El problema de la seguridad perimetral actual
Los equipos de seguridad disponen de más controles perimetrales que nunca, y cada uno desempeña un papel importante. Sin embargo, a pesar de la inspección de solicitudes, la validación de credenciales, la toma de huellas digitales del dispositivo y las señales de automatización, los atacantes aún logran ocultarse en tráfico que se asemeja notablemente a la actividad legítima de los usuarios. Una de las razones es que cada control de seguridad se enfoca en una parte diferente de la sesión del usuario. Si un atacante que de otro modo parece legítimo utiliza una IP residencial o una VPN comercial, puede atravesar varias capas sin provocar una alerta o acción. Este es el problema fundamental de las herramientas de seguridad perimetral existentes: la falta de contexto sobre la infraestructura subyacente.
Lo que ven los controles actuales y lo que pueden pasar por alto
La seguridad de las aplicaciones depende de múltiples capas de defensa, cada una diseñada para responder a una pregunta diferente sobre el tráfico entrante.
- CDN y WAF: inspeccionan solicitudes, aplican políticas y filtran amenazas conocidas, pero la solicitud en sí puede no revelar que una conexión aparentemente normal se enruta a través de infraestructura destinada a ocultar su origen.
- Gestion de bots: identifica automatización y distingue bots de humanos, pero no toda sesión maliciosa es automatizada y los atacantes combinan automatización con infraestructura que imita el tráfico de consumidores legítimos.
- Identidad y autenticación: verifican credenciales, pero las credenciales válidas no garantizan que la persona que las presenta sea el titular legítimo.
- Inteligencia de dispositivo y navegador: proporciona confianza sobre el endpoint, pero no revela la infraestructura de red que lo conecta.
Individualmente, estas señales aportan información valiosa, pero los atacantes explotan cada vez más los vacíos entre ellas, creando sesiones que parecen legítimas para cualquier control individual mientras ocultan contexto importante sobre la infraestructura detrás de la conexión.
De señales individuales a confianza de sesión
Esto crea la necesidad de otra capa de contexto: inteligencia sobre la infraestructura detrás de la sesión en vivo. Spur construyó Monocle Session Enrichment para proporcionar esa capa. Monocle enriquece cada sesión de usuario con señales de confianza en tiempo real, incluyendo estado de anonimización, atribución de servicios proxy, infraestructura residencial y redes de atacantes emergentes. Estas señales amplían la inteligencia de su pila de seguridad perimetral existente y permiten a los equipos de seguridad y fraude tomar decisiones de aplicación más inteligentes, reduciendo los riesgos de autenticación y la fricción para usuarios legítimos. Monocle combina la visibilidad de Spur sobre la infraestructura de Internet con telemetría de sesión en vivo para crear una Evaluación de Confianza de Sesión en tiempo real. En lugar de simplemente etiquetar una IP como buena o mala, proporciona atributos que la capa de aplicación puede usar al decidir cómo manejar la sesión.
Señales, decisión y gobernanza
La evaluación proporciona tres tipos de contexto: señales que describen lo que Monocle observa sobre la sesión; una decisión basada en la política configurada por la organización; y datos de gobernanza que hacen que la evaluación sea rastreable.
- Señales: atributos como 'vpn', 'proxied', 'anon', 'rdp' y 'dch' describen la infraestructura y las características de la conexión que Monocle observa, mientras que 'service' identifica el servicio específico involucrado. Señales adicionales como 'ai_agentic' y 'ai_crawling' proporcionan contexto sobre tráfico emergente impulsado por IA.
- Decisión: 'allowed' proporciona la recomendación de política resultante, mientras que 'reason' explica por qué se tomó esa decisión. Por ejemplo, la sesión no se permite porque la política configurada bloquea conexiones anónimas.
- Gobernanza y trazabilidad: campos como 'decisionId', 'id', 'sid' y 'ts' proporcionan identificadores e información de tiempo que ayudan a rastrear una decisión hasta una evaluación y contexto de aplicación particular.
Aplicando el enriquecimiento de sesión: el contexto hace que los controles existentes sean más útiles
Por ejemplo, supongamos que una institución financiera ve un inicio de sesión exitoso desde una dirección IP de EE. UU. Por sí solo, eso no es particularmente interesante. Sin embargo, el enriquecimiento de sesión podría revelar que la conexión es anónima, se origina en infraestructura de centro de datos y se atribuye a un servicio VPN comercial. Esto le da a la capa de aplicación un contexto crítico que permite decisiones de autenticación más informadas.
En la práctica, un cliente conocido que usa su dispositivo normal a través de una VPN podría continuar, pero un inicio de sesión con nuevas credenciales, un dispositivo desconocido y una infraestructura de anonimización podría desencadenar MFA. Una transacción de alto valor desde esa misma sesión podría requerir verificación adicional.
- Creación de cuentas: el contexto de infraestructura ayuda a identificar usuarios que intentan ocultar o cambiar repetidamente su identidad de red.
- Abuso automatizado: el enriquecimiento de sesión complementa la detección de bots mostrando la infraestructura utilizada para distribuir la actividad.
- Cumplimiento geográfico: las organizaciones pueden distinguir la ubicación aparente de una IP de sesiones que usan VPN o proxy para ocultar su origen.
- Tráfico generado por IA: las organizaciones pueden agregar señales emergentes de agentes y rastreadores a las políticas existentes para tráfico humano y automatizado.
Aplicar donde la decisión importa
El enriquecimiento de sesión es más efectivo cuando sus señales pueden evaluarse donde el tráfico ya se controla: en el borde. Monocle está diseñado para complementar la infraestructura perimetral existente, no reemplazarla. Organizaciones que usan plataformas como Cloudflare pueden incorporar el enriquecimiento de sesión en sus flujos de trabajo de aplicación existentes y determinar cómo manejar diferentes combinaciones de señales.
Eso podría significar permitir una sesión, desafiarla, requerir una autenticación más sólida, restringir una acción sensible, enviarla para análisis adicional o bloquearla por completo.
La seguridad perimetral necesita mejor contexto
El enriquecimiento de sesión proporciona una capa de inteligencia faltante sobre la infraestructura detrás de las sesiones, complementando los controles de seguridad perimetral existentes y permitiendo decisiones más sólidas. Vea cómo Spur puede ayudar a descubrir amenazas ocultas detrás de VPN, proxies y otra infraestructura de anonimización. Comience gratis. Patrocinado y escrito por Spur Intelligence.
Deja una respuesta