Enhorabuena: su SOC quedó ciego — la CISA pone en evidencia cómo miles de falsas alertas facilitan el acceso a los hackers

Incluso buenas medidas de protección ayudan poco si las señales reales se pierden entre miles de falsas alarmas. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) simultáneamente comprobó dos organizaciones y en la práctica observó un resultado opuesto: en una el equipo rojo actuó casi sin ser detectado por el departamento de seguridad de la información, y en la otra los primeros intentos del equipo rojo se detuvieron rápidamente.

En la organización A, especialistas de CISA obtuvieron acceso a cuatro estaciones de trabajo mediante phishing, elevaron privilegios en Active Directory y llegaron a sistemas empresariales críticos y a recursos en la nube. El SOC recibía alertas EDR relacionadas con la evaluación, pero no respondió. El flujo de falsos positivos y el trabajo descoordinado de varios equipos ocultaron las señales reales del ataque.

En la organización B, la campaña de phishing condujo a la ejecución de una carga maliciosa en tres equipos. Cada ejecución provocó una alerta de severidad media, tras lo cual el personal del SOC aisló rápidamente las máquinas infectadas. El equipo rojo perdió los canales de control, por lo que la siguiente parte de la evaluación de CISA continuó según el modelo Asumir la brecha con acceso interno proporcionado previamente.

Ya dentro de ese modelo, los especialistas encontraron privilegios excesivos en una cuenta de servicio, obtuvieron la posibilidad de extraer datos de Active Directory y llegaron a un sistema empresarial crítico. Más tarde el equipo accedió a un servidor bastión en el segmento OT, pero las conexiones salientes estaban bloqueadas, y el SOC volvió a aislar el nodo tras el disparo de la protección.

Ambas organizaciones mostraron vulnerabilidades similares en la nube. El equipo rojo explotó privilegios excesivos de aplicaciones y cuentas insuficientemente protegidas para acceder a Microsoft Entra ID. En la organización B la prueba permitió añadir un secreto a una aplicación con permiso para gestionar el correo de todos los usuarios, y en la organización A los especialistas pudieron leer los correos del personal del SOC.

La agencia CISA concluyó que la diferencia entre las dos organizaciones no la marcaron las herramientas de protección en sí, sino la calidad de su configuración y la capacidad del SOC para actuar con rapidez. En la organización A las señales reales se ahogaron entre falsas alarmas, y la falta de coordinación entre equipos permitió que el equipo rojo desarrollara la intrusión sin ser detectado. En la organización B los primeros equipos infectados se aislaron en minutos y se cortó el acceso inicial.

Ambas evaluaciones identificaron problemas graves con los permisos y la seguridad en la nube, por lo que CISA recomienda reducir al mismo tiempo el ruido de monitorización, otorgar al SOC facultades claras y controlar con más rigor las cuentas, los tokens y los permisos de las aplicaciones.