Esta guía se aplica a computadoras Mac
Acerca de los grupos de reglas de detección de comportamiento
Los grupos de reglas de detección de comportamiento proporcionan un control preciso sobre las detecciones de comportamiento de EDR. Esta función te permite personalizar qué reglas de seguridad supervisan tu entorno, de modo que puedes aumentar los niveles de protección cuando sea necesario o reducir el ruido de las alertas ajustando la sensibilidad.Cómo funciona
Los grupos de reglas de detección de comportamiento funcionan mediante niveles de detección configurables que determinan la sensibilidad de la supervisión de amenazas. De forma predeterminada, las detecciones de comportamiento se ejecutan en el modo Cautious, que se centra en las amenazas más graves y minimiza los falsos positivos. Puedes ajustar los niveles de seguridad en función de la tolerancia al riesgo y los requisitos operativos de tu organización.Comprender los niveles de detección
De forma predeterminada, las detecciones de comportamiento se ejecutan en el modo Cautious, lo que significa que solo las amenazas más graves activan alertas. Esto reduce al mínimo las falsas alarmas y, al mismo tiempo, detecta a los peores actores. Puedes aumentar la sensibilidad eligiendo Moderate o Aggressive:- Cautious: se centra en actividades claramente maliciosas con muy pocos falsos positivos
- Moderate: amplía el alcance para detectar más amenazas potenciales sin dejar de ser manejable
- Aggressive: la sensibilidad más alta; espera más alertas
Comprender los grupos de reglas
Las detecciones de comportamiento se dividen en ocho categorías específicas, cada una de las cuales vigila distintos tipos de comportamiento sospechoso. Puedes establecer cada grupo en Cautious, Moderate o Aggressive de forma independiente.- Discovery and Information Gathering: detecta comandos de sondeo sospechosos, como los que identifican instalaciones de software de seguridad o máquinas virtuales
- Exploit Detection: detecta intentos de explotación de vulnerabilidades conocidas públicamente o divulgadas de forma privada
- Obfuscation and Encryption Detection: detecta el uso de cifrado y ofuscación para ocultar datos o comandos
- Persistence Mechanisms: supervisa la creación o modificación de launch agents y daemons destinados a establecer persistencia en un host macOS
- Privilege Escalation Detection: supervisa las señales de que alguien intenta obtener acceso de nivel superior, como manipular permisos de archivos o acceder a archivos de configuración sensibles
- Script and Command Usage Monitoring: identifica la ejecución de comandos y scripts sospechosos
- Security Tool and System Configuration Alterations: detecta la alteración o desactivación de configuraciones y herramientas de seguridad diseñadas para proteger macOS, como Gatekeeper, Transparency Consent and Control (TCC) y productos de seguridad de endpoints
- User Account Alterations: detecta la creación o manipulación de cuentas de usuario destinadas a permanecer ocultas a las interacciones normales de los usuarios o a la administración del sistema
Configurar los grupos de reglas
1
Ir a Detections
Abre la página Detecciones en la navegación del lado izquierdo (en Endpoint).
2
Acceder a la pestaña Rules
Selecciona la pestaña Rules.
3
Configurar los ajustes globales
Para establecer las reglas de forma global, selecciona el Rule detection level.
4
Configurar los ajustes por grupo
Para establecer las reglas por grupo de reglas, selecciona Set detection level per rule group.
5
Establecer los niveles de detección
En cada tipo de grupo de reglas, selecciona el nivel de detección que desees.
6
Guardar la configuración
Cuando termines, selecciona Save detection settings.
Gestionar las excepciones de reglas
Las excepciones de reglas solo están disponibles para las reglas que no se dirigen a comportamientos altamente maliciosos. Las reglas de seguridad críticas no se pueden desactivar individualmente.
1
Abrir la pestaña Detections
En la página Detections, selecciona la pestaña Detecciones.
2
Seleccionar las detecciones problemáticas
Selecciona las detecciones que generan alertas no deseadas mediante la casilla de verificación situada a la izquierda de la amenaza.
3
Acceder al menú de acciones
Selecciona los puntos suspensivos en la esquina inferior izquierda.
4
Desactivar las reglas
Elige Disable suspicious rules.
Gestionar tus excepciones
Todas las reglas que desactives aparecen automáticamente en la lista Rule Exceptions de la pestaña Rules de tu configuración de EDR. Desde allí, puedes:- Ver todas las reglas que has desactivado
- Volver a activar reglas si cambian las circunstancias
- Llevar un control de lo que no se está supervisando
Consideraciones
- Equilibrio de los niveles de detección: elige niveles de detección que equilibren la cobertura de seguridad con volúmenes de alertas manejables para evitar la fatiga por alertas
- Personalización de los grupos de reglas: configura cada grupo de reglas de forma independiente en función de los requisitos de seguridad y el perfil de riesgo específicos de tu organización
- Gestión de excepciones: revisa periódicamente las reglas desactivadas para asegurarte de que siguen siendo adecuadas y no crean brechas de seguridad
- Protección de las reglas críticas: ten en cuenta que las reglas de seguridad críticas no se pueden desactivar para mantener una cobertura de seguridad esencial
- Ajuste de alertas: usa las excepciones de reglas de forma estratégica para reducir los falsos positivos sin perder eficacia en la seguridad
- Revisión periódica: evalúa periódicamente la configuración de los grupos de reglas y las excepciones para asegurarte de que se ajustan al panorama de amenazas actual y a las necesidades del negocio
- Documentación: mantén registros de las excepciones de reglas y de su justificación con fines de cumplimiento y auditoría
- Pruebas y validación: prueba los cambios en los grupos de reglas en un entorno controlado antes de implementarlos en producción
- Impacto en el rendimiento: supervisa el rendimiento del sistema al ajustar los niveles de detección, ya que una configuración más agresiva puede afectar al rendimiento de los dispositivos
- Formación del equipo: asegúrate de que los equipos de seguridad comprendan las implicaciones de los distintos niveles de detección y de las excepciones de reglas
- Respuesta a incidentes: ten en cuenta cómo afecta la configuración de los grupos de reglas a los flujos de trabajo de respuesta a incidentes y a los procesos de investigación de amenazas, incluidas las acciones de aislamiento de dispositivos para dispositivos comprometidos.
- Requisitos de cumplimiento: ajusta las configuraciones de los grupos de reglas a los requisitos normativos y de cumplimiento de tu sector