Las grandes empresas de EE. UU. y la UE corren un riesgo significativo ya que sus proveedores de confianza pueden convertirse rápidamente en vías de ataque. Debido a la dependencia de cientos de proveedores, los atacantes logran ocultar actividades maliciosas en flujos de trabajo y correos legítimos, pudiendo realizar movimientos laterales en solo 29 minutos, superando la capacidad de respuesta de los equipos de seguridad.

Un proveedor de confianza puede convertirse en una ruta de ataque de la noche a la mañana.

Las grandes empresas de EE. UU. y la UE a menudo dependen de cientos de proveedores, lo que ofrece a los atacantes numerosas oportunidades para ocultar actividades maliciosas dentro de correos electrónicos, archivos y flujos de trabajo empresariales legítimos.

El margen para reaccionar es pequeño: los atacantes pueden moverse lateralmente en solo 29 minutos, mientras que los equipos de SOC, desbordados, pueden dejar una gran parte de las alertas sin una investigación completa.

Esa brecha es exactamente lo que aprovechan los ataques a la cadena de suministro.

Por qué los ataques a la cadena de suministro son más difíciles de detener

El problema no es solo el número de terceros implicados. Los ataques a la cadena de suministro también desafían la forma en que los controles de seguridad tradicionales evalúan la confianza, priorizan las alertas e investigan la actividad sospechosa.

• La actividad de un proveedor de confianza puede saltarse la primera línea de defensa: Las cuentas de proveedores comprometidas, los dominios legítimos y los flujos de trabajo familiares pueden hacer que la actividad maliciosa parezca rutinaria.

• Los atacantes pueden moverse más rápido que una investigación manual: Dado que el movimiento lateral es posible en unos pocos minutos, los traspasos prolongados y las herramientas desconectadas pueden hacer que tus equipos reaccionen demasiado tarde.

• Más proveedores generan más trabajo de seguridad, pero no más analistas: Los ecosistemas de proveedores en crecimiento significan más archivos, enlaces, cuentas y puntos potenciales de entrada que el SOC debe investigar.

1. Dale a tus analistas evidencia conductual para verificar las amenazas provenientes de proveedores

Algunas de las amenazas provenientes de proveedores más difíciles de detectar son aquellas que llegan a través de cuentas de proveedores legítimas pero comprometidas.

Los remitentes familiares, los dominios de confianza y las comunicaciones empresariales rutinarias pueden hacer que los archivos o enlaces maliciosos parezcan seguros para los controles tradicionales.

El desafío aumenta con el phishing moderno, donde el contenido malicioso puede aparecer solo después de que un usuario interactúe con una página, siga una redirección o supere una verificación anti-bots.

Los escáneres estáticos pueden pasar por alto estas etapas posteriores, dejando a tus analistas sin el contexto suficiente para confirmar rápidamente qué sucedió.

El Sandbox Interactivo de ANY.RUN proporciona a los equipos de SOC evidencia conductual al mostrar redirecciones, formularios de credenciales cargados dinámicamente, cambios en el DOM, actividad de red y procesos maliciosos a medida que el ataque se desarrolla.

Dar a tus analistas esta visibilidad les ayuda a tomar decisiones seguras más rápido, evitar escaladas innecesarias y reducir el tiempo que una interacción comprometida con un proveedor permanece activa dentro de tu organización.

2. Dale a tus equipos de SOC inteligencia para detectar campañas de cadena de suministro más amplias

Un archivo, URL o dominio de proveedor sospechoso puede ser solo una parte de una campaña mucho más grande. Si tus analistas lo investigan de forma aislada, pueden pasar por alto infraestructuras relacionadas, patrones de ataque y actividades que ya afectan a organizaciones de la misma industria o región.

La función de Búsqueda de Inteligencia de Amenazas de ANY.RUN permite a los equipos pivotar desde un único indicador hacia dominios conectados, IPs, URLs, sesiones de sandbox, industrias afectadas y actividad geográfica.

Por ejemplo, un equipo que monitoree amenazas contra el sector bancario alemán puede usar una consulta como: submissionCountry:”de” AND industry:”Banking”

Esto puede revelar actividad maliciosa reciente relevante para ese mercado y ayudar a tus analistas a conectar un incidente aislado de un proveedor con una campaña más amplia.

Para los líderes de seguridad, esto significa darle al SOC el contexto suficiente para ir más allá de una sola alerta e identificar amenazas que podrían afectar a otros proveedores, usuarios o unidades de negocio.

3. Escala las investigaciones de proveedores sin aumentar la plantilla del SOC

A medida que crecen los ecosistemas de proveedores, también aumenta el número de archivos sospechosos, enlaces y alertas de terceros que el SOC debe gestionar. Añadir más analistas cada vez que aumenta la carga de trabajo rara vez es sostenible.

Tú, como líder de seguridad, puedes reducir esa presión dando a tus equipos un acceso más rápido a los resultados de las investigaciones y a datos de amenazas actualizados.

Los Informes de Nivel 1 de ANY.RUN empaquetan los hallazgos conductuales, los IOC, el mapeo de MITRE ATT&CK y el contexto de la investigación en un informe estructurado, ayudando a tus analistas a avanzar en los casos sin repetir el mismo trabajo manual entre niveles.

Los Feeds de Inteligencia de Amenazas también pueden entregar IPs, dominios y URLs maliciosas actualizadas directamente en tus herramientas de SIEM, SOAR y de seguridad existentes, ayudando a tus equipos a detectar amenazas conocidas más temprano y reducir la recolección manual de IOC.

El impacto operativo es significativo: un acceso más rápido a la evidencia y la inteligencia puede reducir el MTTR hasta en 21 minutos por caso, reducir la carga de trabajo del Nivel 1 y limitar las escaladas innecesarias.

Para las empresas con grandes redes de proveedores, esto significa soportar más investigaciones sin que los costes del SOC crezcan al mismo ritmo.

Evita que la confianza en el proveedor se convierta en un riesgo empresarial

Los ataques a la cadena de suministro son difíciles de eliminar porque las empresas no pueden simplemente dejar de trabajar con proveedores, contratistas y socios tecnológicos. El objetivo es reducir el tiempo entre la actividad sospechosa del proveedor y una decisión de seguridad segura.

Al proporcionar a tus analistas evidencia conductual, un contexto de amenazas más amplio e indicadores actualizados dentro de sus flujos de trabajo existentes, tú puedes ayudar a tus equipos a detectar las amenazas provenientes de proveedores más temprano, contenerlas más rápido y soportar ecosistemas de proveedores crecientes sin añadir el mismo nivel de coste operativo.

Fuentes:
https://cybersecuritynews.com/trusted-vendors-are-becoming-attack-paths-how-us-and-eu-enterprises-can-reduce-the-risk/