Dado que muchas organizaciones han migrado su infraestructura, aplicaciones y datos a ofertas en la nube, los adversarios han ampliado sus capacidades operativas en entornos de nube para lograr su misión, ya sea que eso signifique robar propiedad intelectual, interrumpir las operaciones comerciales o retener los datos de una organización para obtener un rescate. Para proteger los datos de nuestros usuarios de ataques, el equipo de Elastic Security Intelligence & Analytics investiga y desarrolla reglas para detectar el comportamiento de los atacantes en la nube y en el endpoint.

En esta publicación, se analizara los desafíos relacionados con la detección y el monitoreo en la nube que enfrentan los equipos de operaciones de seguridad, y por qué los ataques contra los entornos en la nube suelen tener éxito. Se compartira detalles sobre las reglas de detección de nube gratuitas (incluidas muchas nuevas lanzadas en Elastic Security 7.9 ) y se mostrara cómo pueden ayudar a los usuarios de Elastic Security .

También se explicara cómo Elastic puede ingerir registros de una amplia variedad de plataformas en la nube y cómo Elastic Common Schema (ECS) facilita la búsqueda, el monitoreo y la detección para los defensores.

Desafíos de detección y monitoreo en la nube

Los equipos de seguridad suelen encontrar uno o más de los siguientes desafíos cuando se les pide que monitoreen, detecten y respondan a las amenazas en los entornos de nube de su organización:

• Restricciones de recursos:  puede llevar una cantidad considerable de tiempo aprender y comprender las tecnologías en la nube y sus fuentes de datos en constante cambio. Muchos equipos de operaciones de seguridad no tienen los recursos para destinarlos a este esfuerzo continuo.
• Comprensión del oficio del adversario: el  comportamiento de los atacantes en plataformas conocidas como Windows se ha investigado exhaustivamente y se ha compartido con la comunidad de seguridad. Es posible que los equipos de seguridad no tengan un conocimiento profundo de cómo operan los adversarios en entornos de nube o la capacidad de proporcionar un entorno de prueba para practicar técnicas ofensivas y defensivas para proteger su organización.
• Puntos ciegos:  para un monitoreo y detección efectivos, los datos disponibles para los profesionales de la seguridad deben ser relevantes, precisos y oportunos. Los registros en la nube enviados a un SIEM se pueden utilizar para la detección y respuesta siempre que el equipo de seguridad pueda depender de la calidad de los datos.
• Normalización de datos: la  mayoría de las plataformas en la nube tienen sus propias categorías de registro y esquema de eventos. Normalizar los registros en un esquema común no es una tarea trivial o única. Algunos equipos de seguridad, por ejemplo, tienen varios nombres de campo diferentes para un nombre de host en sus fuentes de datos indexadas en su SIEM. Sin un esquema normalizado y documentado, puede ser difícil para los analistas, especialmente los menos experimentados, escribir consultas de búsqueda y correlacionar eventos entre fuentes de datos de manera efectiva.

Más información y nota completa: Blog Elastic