Trinity Cyber detiene a los ciberdelincuentes con la ayuda de F5

Las soluciones de ciberseguridad patentadas de Trinity Cyber protegen a sus clientes detectando riesgos de seguridad y eliminando amenazas en línea —ya sean código malicioso, ransomware o vulnerabilidades de archivos—, al tiempo que mantienen los falsos positivos prácticamente a cero. F5 BIG-IP SSL Orchestrator es un elemento esencial para llevar a cabo la inspección y mitigación completas del contenido.

Desafío empresarial

«Detener a los malos»: así describe Trinity Cyber la misión de la empresa, fundada en 2017 por antiguos expertos de la Agencia de Seguridad Nacional de Estados Unidos (NSA), bajo la dirección de Steve Ryan, anteriormente subdirector del Centro de Operaciones contra Amenazas de la NSA, y Thomas P. Bossert, antiguo asesor de Seguridad Nacional de dos presidentes estadounidenses. La empresa opera una nube privada distribuida en Estados Unidos, cuenta con unos 52 empleados y ofrece a sus clientes soluciones avanzadas de ciberseguridad. Entre sus clientes se encuentran operadores de infraestructuras críticas, unidades del Departamento de Defensa y otras entidades con un elevado riesgo de sufrir pérdidas, incluidas organizaciones de los sectores financiero, energético y de la Administración civil.

Aunque el equipo de Trinity Cyber se autodenomina sencillamente «los buenos», no hay nada de sencillo en su innovadora tecnología y sus líneas de servicio, que protegen a los clientes de forma más proactiva que la mayoría, con tasas de falsos positivos cercanas a cero. No es de extrañar que tanto Gartner como Dark Reading hayan seleccionado recientemente a la empresa como una de las que conviene seguir de cerca.

«Muchas empresas dependen en gran medida del bloqueo de los indicadores de compromiso (IOC) tradicionales», afirma Stefan Baranoff, director de Ingeniería. «Esto plantea dos problemas: en primer lugar, los IOC se obtienen después de que se haya producido un ataque, normalmente mediante la monitorización de un puerto SPAN —una copia del tráfico—; y, en segundo lugar, las características de los IOC permiten que un adversario los cambie más rápido de lo que se tarda en crear una firma para detectarlos. Nosotros nos centramos en cómo actúan los ciberdelincuentes —las técnicas, los comportamientos y los patrones en los datos que los delatan— y atacamos directamente esas técnicas para detenerlos en seco, en línea y antes de que logren su objetivo».

Trinity Cyber comienza con una inspección de contenido lo bastante exhaustiva como para detectar las técnicas de los adversarios y lo bastante rápida como para actuar contra ellas. Pero no se limita a bloquear contenido sospechoso. Baranoff afirma: «Podemos sustituir, eliminar o modificar contenido dentro de una sesión —algo que nadie más hace en el sector—, lo que proporciona un nivel de protección más duradero».

Por ejemplo, se puede añadir contenido malicioso al final de una imagen descargada que, por lo demás, es inofensiva. Baranoff afirma: «Parece simplemente que alguien ha visitado una página web. Esos datos cifrados parecen información aleatoria sin sentido, como ocurre con el resto de las imágenes de Internet. Otros bloquearían la imagen o el dominio desde el que se ha enviado, lo que inutilizaría una gran parte de Internet. Nosotros eliminamos los datos del final de la imagen y dejamos que siga su curso».

El descifrado y la inspección completa son fundamentales, pero no resulta fácil aplicarlos tanto al tráfico entrante como al saliente con una única solución.

Por qué F5

En 2021, Trinity Cyber eligió F5 BIG-IP SSL Orchestrator para realizar el descifrado necesario del tráfico bidireccional de aquellos clientes que aún no contaban con una capacidad suficiente de descifrado SSL/STARTTLS. Empezaron con una máquina virtual para un cliente concreto, lo que marcó el inicio de una transición en el enfoque de la empresa respecto al descifrado.

También fue de gran ayuda que la solución de F5 fuera rentable y compatible con máquinas virtuales. «La compatibilidad con instancias virtuales es fundamental», afirma Baranoff. «Esta flexibilidad nos permite ampliar los recursos en función de la demanda de los clientes».

La implementación llevó solo unos días. Desde entonces, el uso que Trinity Cyber hace de BIG-IP SSL Orchestrator ha evolucionado para abarcar más clientes, más máquinas virtuales y casos de uso más complejos.

Uno de esos casos de uso es la vulnerabilidad Log4j, un fallo grave que puso en riesgo millones de dispositivos y que los actores maliciosos siguen explotando de forma generalizada. A finales de 2021, la CISA emitió una directiva de emergencia que exigía a todos los departamentos y organismos civiles federales evaluar y aplicar de inmediato parches a los sistemas o implementar medidas de mitigación. Mientras muchos se apresuraban a supervisar y parchear los sistemas durante las primeras horas tras la divulgación, los clientes de Trinity Cyber estaban, y siguen estando, protegidos frente a cualquier intento de explotar la vulnerabilidad Log4j.

Otro de los muchos casos de uso complejos está relacionado con los esfuerzos de Trinity Cyber para impedir la recopilación de credenciales en las redes de varios de sus clientes. Los atacantes intentaron obtener credenciales válidas de Office 365 mediante hipervínculos engañosos, técnicas de phishing por correo electrónico y la creación de dominios ficticios. Las capacidades de prevención únicas de la tecnología de Trinity Cyber identificaron las metodologías habituales empleadas por los atacantes e impidieron que se recopilaran credenciales de cualquiera de sus clientes al eliminar de forma totalmente automatizada las tácticas de los atacantes del tráfico de red de los clientes.

Obtenga una visibilidad profunda del tráfico cifrado

Baranoff afirma que alrededor del 95 % del tráfico que protege su empresa está cifrado, y que Trinity Cyber buscó un socio tecnológico con las capacidades necesarias para proteger a los clientes que, de otro modo, no tendrían visibilidad sobre dicho tráfico.

Afirma: «F5 es una de las pocas opciones que no nos obliga a comprometer drásticamente nuestras operaciones».

El CEO, Steve Ryan, afirma: «BIG-IP SSL Orchestrator es fundamental para la prestación de nuestras líneas de servicio, ya que proporciona visibilidad del tráfico cifrado y permite a Trinity Cyber identificar y eliminar amenazas».

Baranoff también elogia la capacidad de la solución para realizar el seguimiento de diversos protocolos, independientemente de cómo se inicie el cifrado, y descifrar el tráfico inmediatamente al recibir el comando «STARTTLS». «No he visto ninguna otra solución capaz de hacer eso», afirma. «Fue un gran logro con F5».

Tome el control y adapte el rendimiento con iRules

La posibilidad de personalizar BIG-IP SSL Orchestrator era otra característica diferenciadora.

Baranoff afirma: «Cuando trabajamos en nuestro propio sistema, podemos modificar el código cuando necesitamos realizar algún cambio. Esto no suele ser posible con los sistemas de otros proveedores. F5 iRules nos permite modificar el código para personalizarlo y obtener el comportamiento que queremos. Así podemos ofrecer un mejor soporte a nuestros clientes y sus casos de uso».

De hecho, cuando se le pidió que resumiera las ventajas de BIG-IP SSL Orchestrator, la flexibilidad encabezó su lista: «Flexibilidad, estabilidad, rendimiento, visibilidad con numerosas funciones y control. F5 está muy por encima».

Ahorre tiempo y dinero

Como resultado, Baranoff afirma: «Con F5 ahorro muchísimo tiempo y dinero».

Actualmente, su equipo está trabajando con F5 Professional Services en la implementación automatizada declarativa y el mantenimiento del ciclo de vida.

«Está yendo realmente bien», afirma, y describe a su equipo de F5 como «increíblemente receptivo y muy comprometido con ayudarnos a sacar el máximo partido del producto».

También espera que F5 encuentre pronto una solución al inminente problema mundial de cómo descifrar HTTP3. «Sería un logro fantástico».

Mientras tanto, afirma: «El producto no deja de mejorar y estamos deseando ver qué nos depara el futuro».

Es probable que los ciberdelincuentes también formen parte de ese futuro, y Trinity Cyber seguirá trabajando para combatirlos, con F5 a su lado para ayudar.