a Amenazas (CTEM) de teoría a organización.
No necesitas un disparo a la escaparate para comenzar
Otra conclusión secreto de la sesión de los líderes de construcción de seguridad de Picus, Gürsel Arıcı y Autumn Stambaugh, fue que BAS no requiere un gran dispersión; simplemente necesita comenzar.
Los equipos comenzaron sin problemas ni fanfarrias, demostrando valencia en semanas, no en trimestres.
- La mayoría eligió uno o dos ámbitos, puntos finales financieros o un colección de producción y mapeó los controles que los protegen.
- Luego eligieron un resultado realista, como el enigmático de datos, y construyeron la condena TTP más pequeña que podría lograrlo.
- Ejecútelo de forma segura, vea dónde defecto la prevención o detección, solucione lo que importa y ejecútelo nuevamente.
En la experiencia, ese ciclo se aceleró rápidamente.
Para la tercera semanalos flujos de trabajo asistidos por IA ya estaban actualizando la información sobre amenazas y regenerando acciones seguras. En la cuarta semana, los datos de control validados y los hallazgos de vulnerabilidad se fusionaron en cuadros de mando de exposición que los ejecutivos podían deletrear de un vistazo.
El momento en que un equipo vio cómo una condena de crimen simulada se detenía a fracción de carrera oportuno a una regla enviada el día inicialtodo encajó, BAS dejó de ser un tesina y pasó a formar parte de su experiencia de seguridad diaria.
BAS funciona como verbo adentro de CTEM
El maniquí de Trámite Continua de la Exposición a Amenazas (CTEM) de Gartner: «Evaluar, validar, movilizar» solo funciona cuando la brío es continua, contextual y vinculada a la argumento.
Aquí es donde vive BAS ahora.
No es una útil independiente; es el motor que mantiene la honestidad de CTEM, alimentando los puntajes de exposición, guiando la ingeniería de control y manteniendo la agilidad a medida que cambian tanto su pila tecnológica como la superficie de amenazas.
Los mejores equipos ejecutan la brío como un pulsación del corazón. Cada cambio, cada parche, cada nuevo CVE desencadena otro pulso. Eso es lo que efectivamente significa la brío continua..
El futuro está en la prueba
La seguridad solía apoyarse en la creencia. BAS reemplaza la creencia con pruebas, pasando corriente eléctrica a través de sus defensas para ver dónde defecto el circuito.
La IA aporta velocidad. La automatización aporta escalera. La brío trae la verdad. BAS ya no es como se acento de seguridad. Así es como lo pruebas.
Sea uno de los primeros en cotejar la inteligencia sobre amenazas impulsada por IA. ¡Obtén tu ataque anticipado ahora!
Nota: Este artículo fue escrito y contribuido de guisa experta por Sila Ozeren Hacioglu, ingeniera de investigación de seguridad en Picus Security.
