Un proveedor de software nativo de la nube había desplegado una arquitectura completa de registro y monitoreo en su lanzamiento inicial: todos los servicios de aplicación configurados para enviar registros a su plataforma centralizada de registros, todos los recursos en la nube configurados para reenviar eventos de CloudTrail a su SIEM y la telemetría de endpoints de todos los dispositivos corporativos reenviada a su plataforma de EDR. La arquitectura había sido exhaustiva en el despliegue y había servido de base para su programa de monitoreo de seguridad durante tres años. En esos tres años, el proveedor había crecido de forma significativa: equipos de ingeniería individuales habían desplegado doce nuevos microservicios para dar soporte a nuevas funciones del producto, se habían conectado siete integraciones SaaS de terceros a su plataforma principal mediante conexiones API, se habían integrado dos empresas emergentes adquiridas en la infraestructura del proveedor y se había añadido un pipeline de datos para su plataforma de analítica mediante un servicio de datos gestionado por un tercero. De estas incorporaciones, tres microservicios tenían configurado el envío de registros a la plataforma central, dos integraciones SaaS tenían habilitado el reenvío de registros de auditoría y los entornos de las empresas adquiridas se habían integrado parcialmente en la arquitectura de monitoreo. El pipeline de datos no tenía configurado ningún reenvío de registros: era un servicio gestionado y el equipo que lo desplegó había supuesto que los registros eran responsabilidad del proveedor. La superficie de ataque nueva añadida en tres años: doce microservicios, siete integraciones SaaS, dos empresas adquiridas y un pipeline de datos. La fracción de esa nueva superficie de ataque con cobertura de monitoreo confirmada: aproximadamente el cuarenta por ciento. Los puntos ciegos: el sesenta por ciento de la superficie de ataque añadida desde el despliegue inicial. La plataforma de monitoreo nunca había fallado: veía todo lo que estaba configurada para ver. La configuración no había seguido el ritmo del entorno que debía cubrir.
¿Qué son realmente los puntos ciegos de detección?
Los puntos ciegos de detección son las partes de un entorno tecnológico que no están cubiertas por la configuración actual de monitoreo de seguridad: los sistemas, servicios y entornos que generan eventos relevantes para la seguridad pero que no están configurados para reenviarlos a la plataforma de monitoreo donde el SOC puede detectarlos y responder. Los puntos ciegos de detección surgen cuando los entornos crecen más rápido de lo que se actualizan las configuraciones de monitoreo, cuando se despliegan nuevos servicios sin que la integración del monitoreo sea un paso obligatorio del proceso de despliegue y cuando las adquisiciones aportan nuevos entornos que no se integran de inmediato en la arquitectura de monitoreo existente.
El problema de la deriva de configuración es el mecanismo operativo. Las configuraciones de monitoreo de seguridad son precisas en el momento en que se establecen. A medida que los entornos crecen y cambian (se despliegan nuevos servicios, se conectan nuevas integraciones, se adopta nueva infraestructura), la configuración representa cada vez menos el entorno real. La plataforma de monitoreo sigue funcionando correctamente para los sistemas que tiene configurados. Los nuevos sistemas desplegados fuera de la configuración generan eventos que nunca llegan a la plataforma de monitoreo. El SOC no tiene visibilidad sobre ellos. El atacante que apunta al nuevo servicio no monitoreado no se enfrenta a ninguna detección.
La brecha en el proceso de despliegue es el fallo de gobernanza. Los nuevos servicios e integraciones que se despliegan sin un paso obligatorio de configuración de monitoreo crean puntos ciegos por defecto. Los equipos de desarrollo centrados en entregar funciones pueden no priorizar la configuración de monitoreo. Los equipos de infraestructura que despliegan servicios gestionados pueden suponer que el monitoreo es responsabilidad del proveedor. Cada despliegue que se realiza sin configuración de monitoreo amplía el punto ciego y, de forma acumulativa, deja una fracción significativa de la superficie de ataque sin cobertura de detección.
El problema de la integración de adquisiciones es una categoría concreta de puntos ciegos de alto impacto. Las empresas adquiridas suelen aportar sus propios entornos tecnológicos, a menudo con arquitecturas de monitoreo, proveedores de nube y configuraciones de registro distintos. Integrar los entornos adquiridos en la arquitectura de monitoreo de la empresa adquirente requiere un esfuerzo y un tiempo considerables. Durante el período de integración, que puede prolongarse durante meses, la superficie de ataque del entorno adquirido puede quedar parcial o totalmente fuera de la cobertura de monitoreo de la empresa adquirente, mientras la integración crea una nueva superficie de ataque a través de las conexiones entre entornos.
- Deriva de configuración: la configuración de monitoreo no se actualiza a medida que crece el entorno
- Despliegue sin monitoreo: nuevos servicios desplegados sin configuración de monitoreo obligatoria
- Entorno adquirido integrado parcialmente o no integrado en la arquitectura de monitoreo
- Suposición sobre el monitoreo de servicios gestionados: se da por hecho que el proveedor se encarga de los registros
- Revisión periódica ausente: la cobertura de monitoreo no se audita frente al inventario actual del entorno
Por qué es importante
Los puntos ciegos de detección son importantes para TPRM porque la cobertura de monitoreo de un proveedor solo es tan completa como su auditoría de configuración más reciente y, en entornos que crecen con rapidez, la brecha entre la configuración y el entorno real puede representar una fracción significativa de la superficie de ataque. Un proveedor que confirmó una cobertura de monitoreo completa en su última auditoría puede haber desplegado desde entonces una nueva superficie de ataque significativa sin la cobertura de monitoreo correspondiente.
El punto ciego de las adquisiciones es especialmente relevante para el riesgo de la cadena de suministro. Los proveedores que han adquirido empresas recientemente pueden haber ampliado de forma significativa su superficie de ataque mientras la integración del monitoreo de la adquisición sigue incompleta. El entorno de la empresa adquirida, con controles de seguridad y monitoreo potencialmente más débiles que los del proveedor adquirente, representa una superficie de ataque de la cadena de suministro que el monitoreo del proveedor adquirente quizá aún no cubra.
Dónde se equivocan la mayoría de los equipos
El error más habitual es aceptar una confirmación de cobertura de monitoreo en un momento dado sin evaluar si la cobertura ha seguido el ritmo del crecimiento posterior del entorno. La cobertura confirmada en el despliegue o en la última auditoría puede no reflejar la cobertura actual.
- Se acepta la cobertura en un momento dado sin evaluar el crecimiento posterior
- Monitoreo de nuevos servicios sin verificar
- Estado de integración de adquisiciones sin evaluar
- Suposición sobre el monitoreo de servicios gestionados sin confirmar
- Sin auditoría periódica de la cobertura de monitoreo frente al inventario actual del entorno
Cómo se ve una buena práctica
Los programas maduros de cobertura de detección establecen la configuración de monitoreo como paso obligatorio en cada despliegue de un nuevo servicio, realizan auditorías trimestrales de la cobertura de monitoreo frente al inventario actual del entorno y tienen un plazo de integración definido para los entornos adquiridos.
- Configuración de monitoreo obligatoria en el proceso de despliegue: ningún servicio nuevo se despliega sin registros
- Auditoría trimestral de la cobertura de monitoreo frente al inventario actual del entorno
- Plazo de integración de adquisiciones: período definido para integrar el monitoreo del entorno adquirido
- Confirmación del monitoreo de servicios gestionados: confirmación explícita, no suposición
- Porcentaje de cobertura con seguimiento: fracción del entorno con monitoreo confirmado
Herramientas
Descubrimiento de activos: Wiz, Orca, Tenable para el descubrimiento de activos en la nube y la identificación de brechas de monitoreo
Las plataformas de seguridad en la nube y de descubrimiento de activos ofrecen visibilidad sobre todos los recursos en la nube, incluidos los que no están registrados en la configuración de monitoreo, lo que permite identificar los recursos no monitoreados. Para los profesionales de TPRM, preguntar si el proveedor utiliza el descubrimiento de activos para identificar brechas en la cobertura de monitoreo ofrece una pregunta concreta sobre su capacidad de detectar puntos ciegos.
Infraestructura como código: Terraform, Pulumi con aplicación obligatoria de la configuración de monitoreo
La infraestructura como código con módulos obligatorios de configuración de monitoreo impone la configuración de registros como parte de cada despliegue, lo que garantiza que no se puedan desplegar nuevos servicios sin que se haya configurado el monitoreo. Para los profesionales de TPRM, preguntar si el despliegue de infraestructura incluye una configuración de monitoreo obligatoria en la plantilla de IaC ofrece una pregunta concreta sobre la prevención de puntos ciegos en el momento del despliegue.
Desafíos de gobernanza
El desafío de gobernanza de los puntos ciegos de detección es la tensión entre velocidad y cobertura. Los entornos de rápido crecimiento despliegan nuevos servicios con rapidez, y el requisito de configuración de monitoreo añade un tiempo de despliegue que los equipos de desarrollo perciben como fricción. La solución de gobernanza son plantillas de configuración de monitoreo que minimicen la fricción: módulos de registro preconfigurados incluidos en la plantilla de despliegue estándar, de modo que la configuración de monitoreo sea automática en lugar de un paso adicional.
- Incluir la configuración de monitoreo en las plantillas de despliegue: automática, no adicional
- Auditoría trimestral de cobertura frente al inventario del entorno
- Plazo de integración del monitoreo de adquisiciones: definido y con seguimiento
- Confirmación del monitoreo de servicios gestionados: explícita en los contratos
- Porcentaje de cobertura como métrica con seguimiento: fracción del entorno con monitoreo confirmado
Si usted forma parte de un equipo pequeño
Pida a su proveedor de mayor riesgo una comparación sencilla: el inventario actual de su entorno (una lista de todos los sistemas, servicios e integraciones significativos) frente a su configuración de monitoreo actual (cuáles de esos sistemas tienen confirmado el reenvío de eventos al SIEM). La brecha entre el inventario y la configuración es el punto ciego. Cualquier proveedor que no pueda presentar ambas listas no ha hecho la comparación por su cuenta y probablemente tiene puntos ciegos sin medir. El inventario es la realidad. La configuración es la cobertura. La brecha es el riesgo.
- Solicitar la comparación entre el inventario actual del entorno y la configuración de monitoreo
- Preguntar por la configuración de monitoreo en el proceso de despliegue
- Preguntar por el estado de integración del monitoreo del entorno adquirido
- Preguntar por la confirmación del monitoreo de servicios gestionados
Qué exigir
Pregunte directamente:
“¿Puede proporcionar una comparación entre el inventario actual de su entorno (todos los sistemas, servicios e integraciones significativos) y su configuración de monitoreo, que muestre qué fracción de su entorno actual tiene cobertura de SIEM confirmada? ¿Y es la configuración de monitoreo un paso obligatorio en su proceso de despliegue de nuevos servicios?”
Evidencia que debe esperar
- Comparación entre el inventario del entorno y la configuración de monitoreo
- Porcentaje de cobertura del entorno actual
- Confirmación del proceso de despliegue de la configuración de monitoreo
- Estado de integración del entorno adquirido
A un proveedor que confirma un monitoreo completo se le debe pedir la comparación entre inventario y configuración. “Completo” describe la capacidad de la plataforma de monitoreo. La comparación describe qué parte del entorno actual cubre esa capacidad. La brecha entre ambas es el punto ciego.
Cómo demostrarlo
- Comparación entre el inventario del entorno y la cobertura de monitoreo
- Registros de la auditoría trimestral de cobertura
- Requisito de configuración de monitoreo en el proceso de despliegue
- Registros del plazo de integración de adquisiciones
Conclusión clave
La plataforma de monitoreo ve todo lo que está configurada para ver. La configuración se estableció en el despliegue. El sesenta por ciento de la nueva superficie de ataque añadida en tres años no tiene cobertura de monitoreo confirmada. La plataforma es completa. La configuración no ha seguido el ritmo del entorno que debía cubrir. La comparación entre inventario y configuración es la descripción más honesta del riesgo de puntos ciegos de detección. El inventario es el entorno. La configuración es lo que se monitorea. La brecha entre ambos es donde el atacante opera sin generar alertas. Haga seguimiento del porcentaje de cobertura. Realice la auditoría trimestral. Haga obligatoria la configuración de monitoreo en el proceso de despliegue. El punto ciego no es un fallo de la plataforma. Es un fallo en el mantenimiento de la configuración que la plataforma no puede corregir por sí misma.