Como parte de la Oficina del CTO de F5, el Centro de Excelencia de Investigación Avanzada de Amenazas se centra en desvelar los secretos de las amenazas más generalizadas que afectan a Internet. Como complemento al énfasis de F5 Labs en la inteligencia sobre amenazas, ATRCoE lleva a cabo investigaciones avanzadas sobre amenazas para ofrecer una perspectiva externa de los riesgos de ciberseguridad. Estas investigaciones se analizan posteriormente para generar ideas innovadoras y conocimientos de gran interés en el ámbito de la ciberseguridad.
Dirigido por el Dr. Aditya Sood, este nuevo grupo ya ha descubierto amenazas avanzadas y publicado investigaciones en diversas publicaciones, como Virus Bulletin, Elsevier Magazines y BlackHat Arsenal, así como en conferencias de seguridad líderes del sector, como Texas Cyber Summit, BSides Berlin, Hack-in-Paris, Secure 360 y Virus Bulletin, entre otras. A continuación se presentan algunos trabajos destacados:
- Collector-Stealer: ladrón de información de origen ruso
- Análisis del panel de C&C de AZORult
- El panorama de amenazas de la COVID-19
- Herramienta Enfilade: detección de infecciones de ransomware en MongoDB
- Detección de ataques DGA (algoritmo de generación de dominios) mediante ML/IA
- Criptojacking: clústeres de Kubernetes comprometidos mediante controladores de NVIDIA
- Ataques a paneles de mando y control de IoT para descubrir infecciones
El equipo está formado por investigadores de amenazas e ingenieros de desarrollo:
- Amit Nagal es científico de datos principal en F5. Cuenta con más de 15 años de experiencia en aprendizaje automático y analítica. Es doctor en Ciencias del Desarrollo por la Universidad MGS. Anteriormente, trabajó en Verizon y JPMorgan Chase.
- Bharathasimha Reddy Devarapally es ingeniero de software en F5. Obtuvo su grado en Informática en el Instituto Nacional de Tecnología de Warangal (India) en 2020. Ha trabajado activamente en la investigación de amenazas en F5.
- Ruthvik Reddy Sankepally es ingeniero de software en F5. Se graduó en Ingeniería Informática en BITS Pilani Hyderabad.
Cómo descubre el equipo las amenazas
El equipo de ATRCoE se centra en los aspectos estratégicos, operativos, tácticos y analíticos de una amenaza. Tras comprender los riesgos empresariales y el impacto de las amenazas avanzadas, decide el tema de investigación. A continuación, analiza en profundidad dichas amenazas para identificar sus TTP (técnicas, tácticas y procedimientos), KSA (conocimientos, habilidades y capacidades) y AIL (infraestructuras de ataque y plataformas de lanzamiento). Con este contexto y tras estudiar los trabajos existentes, el equipo establece las bases de su investigación y determina el mejor enfoque para abordar el tema. El enfoque puede ser defensivo, ofensivo o híbrido. Las técnicas empleadas pueden ser proactivas, reactivas o una combinación de ambas. El equipo comparte inteligencia sobre amenazas mediante el desarrollo de herramientas de código abierto y la publicación de investigaciones en diversos portales y conferencias de seguridad.
Cómo captan las amenazas la atención del ATRCoE
El método para elegir los temas de investigación se basa en un marco TRIG (investigación de amenazas y generación de inteligencia) desarrollado internamente. Las investigaciones se seleccionan en función de su relevancia para las amenazas avanzadas activas en Internet. Las amenazas avanzadas de extrema gravedad y gran repercusión mediática, incluidas las vulnerabilidades de día cero, reciben atención prioritaria debido a su urgencia y a su impacto en la oferta de productos de F5. Por ejemplo, el ATRCoE analizó amenazas avanzadas como AZORult, Collector-stealer y Blackguard, entre otras, utilizadas específicamente por agentes maliciosos vinculados a Estados.
Además, ATRCoE dedica esfuerzos al uso del aprendizaje automático y la inteligencia artificial para abordar los retos de ciberseguridad. Por ejemplo, analiza grandes conjuntos de registros DNS (sistema de nombres de dominio) y HTTP (protocolo de transferencia de hipertexto) en un formato estructurado dentro del almacén de datos de seguridad de F5 y, posteriormente, examina los datos para identificar artefactos de amenazas y tendencias relevantes en el panorama de amenazas con el fin de comprender los retos actuales. Entre los ejemplos se incluyen el trabajo publicado por el equipo sobre sitios de phishing que utilizaban temáticas relacionadas con la COVID-19 y la investigación de Project Astra sobre la detección de DGA.
Herramientas utilizadas para la investigación de ATRCoE
El equipo adopta un enfoque híbrido en el que se utiliza una amplia variedad de herramientas para el análisis, la automatización y la inteligencia, incluidos scripts personalizados desarrollados internamente, herramientas de código abierto como nmap, masscan, wireshark, tshark, bro, Radare2/Cutter, Ghidra, python, etc., y herramientas empresariales como Burp proxy.
_____
Debido a la naturaleza de este tipo de investigación, es difícil predecir cuándo se publicará nuevo contenido, pero pronto podréis ver más trabajos de este grupo.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.