El almacenamiento fue el punto ciego. Ahora está volviendo atrás.

Las cabinas de almacenamiento han sido durante mucho tiempo una de las capas más específicas de la empresa, pero menos supervisadas. La evidencia no es teórica. DarkSide pasó nueve días en la red de un operador de oleoductos de combustible antes de desplegar el Ransomware, acabar con los servicios de backup y eliminar las copias en la sombra para garantizar que no quedaba nada por recuperar sin pagar. Los testimonios del Senado del Director General de UnitedHealth revelaron que una brecha similar de nueve días en la detección precedió a lo que los reguladores confirman ahora como la mayor vulneración de los datos sanitarios de la historia de los Estados Unidos. Y a una clínica médica de Ontario se le eliminaron sus repositorios de copias de seguridad durante un ataque — y debido a que sus registros de acceso se quedaban sin almacenamiento y se sobrescribían en mitad de un ataque, los investigadores perdieron la capacidad de reconstruir las fases más tempranas de la intrusión.

En cada caso, los atacantes tenían días de acceso no supervisado antes de que se produjera el daño. En el operador del oleoducto de combustible y en la clínica de Ontario, ese acceso se utilizó para desactivar la infraestructura de backup y eliminar los puntos de recuperación — en el caso de Ontario, lo que costó a los investigadores parte de la prueba junto con ella. En los tres ataques, el mismo fallo marcó la diferencia: ninguna herramienta de seguridad estaba viendo la capa de almacenamiento y de copia de seguridad y ninguna respuesta automatizada estaba esperando.

La integración de Everpure y CrowdStrike lo cambia. Esta integración permite la detección en tiempo real y la respuesta automatizada cuando los comandos administrativos que controlan Everpure™ FlashArray™ y FlashBlade^® se utilizan incorrectamente, lo que desencadena acciones de recuperación directamente en la consola Falcon del SOC.

Lo que Everpure + CrowdStrike proporcionan

Históricamente, el almacenamiento se ha tratado como un componente pasivo de la ciberseguridad y la recuperación y carece de las capacidades nativas necesarias para señalar comandos administrativos sospechosos. Las organizaciones ahora reconocen que los sistemas de almacenamiento deben supervisar su plano de control y proporcionar funcionalidades de detección integradas para abordar los retos planteados por las amenazas impulsadas por la IA. La integración de Everpure y CrowdStrike convierte el almacenamiento en un defensor activo y refuerza la posición de seguridad de la organización gracias a cuatro funcionalidades concretas:

• Detecciones nativas de Purity en su consola Falcon: Nueve reglas validadas y mapeadas por MITRE ATT&CK cubren los comandos más destructivos de los actores de amenazas —que se activan en tiempo real dentro de su inquilino de CrowdStrike existente, no en un producto o panel de control separado.
• Detección de paso —sin retardo de correlación: Las detecciones SIEM tradicionales suelen esperar a múltiples eventos relacionados antes de emitir una alerta. Las detecciones de paso se activan inmediatamente cuando se observa un comando de almacenamiento de alto riesgo, eliminando los retrasos de correlación para las operaciones destructivas, como la eliminación de copias instantáneas y la omisión de la erradicación.
• Respuesta SOAR automatizada en segundos: CrowdStrike Fusion SOAR llama directamente a la API REST de FlashArray y crea una nueva copia instantánea de SafeMode™ antes de que un humano haya terminado de leer la alerta.
• Cobertura del paso anterior al daño: Los cambios en el DNS, la alteración del NTP y la redirección del syslog —los movimientos de evasión de la defensa que los adversarios realizan antes de que se ejecute una carga útil destructiva— también se detectan y se envían al SOC.

Un patrón común en los ataques de Ransomware mayores

Observe detenidamente cómo se desarrollan los ataques de Ransomware modernos y aparecerá un paso una y otra vez —en los ámbitos energético, sanitario, gubernamental y financiero— con una coherencia sorprendente: destruya las copias de seguridad antes de cifrar los datos en vivo. Es deliberada, porque los datos de recuperación son lo único que permite que una víctima se vaya sin pagar. Y en muchos de los incidentes más dañinos de los últimos cinco años, los atacantes no se apresuraron. Se tomaron su tiempo.

Estos incidentes revelan un manual de estrategia de adversario coherente en lugar de eventos aislados. En todos los sectores y las familias de Ransomware, los adversarios primero establecen persistencia, luego desactivan los mecanismos de recuperación y finalmente ejecutan la carga útil destructiva. Estos incidentes ponen de relieve la importancia de detectar la actividad de los atacantes durante la fase de preparación, antes de que las acciones destructivas comprometan los mecanismos de recuperación.

_{Tenga en cuenta estos ejemplos:
Estos incidentes se presentan como ejemplos documentados públicamente y no son despliegues de clientes de la integración Everpure + CrowdStrike. Ilustran un comportamiento de adversario más amplio y bien documentado: dirigirse a los mecanismos de recuperación y auditar las pruebas antes o durante un ataque destructivo, no una afirmación de que Everpure haya participado en estos incidentes. Everpure SafeMode proporciona una capa adicional de protección para los puntos de recuperación, al impedir la modificación o la eliminación durante el periodo de conservación configurado, sujeto a los controles SafeMode aplicables y al modelo de autorización.}

Ese es el problema que la supervisión en tiempo real está pensada para resolver. No es mejor realizar análisis forenses después del hecho, sino más bien una manera de captar el comando destructivo en el momento en que se emite detectando los movimientos de reconocimiento que lo preceden, mientras todavía hay tiempo para actuar.

Las nueve detecciones: MITRE Att&ck-Mapped y Validado

La integración de Everpure y CrowdStrike proporciona nueve reglas de detección validadas. Cada detección se ha desarrollado con un comando Purity específico, validado en pruebas y asignado al marco MITRE ATT&CK, el lenguaje compartido del sector para la conducta adversaria. No se trata de un conjunto de patrones genéricos. Estas reglas se centran en comandos administrativos de alto riesgo que pueden indicar una actividad maliciosa o no autorizada.

Estas nueve detecciones se publican, no son de propiedad exclusiva, y usted no se limita a ellas.

Todas las técnicas y tácticas de la tabla anterior —T1490, T1485, T1562, T1562.006— se extraen directamente de la búsqueda pública de MITRE ATT&CK Enterprise Matrix, the same framework your SOC already uses to triage every other Falcon alert. Nothing here is a proprietary label you have to learn or take on faith; de cualquier rule.id anterior en comparación con el propio sitio de MITRE y la definición de la técnica coincide.

Estas nueve detecciones son simplemente lo que se envía prevalidado desde el primer momento. Debido a que se ejecutan como reglas personalizadas estándar dentro de CrowdStrike NG-SIEM en el mismo flujo de eventos de auditoría de Purity, cualquier cliente puede escribir reglas de transferencia o correlación adicionales en sus propios comandos de Purity y asignarlas a cualquier técnica de ATT&CK que se ajuste, sin esperar a la versión del proveedor.

Mapeado por MITRE ATT&CK y ampliable

Las detecciones utilizan las técnicas MITRE ATT&CK para proporcionar un contexto estandarizado para la investigación del SOC. Las reglas prevalidadas también pueden ampliarse con reglas personalizadas adicionales basadas en los requisitos del cliente.
Esta biblioteca domina dos técnicas MITRE y la distinción entre ellas es importante: T1490 (Inhibir recuperación del sistema) consiste en destruir la capacidad de recuperación —eliminación instantánea, eliminación PG, omisión de erradicación—. T1485 (Destrucción de Datos) consiste en destruir los datos en sí —destrucción de volúmenes, destrucción del sistema de archivos, destrucción del cubo S3—. Un adversario que ya ha puesto en peligro el software de copia de seguridad normalmente ejecutará primero T1490 y luego T1485 cuando esté listo para la carga útil final. Las técnicas de evasión de la defensa (T1562, T1562.006) suelen preceder a ambas.

Creado para la detección y la respuesta en tiempo real

La visibilidad de los registros de almacenamiento ya existía antes de esta integración —el reenvío de registros de sistema puede enviar los eventos de Purity a un SIEM y un analista puede buscarlos. Cada uno de los tres casos prácticos anteriores muestra exactamente por qué no es suficiente: el evento de registro relevante casi con toda seguridad existía en algún lugar de cada caso. No se encontró cuando importaba, porque nada lo estaba vigilando en tiempo real y nada se configuró para actuar en consecuencia automáticamente. 

Dos decisiones de diseño marcan la diferencia.

En primer lugar, la detección tiene que realizarse en el momento de la introducción, no en un retraso. Un motor de correlación que espera a acumular un patrón de eventos es la herramienta adecuada para las señales sutiles, pero es la herramienta incorrecta para los comandos peligrosos, como la eliminación de una copia instantánea; cuando se forma el patrón, el Recovery Point desaparece. Así que los siete eventos de almacenamiento más críticos se designan como nivel de paso: Portan event.severity=80 y un rule.id en cuanto se analizan y se saltan el motor de correlación por completo.

En segundo lugar, la detección tuvo que activar una acción, no solo una alerta. Un analista que recibe una notificación a las 2 de la mañana sigue perdiendo la carrera contra un adversario que ya está pasando al siguiente paso. Por lo tanto, la misma detección que activa la alerta también activa un flujo de trabajo de CrowdStrike Fusion SOAR que llama directamente a la API REST de Purity y reconstruye el Recovery Point, antes de que un humano haya abierto la notificación.

Cómo funciona, de extremo a extremo

La arquitectura siguiente muestra lo que ocurre desde el momento en que se ejecuta un comando destructivo en FlashArray o FlashBlade hasta el momento en que se restablece un Recovery Point limpio.

Cómo es esto en la práctica: dos secuencias reales

Aquí están los datos reales que fluyen a través de cada uno de los dos escenarios de detección principales: syslog bruto, campos analizados y lo que ve el SOC. Estos no son ejemplos sintéticos. Estos son eventos de auditoría reales de una cabina de producción.

Escenario 1: Instantánea de grupo de protección destruida  (T1490 – Paso – CRÍTICO)

Contexto MITRE: T1490—Inhiba la recuperación del sistema. Los adversarios eliminan las copias de sombra de volumen, los repositorios de copias de seguridad y las copias instantáneas para garantizar que la víctima no pueda recuperarse sin pagar. DarkSide utilizó exactamente esta técnica en un ataque bien documentado de 2021 a un importante operador de oleoductos de combustible. En una cabina Purity, la destrucción de purepgroup dirigida a un objeto .snapshot es el equivalente de capa de cabina de las sombras de borrado de vssadmin en un host de Windows.

Evento bruto que llega al conector:

Después del análisis de NG-SIEM — estructurado y consultable:

event.severity: 80 desencadena la transferencia — sin ventana de correlación, sin retraso. CrowdStrike Fusion SOAR se dispara inmediatamente y hace tres cosas: 

• Llama a la API REST de FlashArray y crea una nueva copia instantánea SafeMode del mismo grupo de protección.
• Envía una notificación P1 al SOC con el nombre de la cabina, el grupo de protección, la cuenta de inicio, el ID de mensaje y la técnica MITRE.
• Escribe toda la secuencia en NG-SIEM como registro auditable. 

De extremo a extremo, la respuesta automatizada se produce en segundos.

Situación 2: Syslog es redirigido en mitad de la sesión (T1562.006 – Paso – ALTO)

Contexto MITRE: T1562.006 — Bloqueo de indicadores. Los adversarios modifican el registro de auditoría y autenticación para evitar la detección. El redireccionamiento de la salida del syslog a un host controlado por el adversario suprime el rastro de pruebas inmediatamente antes de una carga útil destructiva —el mismo patrón de evasión de defensa que se observa en las intrusiones de Ransomware del mundo real, ejecutado en la capa de almacenamiento—.

Evento bruto:

Esto se dispara como paso en lugar de correlación, porque la redirección del syslog a un destino desconocido se trata como suficiente individualmente para una detección —el SOC tiene que saber el momento en que ocurre, no después de que se acumule un patrón—. El SOC ve el intento de redireccionamiento antes de que cualquier cosa que pretenda ocultar tenga la oportunidad de ejecutarse.

Resultado: Acelere la detección y la respuesta

• Detección ajustada al ataque: La actividad de auditoría de Purity se supervisa continuamente, detectando movimientos de evasión de defensa como la manipulación del DNS y el syslog antes de que llegue la carga útil destructiva, no solo después.
• Respuesta automatizada en segundos: En el momento en que se activa un evento crítico —eliminación instantánea, destrucción de volumen, derivación de erradicación—, Fusion SOAR responde automáticamente, con un contexto completo (matriz, comando, usuario, técnica MITRE) en cada alerta.
• Supervisión continua: Un seguimiento de auditoría automático completo —detección, acción SOAR y resultado escrito en NG-SIEM en el momento en que se completa la respuesta, lo que es importante más tarde cuando se está reconstruyendo exactamente lo que le ha pasado a un regulador, a un auditor o a su propio liderazgo.
• Detecte, investigue y responda desde una única consola Falcon: Detección que se activa dentro de su propio inquilino de CrowdStrike Falcon, no delegada en una cola de SOC de terceros. Su equipo lo ve primero, es el propietario de la investigación y observa cómo se ejecuta la acción automatizada en su propia consola.

Pensamientos finales

La parte más difícil de defender el almacenamiento nunca ha sido la prueba. En todos los incidentes anteriores, los registros existían. Los comandos se activaron. Las marcas de tiempo estaban allí — sobrescritas en un caso, reconstruidas en otro, testificadas ante el Congreso en el tercer caso. El problema nunca fue la visibilidad. Era rápida: no detectaba en tiempo real, no ejecutaba respuesta de manera automática, no reconstruyeba Recovery Point mientras el atacante seguía en el entorno.

Eso es lo que cambia esta integración. No es una nueva consola que aprender, no un nuevo flujo de trabajo que crear — nueve reglas de detección asignadas a MITRE ATT&CK que se ejecutan dentro del inquilino de Falcon en el que ya está su SOC, con una recuperación automatizada que se ejecuta antes de que el analista termine de leer la alerta.

El almacenamiento fue el punto ciego. Ahora está mirando hacia atrás.

¿Quiere ver que esto se ejecuta en su propio entorno? Contacte con su equipo de cuenta de CrowdStrike o Everpure para hablar sobre cómo habilitar la detección de paso y los manuales de CrowdStrike Fusion SOAR para FlashArray y FlashBlade.