El almacenamiento era el punto ciego. Ahora está mirando hacia atrás.

Las matrices de almacenamiento han sido durante mucho tiempo una de las capas más específicas, pero menos monitoreadas, de la empresa. La evidencia no es teórica. DarkSide pasó nueve días dentro de la red de un operador de tuberías de combustible antes de implementar ransomware, eliminar los servicios de copia de seguridad y eliminar las copias de sombra para garantizar que no quedara nada para recuperarse sin pagar. El testimonio del Senado del CEO de UnitedHealth reveló que una brecha similar de nueve días en la detección precedió a lo que los reguladores confirman ahora como la mayor filtración de datos de atención de la salud en la historia de los EE. UU. Y una clínica médica de Ontario eliminó sus repositorios de copia de seguridad durante un ataque, y debido a que sus registros de acceso se quedaron sin almacenamiento y se sobrescribieron a mitad del ataque, los investigadores perdieron la capacidad de reconstruir las primeras etapas de la intrusión.

En cada caso, los atacantes tenían días de acceso no monitoreado antes de que se produjera el daño. En el operador de la tubería de combustible y la clínica de Ontario, ese acceso se utilizó para desactivar la infraestructura de copia de seguridad y eliminar los puntos de recuperación, en el caso de Ontario, lo que les costó a los investigadores parte del historial de evidencia junto con él. En los tres ataques, la misma falla marcó la diferencia: ninguna herramienta de seguridad estaba observando la capa de almacenamiento y copia de seguridad, y ninguna respuesta automatizada estaba esperando.

La integración de Everpure y CrowdStrike cambia eso. Esta integración permite la detección en tiempo real y la respuesta automatizada cuando los comandos administrativos que controlan FlashArray de Everpure™ y FlashBlade^® se usan de forma incorrecta, lo que desencadena acciones de recuperación directamente dentro de la consola Falcon del SOC.

Lo que ofrece Everpure + CrowdStrike

Históricamente, el almacenamiento se ha tratado como un componente pasivo de la ciberseguridad y la recuperación, y carece de las capacidades nativas necesarias para señalar comandos administrativos sospechosos. Las organizaciones ahora reconocen que los sistemas de almacenamiento deben monitorear su plano de control y ofrecer capacidades de detección incorporadas para abordar los desafíos que plantean las amenazas impulsadas por la AI. La integración de Everpure y CrowdStrike convierte el almacenamiento en un defensor activo y fortalece la postura de seguridad de la organización a través de cuatro capacidades concretas:

• Detecciones nativas de Purity en su consola Falcon: Nueve reglas validadas y asignadas por MITRE ATT&CK cubren los comandos de actores de amenazas más destructivos, que se disparan en tiempo real dentro de su inquilino actual de CrowdStrike, no un producto o panel separado.
• Detección de transferencia, sin retraso de correlación: Las detecciones SIEM tradicionales suelen esperar varios eventos relacionados antes de generar una alerta. Las detecciones de transferencia se activan inmediatamente cuando se observa un comando de almacenamiento de alto riesgo, lo que elimina las demoras de correlación para las operaciones destructivas, como la eliminación de snapshots y la omisión de erradicación.
• Respuesta SOAR automatizada en segundos: CrowdStrike Fusion SOAR llama a la API REST de FlashArray directamente y crea una nueva imagen instantánea de SafeMode™ antes de que un humano haya terminado de leer la alerta.
• Cobertura del paso anterior al daño: Los cambios de DNS, la manipulación de NTP y la redirección de syslog, los movimientos de defensa-evasión que realizan los adversarios antes de ejecutar una carga útil destructiva, también se detectan y aparecen en el SOC.

Un patrón común en ataques de Ransomware importantes

Mire detenidamente cómo se desarrollan los ataques modernos de ransomware y aparece un paso una y otra vez, en los sectores de energía, salud, gobierno y finanzas, con una consistencia sorprendente: destruya las copias de seguridad antes de encriptar los datos en vivo. Es deliberado, porque los datos de recuperación son lo único que permite que una víctima se vaya sin pagar. Y en muchos de los incidentes más perjudiciales de los últimos cinco años, los atacantes no se apresuraron. Se tomaron su tiempo.

Estos incidentes revelan un manual de estrategias de adversarios consistente en lugar de eventos aislados. En todas las industrias y familias de ransomware, los adversarios primero establecen persistencia, luego desactivan los mecanismos de recuperación y finalmente ejecutan la carga destructiva. Estos incidentes destacan la importancia de detectar la actividad de los atacantes durante la fase de preparación, antes de que las acciones destructivas comprometan los mecanismos de recuperación.

_{Tenga en cuenta estos ejemplos:
Estos incidentes se presentan como ejemplos documentados públicamente y no son implementaciones de clientes de la integración Everpure + CrowdStrike. Ilustran una conducta adversaria más amplia y bien documentada: apuntando a los mecanismos de recuperación y a la evidencia de auditoría antes o durante un ataque destructivo, no una afirmación de que Everpure estuviera involucrado en estos incidentes. Everpure SafeMode proporciona una capa adicional de protección para los puntos de recuperación al evitar la modificación o eliminación durante el período de retención configurado, sujeto a los controles y el modelo de autorización de SafeMode aplicables.}

Ese es el problema para el que está diseñado el monitoreo en tiempo real. No mejor análisis forense después del hecho, sino más bien una forma de detectar el comando destructivo en el momento en que se emite al detectar los movimientos de reconocimiento que lo preceden, mientras aún hay tiempo para actuar.

Las nueve detecciones: MITRE Att&ck mapeado y validado

La integración de Everpure y CrowdStrike proporciona nueve reglas de detección validadas. Cada detección se desarrolló contra un comando específico de Purity, validado en pruebas y asignado al marco MITRE ATT&CK, el lenguaje compartido de la industria para el comportamiento adversario. Este no es un conjunto de patrones genéricos. Estas reglas se centran en comandos administrativos de alto riesgo que pueden indicar actividad maliciosa o no autorizada.

Estas nueve detecciones se publican, no son de propiedad exclusiva, y usted no se limita a ellas.

Todas las técnicas y tácticas de la tabla anterior, T1490, T1485, T1562, T1562.006, se extraen directamente de MITRE ATT&CK Enterprise Matrix, the same framework your SOC already uses to triage every other Falcon alert. Nothing here is a proprietary label you have to learn or take on faith;, que cotiza en bolsa, y buscan cualquier rule.id anterior en comparación con el propio sitio de MITRE y la definición de la técnica coincide.

Estas nueve detecciones son simplemente lo que se envía prevalidado desde el primer momento. Debido a que se ejecutan como reglas personalizadas estándar dentro de CrowdStrike NG-SIEM contra el mismo flujo de eventos de auditoría de Purity, cualquier cliente puede escribir reglas de transferencia o correlación adicionales contra sus propios comandos de Purity y asignarlos a la técnica de ATT&CK que corresponda, sin esperar a la liberación de un proveedor.

Mapeado por MITRE ATT&CK y extensible

Las detecciones utilizan técnicas MITRE ATT&CK para proporcionar un contexto estandarizado para la investigación de SOC. Las reglas validadas previamente también pueden extenderse con reglas personalizadas adicionales basadas en los requisitos del cliente.
Dos técnicas MITRE dominan esta biblioteca, y la distinción entre ellas es importante: T1490 (inhibir la recuperación del sistema) se trata de destruir la capacidad de recuperación: eliminación de snapshots, eliminación de PG, omisión de erradicación. T1485 (destrucción de datos) se trata de destruir los datos en sí: destrucción de volúmenes, destrucción de sistemas de archivos, destrucción de cubos S3. Un adversario que ya ha comprometido el software de copia de seguridad ejecutará T1490 primero, luego T1485 cuando esté listo para la carga final. Las técnicas de defensa-evasión (T1562, T1562.006) generalmente preceden a ambas.

Diseñado para la detección y respuesta en tiempo real

La visibilidad de los registros de almacenamiento ya existía antes de esta integración: el reenvío de registros de sistema podría enviar eventos de Purity a un SIEM y un analista podría buscarlos. Cada uno de los tres casos de estudio anteriores muestra exactamente por qué eso no es suficiente: el evento de registro relevante casi seguramente existía en algún lugar de cada caso. No se detectó cuando importaba, porque nada estaba atento a ello en tiempo real y nada se configuró para actuar automáticamente. 

Dos decisiones de diseño marcan la diferencia.

En primer lugar, la detección debe ocurrir al momento de la ingesta, no en una demora. Un motor de correlación que espera para acumular un patrón de eventos es la herramienta adecuada para señales sutiles, pero es la herramienta incorrecta para comandos peligrosos como la eliminación de snapshots, para el momento en que se forma el patrón, el punto de recuperación desaparece. Por lo tanto, los siete eventos de almacenamiento más críticos se denominan nivel de transferencia: Llevan el evento.severity=80 y un llamado rule.id al instante en que se analizan y omiten el motor de correlación por completo.

En segundo lugar, la detección debía activar una acción, no solo una alerta. Un analista que recibe una notificación a las 2 a. m. sigue perdiendo la carrera contra un adversario que ya está pasando al siguiente paso. Por lo tanto, la misma detección que dispara la alerta también activa un flujo de trabajo de SOAR de CrowdStrike Fusion que llama a la API REST de Purity directamente y reconstruye el punto de recuperación, antes de que un humano haya abierto la notificación.

Cómo funciona, de extremo a extremo

La siguiente arquitectura muestra lo que sucede desde el momento en que se ejecuta un comando destructivo en FlashArray o FlashBlade hasta el momento en que se restablece un punto de recuperación limpio.

Cómo se ve esto en la práctica: dos secuencias reales

Estos son los datos reales que fluyen a través de cada uno de los dos escenarios de detección principales: syslog sin procesar, campos analizados y lo que ve el SOC. Estos no son ejemplos sintéticos. Estos son eventos de auditoría reales de una matriz de producción.

Escenario 1: Instantánea del grupo de protección destruida  (T1490 – Transferencia – CRÍTICA)

Contexto de MITRE: T1490—Inhiba la recuperación del sistema. Los adversarios eliminan copias de sombra de volumen, repositorios de copia de seguridad e instantáneas para garantizar que la víctima no pueda recuperarse sin pagar. DarkSide utilizó exactamente esta técnica en un ataque bien documentado de 2021 a un importante operador de tuberías de combustible. En una matriz de Purity, la destrucción de purepgroup dirigida a un objeto .snapshot es el equivalente de capa de matriz de las sombras de eliminación de vssadmin en un host de Windows.

Evento sin procesar que llega al conector:

Después del análisis de NG-SIEM, estructurado y consultable:

event.severity: 80 desencadena el paso: sin ventana de correlación, sin demora. CrowdStrike Fusion SOAR se dispara de inmediato y hace tres cosas: 

• Llama a la API REST de FlashArray y crea una nueva snapshot SafeMode del mismo grupo de protección
• Envía una notificación P1 al SOC con el nombre de la matriz, el grupo de protección, la cuenta iniciadora, la ID de mensaje y la técnica MITRE.
• Vuelve a escribir la secuencia completa en NG-SIEM como un registro auditable. 

De extremo a extremo, la respuesta automatizada se produce en segundos.

Escenario 2: Syslog es redirigido a mitad de la sesión (T1562.006 – Transmisión – ALTO)

Contexto de MITRE: T1562.006 — Bloqueo de indicadores. Los adversarios modifican el registro de auditoría y autenticación para evadir la detección. Redirigir la salida de syslog a un host controlado por adversarios suprime el rastro de evidencia inmediatamente antes de una carga útil destructiva, el mismo patrón de evasión de defensa que se observa en las intrusiones de ransomware del mundo real, ejecutadas en la capa de almacenamiento.

Evento sin procesar:

Esto se dispara como una transferencia en lugar de correlación porque la redirección del Syslog a un destino desconocido se trata como lo suficientemente individual para una detección; el SOC necesita saber en el momento en que sucede, no después de que se acumula un patrón. El SOC ve el intento de redireccionamiento antes de que cualquier cosa que se pretenda ocultar tenga la oportunidad de ejecutarse.

Resultado: Acelere la detección y la respuesta

• Detección ajustada al ataque: La actividad de auditoría de Purity se monitorea de forma continua y detecta movimientos de evasión de defensa como la manipulación de DNS y syslog antes de que la carga útil destructiva llegue, no solo después.
• Respuesta automatizada en segundos: En el momento en que se dispara un evento crítico, eliminación de snapshots, destrucción de volumen, omisión de erradicación, Fusion SOAR responde automáticamente, con un contexto completo (matriz, comando, usuario, técnica MITRE) en cada alerta.
• Monitoreo continuo: Una pista de auditoría automática completa: detección, acción SOAR y resultado escrito nuevamente en NG-SIEM en el momento en que se completa la respuesta, lo cual es importante más adelante cuando se reconstruye exactamente lo que sucedió con un regulador, un auditor o su propio liderazgo.
• Detecte, investigue y responda desde una única consola Falcon: Detección que se dispara dentro de su propio inquilino de CrowdStrike Falcon, no delegada a una cola SOC de terceros. Su equipo lo ve primero, se hace cargo de la investigación y observa la acción automatizada ejecutarse en su propia consola.

Pensamientos de cierre

La parte más difícil de defender el almacenamiento nunca ha sido la evidencia. En cada incidente anterior, existían los registros. Los comandos dispararon. Las marcas de tiempo estaban allí, sobrescritas en un caso, reconstruidas en otro, testificadas ante el Congreso en el tercero. El problema nunca fue la visibilidad. Era velocidad: no había detección en tiempo real, no había respuesta que se ejecutaba automáticamente, no se reconstruía ningún punto de recuperación mientras el atacante aún estaba en el entorno.

Eso es lo que cambia esta integración. No es una consola nueva que aprender, no un flujo de trabajo nuevo que construir: nueve reglas de detección con nombre y asignadas por MITRE ATT&CK que se ejecutan dentro del inquilino de Falcon en el que ya se encuentra su SOC, con recuperación automatizada que se ejecuta antes de que el analista termine de leer la alerta.

El almacenamiento era el punto ciego. Ahora está mirando hacia atrás.

¿Quiere ver que esto se ejecuta en su propio entorno? Comuníquese con su equipo de cuentas de CrowdStrike o Everpure para analizar la posibilidad de la detección de transferencia y los manuales de estrategias de SOAR de CrowdStrike Fusion para FlashArray y FlashBlade.