Comprender los eventos de amenazas

​

Acerca de los eventos de amenazas

Endpoint Detection and Response (EDR) crea un evento de amenaza cuando identifica malware o programas potencialmente no deseados (PUPs) en un dispositivo. Cada evento de amenaza incluye detalles como el nombre de la amenaza, la clasificación, el proceso implicado, la fecha de detección y el estado actual. Puedes encontrar todos los eventos de amenazas en la página Detections para los dispositivos vinculados a Blueprints con EDR. Además, estos eventos pueden verse en los registros de los dispositivos individuales.

​

Cómo funciona

Los eventos de amenazas se crean automáticamente cuando Iru Endpoint EDR identifica posibles riesgos de seguridad en los dispositivos gestionados. El sistema organiza los eventos de amenazas en una vista de tabla centrada en las amenazas, que agrupa los eventos por hash de archivo en el caso de las detecciones de archivos y por regla de detección en el caso de las detecciones de comportamiento. Esta estructura simplifica la evaluación del impacto de una amenaza en toda tu flota de Mac. Cada evento agrupado incluye un panel lateral que proporciona información detallada sobre la amenaza, lo que permite a los equipos de seguridad comprender rápidamente el alcance y la gravedad de las amenazas detectadas.

​

Comprender la información de los eventos

Cada evento de amenaza de la vista de tabla centrada en las amenazas proporciona información esencial para ayudar a los equipos de seguridad de la información a investigar las amenazas.

• Threat ID: muestra el valor hash SHA-256 de la amenaza detectada
• Process: muestra el proceso detectado más recientemente responsable de la amenaza
• Classification: indica la categoría de clasificación del evento de amenaza
• Detection Date: registra la fecha en que EDR identificó la amenaza
• Dispositivos: indica el número total de dispositivos Mac afectados por el evento de amenaza
• Threat Status: recuentos de Detected, Remediated y Released en todos los dispositivos para el evento de amenaza agrupado

​

Comprender los niveles de gravedad de las detecciones

Iru Endpoint EDR incluye una puntuación de gravedad para ayudar a los equipos de seguridad de la información a evaluar rápidamente la criticidad de las amenazas detectadas. A cada evento de detección se le asigna uno de cinco niveles de gravedad: Critical, High, Medium, Low e Informational. La tabla de detecciones incluye una columna Severity que muestra el nivel de gravedad correspondiente a cada detección. Puedes ordenar y filtrar las detecciones por gravedad tanto para las detecciones de archivos como para las de comportamiento. La página Detections también incluye un gráfico circular Detections By Severity que proporciona un desglose visual de las detecciones organizadas por su nivel de gravedad.

​

Comprender las clasificaciones de las amenazas

Iru Endpoint EDR clasifica las amenazas en cuatro categorías para las detecciones de archivos (malware, programa potencialmente no deseado (PUP), benigno y desconocido) y en dos categorías para las detecciones de comportamiento: malicioso y sospechoso.

​

Clasificaciones de las detecciones de archivos

• Malware: este término hace referencia al software malicioso diseñado para dañar dispositivos, personas u organizaciones
• Programa potencialmente no deseado (PUP): son aplicaciones que podrían no ser deseadas en un dispositivo. Los PUPs suelen consumir muchos recursos del sistema, lo que afecta al rendimiento, muestran anuncios no deseados y recopilan información personal. A diferencia del malware, los PUPs no tienen la intención de causar daños y suelen instalarse de forma involuntaria junto con otro software, a menudo en paquetes combinados
• Benign: esta clasificación se aplica a los archivos que inicialmente se marcaron como maliciosos, pero que posteriormente se determinó que no lo eran tras un análisis adicional. Si encuentras eventos de amenazas benignos, puede deberse a que el elemento estaba en la lista de bloqueados de tu Library Item EDR en el momento de la detección o de la cuarentena
• Unknown: esta categoría se aplica a los archivos que Iru Endpoint EDR no puede clasificar de forma definitiva como maliciosos o benignos con los datos disponibles. La clasificación puede cambiar si se dispone de más información o si se vuelve a analizar el archivo.

​

Clasificaciones de las detecciones de comportamiento

• Malicious: clasificación que hace referencia a una actividad de comportamiento que pretende causar daños
• Suspicious: clasificación que hace referencia a una actividad de comportamiento que no indica un daño inmediato, pero que merece atención para investigarla más a fondo

​

Comprender los estados de las amenazas

Todos los eventos de amenazas tendrán un estado asociado. Los distintos estados que puede tener un evento de amenaza son:

​

Estados de las detecciones de archivos

• Quarantined: una amenaza detectada que se puso automáticamente en cuarentena en la postura Protect (macOS)
• Not Quarantined: una amenaza detectada que no se puso en cuarentena en la postura Detect
• Released: una amenaza que inicialmente se puso en cuarentena, pero que posteriormente se liberó y se restauró a su ubicación original (macOS)
• Resolved: una amenaza detectada que ya no se encuentra en la última ruta de archivo detectada y que el agente no puso en cuarentena

​

Estados de las detecciones de comportamiento

• Detected: se identificó una actividad de comportamiento malicioso, pero no se bloqueó (postura Detect)
• Blocked: se identificó y bloqueó una actividad de comportamiento malicioso (postura Protect)
• Informational: se detectó una actividad de comportamiento sospechosa y se marcó para dar visibilidad

​

Ver las detecciones

​

Filtrar los eventos de amenazas

Puedes filtrar los eventos de amenazas de las detecciones de archivos y de comportamiento en función de su estado para facilitar la visualización y la corrección.

​

Panel lateral

La vista de tabla centrada en las amenazas incluye un panel lateral para cada evento agrupado, que se puede abrir seleccionando una fila de evento de amenaza para acceder a información detallada sobre esa amenaza específica. Para las detecciones de archivos, el panel lateral incluye:

• El nombre de archivo más reciente asociado a la amenaza
• Una vista global de todos los estados de la amenaza (Detected, Remediated y Released) para el evento de amenaza agrupado en todos los dispositivos
• Las fechas de la primera y la última detección en todos los dispositivos
• Información sobre todas las rutas de archivo únicas encontradas relacionadas con la amenaza

Para las detecciones de comportamiento, el panel lateral incluye:

• El nombre del proceso más reciente asociado al evento agrupado
• Una vista global de todos los estados de la amenaza (Detected, Remediated y Released) en todos los dispositivos
• Una descripción de la actividad maliciosa o sospechosa
• La familia de malware asociada a la actividad de comportamiento
• Etiquetas informativas que proporcionan contexto adicional
• Las fechas de la primera y la última detección en todos los dispositivos

​

Tarjetas de dispositivos

Las tarjetas de dispositivos del panel lateral representan los dispositivos en los que se encontró el archivo malicioso. Desde el panel lateral, también puedes realizar acciones de respuesta como aislar dispositivos para ponerlos en cuarentena con respecto a la red durante incidentes de seguridad activos. Para las detecciones de archivos, estas tarjetas mostrarán información como:

• Nombre del dispositivo
• Número de serie
• Blueprint y Library Item
• Modo de postura ante malware y PUP
• Eventos procesables
• Detalles del evento de amenaza:
  • Threat Status - El estado actual de la amenaza en el dispositivo.
  • Ruta - La ruta del archivo en la que se detectó la amenaza.
  • Usuario - El usuario asociado al proceso cuando se detectó la amenaza.
  • Detection Date - La fecha en que EDR identificó la amenaza.
  • Quarantine Date - La fecha en que EDR puso la amenaza en cuarentena.
  • Resolved Date - La fecha en que la amenaza se marcó como resuelta en la aplicación web.
  • Release Date - La fecha en que la amenaza se liberó de la cuarentena en el dispositivo.
  • Application Bundle Path - La ruta al paquete de la aplicación.

Para las detecciones de comportamiento, estas tarjetas mostrarán información como:

• Nombre del dispositivo
• Número de serie
• Blueprint y Library Item
• Información del modo de postura de la detección de comportamiento malicioso
• Detalles del evento de amenaza:
  • Threat Status - El estado actual de la amenaza en el dispositivo.
  • Detection date - La fecha en que EDR identificó la amenaza.
  • Rule version - Versión actual de la regla
  • Información de los procesos principal y de destino:
    • Nombre de los procesos principal y de destino
    • ID de los procesos principal y de destino
    • Propietario del proceso
    • Rutas de imagen de los procesos principal y de destino
    • Argumentos de la línea de comandos de los procesos principal y de destino
    • Hash SHA-256 de los procesos principal y de destino

​

Ver los eventos de amenazas en el panel lateral

​

Para las detecciones de archivos

​

Para las detecciones de comportamiento

​

Volver a comprobar el estado de una amenaza

Cuando los modos de postura de Malware o PUP están establecidos en Detect, puedes comprobar manualmente el estado de una amenaza en el panel lateral para ver si sigue presente en la ruta del archivo. Si la amenaza ya no está, su estado se actualizará de ‘Not quarantined’ a ‘Resolved’. Si la amenaza sigue presente, su estado no cambiará.

​

Liberar un evento de amenaza

Puede haber situaciones en las que los equipos de seguridad de la información necesiten liberar un evento de amenaza para archivos o aplicaciones específicos que se pusieron en cuarentena por error, como una herramienta de seguridad o una aplicación que usa la organización. Liberar un evento de amenaza implica añadir el elemento a la lista de permitidos del Library Item EDR asociado.

​

Realizar una búsqueda en VirusTotal

VirusTotal analiza archivos y URLs. Desde un evento de amenaza, puedes buscar el hash en VirusTotal sin salir de la aplicación web de Iru Endpoint.

​

Exportar los eventos de amenazas en CSV

Además de usar la API de Iru Endpoint, los equipos de seguridad de la información y de IT pueden exportar la lista de eventos de amenazas directamente desde la consola de administración. El icono de exportación de la vista centrada en las amenazas aplica la configuración de filtros actual y genera un archivo CSV con información detallada sobre cada evento de amenaza en columnas independientes. Esta función está disponible tanto en la vista principal del módulo Detections como en la pestaña Detections del registro del dispositivo.

​

Consideraciones

• Clasificación de las amenazas: comprende la diferencia entre las clasificaciones de las detecciones de archivos (malware, PUP, benign, unknown) y las de las detecciones de comportamiento (malicious, suspicious) para evaluar correctamente las amenazas
• Gestión de estados: revisa y actualiza periódicamente los estados de las amenazas para mantener una postura de seguridad precisa y garantizar un seguimiento adecuado de la corrección
• Priorización por gravedad: usa los niveles de gravedad (Critical, High, Medium, Low, Informational) para priorizar los esfuerzos de respuesta a las amenazas y asignar los recursos de forma eficaz
• Configuración de la postura: en macOS, asegúrate de que los Library Items EDR estén configurados con los modos de postura adecuados (Detect o Protect) en función de tus requisitos de seguridad. EDR para Windows usa el modo Detect para las detecciones de archivos.
• Investigación de amenazas: usa el panel lateral y las tarjetas de dispositivos para consultar las rutas de archivo, el contexto del usuario y las cronologías de detección
• Gestión de falsos positivos: prepárate para liberar aplicaciones legítimas que puedan ponerse en cuarentena por error, mediante el proceso de liberación de amenazas con la documentación adecuada
• Validación externa: usa la integración con VirusTotal para contrastar la inteligencia de amenazas y validar las clasificaciones de las amenazas
• Exportación de datos: usa la exportación a CSV para el análisis de amenazas, la generación de informes y la integración con otras herramientas de seguridad
• Operaciones masivas: considera usar acciones masivas para gestionar de forma eficiente las amenazas generalizadas en varios dispositivos, incluidas las capacidades de aislamiento masivo de dispositivos
• Supervisión periódica: establece procesos de revisión periódica de los eventos de amenazas para garantizar una respuesta oportuna y una clasificación adecuada de los incidentes de seguridad