El "Shadow IT" consiste en el uso de hardware y software no autorizado que crea brechas de seguridad al ser invisible para los equipos de IT. Para solucionar esto, la plataforma Wazuh ofrece una visibilidad completa mediante la recolección continua de inventarios en los endpoints y el monitoreo de dispositivos sin agente. Gracias a este análisis centralizado, las organizaciones pueden detectar software no aprobado, vulnerabilidades y activos no gestionados para mitigar riesgos.

El Shadow IT incluye hardware, software y servicios que se ejecutan fuera de la visibilidad o aprobación de los equipos de TI y seguridad. Puede incluir aplicaciones no aprobadas que los empleados instalan, extensiones de navegador con permisos excesivos y endpoints provisionados una vez que nunca fueron inscritos en ninguna plataforma de monitoreo. Estos activos no gestionados crean brechas de visibilidad porque los controles de seguridad existentes no los monitorean.

Muchas organizaciones confían en los escaneos de descubrimiento de red para medir la cobertura de activos. Aunque son útiles, el descubrimiento de red solo identifica los endpoints que responden durante la ventana de escaneo. Los dispositivos apagados, los segmentos de red aislados y el software que no expone puertos de escucha pueden permanecer invisibles. Como resultado, el descubrimiento de red mide la alcanzabilidad de la red, no la cobertura de monitoreo.

Wazuh [https://wazuh.com/] es una plataforma de seguridad gratuita y de código abierto que unifica las capacidades de SIEM y XDR en endpoints y cargas de trabajo en la nube. Recopila datos de inventario del sistema directamente de cada endpoint monitoreado, lo que permite a los equipos de seguridad comparar lo que informan los escaneos de red frente a lo que informan los endpoints monitoreados por Wazuh.

Esta comparación ayuda a identificar endpoints no gestionados, software no autorizado y brechas de monitoreo.

Por qué el shadow it resiste el descubrimiento

El Shadow IT persiste porque las herramientas que informan los hallazgos a menudo no pueden observar los activos en cuestión. Comprender dónde se forman las brechas ayuda a los equipos de seguridad a decidir qué controles extender.

* Endpoints no gestionados: Una estación de trabajo que es reinstalada y nunca vuelve a inscribirse, o una máquina virtual creada para un proyecto de corta duración y que queda ejecutándose, no produce telemetría. No aparece en los informes de parches, hallazgos de vulnerabilidades o datos de alertas, porque no hay ningún agente instalado para monitorearlos.
* Aplicaciones no aprobadas en endpoints gestionados: Las herramientas de acceso remoto, los clientes de intercambio de archivos y las utilidades de productividad instaladas fuera de la línea base de software aprobada introducen riesgos en endpoints que, de otro modo, estarían totalmente monitoreados. Los endpoints son visibles, pero el software que se ejecuta en ellos no siempre se revisa según la política.
* Software que no abre ningún puerto de red: El descubrimiento de red no autenticado puede inferir servicios a partir de los puertos que expone un host, pero no puede identificar de manera confiable el software que no escucha conexiones entrantes. Las extensiones del navegador, las utilidades instaladas localmente y las herramientas de acceso remoto que inician conexiones salientes hacia un bróker no son observables a través de ese método.
* Dispositivos que no pueden ejecutar un agente: Las impresoras, los switches, las cámaras IP y otros dispositivos de red requieren métodos de inventario y monitoreo distintos a un agente de endpoint.

Abordar estas categorías requiere telemetría de endpoints y fuentes de datos adicionales para los dispositivos que no pueden ejecutar un agente.

Cerrando el punto ciego con wazuh

Wazuh ayuda a las organizaciones a reducir la exposición al shadow IT a través de la recopilación continua del inventario del sistema, el análisis centralizado y la correlación de los datos de inventario con la información de vulnerabilidades y políticas. Las siguientes capacidades ayudan a los equipos de seguridad a identificar activos no gestionados y software no autorizado en todo su entorno.

* Inventario continuo del sistema: El agente de Wazuh recopila detalles del hardware, información del sistema operativo, paquetes instalados, interfaces de red, puertos de escucha, procesos en ejecución, servicios, usuarios, grupos y extensiones de navegador de cada endpoint monitoreado. El agente de Wazuh en endpoints de Windows informa además las actualizaciones instaladas. El agente de Wazuh reenvía estos datos al servidor de Wazuh, que los procesa y los almacena en el indexador de Wazuh como el estado actual del endpoint. La capacidad de inventario del sistema [https://documentation.wazuh.com/current/user-manual/capabilities/system-inventory/index.html] está habilitada por defecto, ejecuta un escaneo inicial cuando el agente de Wazuh se inicia y vuelve a escanear en un intervalo configurable que por defecto es de una hora [https://documentation.wazuh.com/current/user-manual/reference/ossec-conf/wodle-syscollector.html] . Figura 1: Panel de Higiene de TI de Wazuh
* Visibilidad centralizada en todo el entorno: Los datos de inventario de cada endpoint monitoreado se agregan en índices dedicados y se presentan en el panel de Wazuh bajo Higiene de TI [https://documentation.wazuh.com/current/user-manual/capabilities/system-inventory/viewing-system-inventory-data.html] , organizados en secciones de Panel, Sistema, Software, Procesos, Red, Identidad y Servicios. Los equipos de seguridad pueden consultar todos los datos desde una sola interfaz en lugar de inspeccionar los endpoints individualmente. La sección de Red incluye una pestaña de Tráfico que enumera los puertos que están escuchando activamente en cada endpoint. Esta es una vista desde el host de la misma información que un escaneo de red intenta inferir remotamente.

* Visibilidad de las extensiones del navegador y los servicios del endpoint: Wazuh 4.14.0 [https://documentation.wazuh.com/current/release-notes/release-4-14-0.html] y versiones posteriores recopilan datos de inventario sobre extensiones de navegador, servicios de endpoint, usuarios y grupos. El modelo de extensiones de navegador está unificado en Windows, macOS y Linux, lo que permite a los equipos de seguridad identificar extensiones con permisos amplios en todo el parque informático desde una sola consulta. El inventario de servicios normaliza los servicios de Windows junto con las unidades systemd de Linux, lo que ayuda a los equipos a encontrar software no aprobado configurado para iniciarse automáticamente.

Figura 2: Inventario de extensiones de navegador de Wazuh
* Cobertura para dispositivos que no pueden ejecutar un agente de Wazuh: Wazuh proporciona monitoreo sin agente [https://documentation.wazuh.com/current/user-manual/capabilities/agentless-monitoring/index.html] a través de SSH para routers, firewalls, switches y sistemas Linux o BSD. Para los dispositivos que no admiten ni un agente ni una sesión SSH, el servidor de Wazuh acepta syslog directamente [https://documentation.wazuh.com/current/user-manual/capabilities/log-data-collection/syslog.html] desde dispositivos de red y otros equipos. Estas capacidades brindan visibilidad adicional sobre los dispositivos que no pueden ejecutar un agente de Wazuh. Sin embargo, el monitoreo por SSH y syslog solo proporciona la información expuesta por los comandos, archivos y registros del dispositivo configurados.
* Monitoreo de la propia cobertura del agente: El estado de inscripción del agente mide la cobertura entre los endpoints que ya están registrados en el servidor de Wazuh. No identifica endpoints desconocidos que nunca fueron instalados o inscritos. Un agente de Wazuh informa uno de cuatro estados [https://documentation.wazuh.com/current/user-manual/agent/agent-enrollment/agent-life-cycle.html] : nunca conectado, pendiente, activo o desconectado. Los agentes que se inscribieron pero nunca se conectaron indican despliegues que no se completaron. Un agente pasa a estado desconectado cuando no llega ningún mensaje de mantenimiento (keep-alive) dentro de la ventana configurada, que por defecto es de 15 minutos. Revisar estos estados ayuda a los equipos de seguridad a identificar endpoints que se supone que están monitoreados pero que no están informando.
* Correlación del inventario con vulnerabilidades y políticas: Los datos de inventario respaldan las decisiones de seguridad cuando se comparan con una referencia. La detección de vulnerabilidades de Wazuh [https://documentation.wazuh.com/current/user-manual/capabilities/vulnerability-detection/index.html] correlaciona el inventario de software recopilado con el contenido de vulnerabilidades de la plataforma de Inteligencia de Amenazas Cibernéticas (CTI) de Wazuh. No sondea los endpoints ni barre la red, por lo que el análisis se ejecuta centralmente sobre los datos que los endpoints ya han informado. El mismo inventario puede unirse a fuentes de datos externas para identificar software al final de su vida útil [https://wazuh.com/blog/monitoring-end-of-life-software-with-wazuh/] que ya no recibe actualizaciones de seguridad.

Figura 3: Inventario de servicios de Wazuh
* Búsqueda de amenazas (Threat hunting) a través de los datos de inventario: Debido a que el inventario se almacena de forma centralizada y está indexado, los equipos de seguridad pueden consultarlo durante las investigaciones en lugar de recopilar datos bajo demanda. La publicación del blog de Wazuh "Threat hunting using inventory data collected by Wazuh" [https://wazuh.com/blog/detecting-threats-using-inventory-data/] demuestra esto con reglas personalizadas, listas CDB de software y puertos no autorizados y consultas ejecutadas contra el inventario. Este enfoque saca a la luz activos que ninguna alerta individual señalaría por sí sola.
* Detección y eliminación de aplicaciones no autorizadas: Los equipos de seguridad pueden configurar reglas personalizadas de Wazuh para detectar aplicaciones no autorizadas seleccionadas y utilizar un script de Respuesta Activa probado para eliminarlas de los endpoints monitoreados. La publicación del blog de Wazuh "Managing shadow IT with Wazuh" [https://wazuh.com/blog/managing-shadow-it-with-wazuh/] cubre la configuración completa, incluidas las reglas de detección personalizadas y el script de respuesta activa que desinstala las aplicaciones no aprobadas de los endpoints monitoreados.

Conclusión

El Shadow IT es un problema de visibilidad antes que un problema de política. Las organizaciones no pueden imponer una línea base de software en activos que no pueden ver, y el escaneo de red por sí solo solo muestra los sistemas que responden durante un escaneo.

Wazuh ayuda a reducir esta brecha de visibilidad recopilando el inventario de los endpoints monitoreados e ingiriendo datos de fuentes configuradas sin agente. El inventario de endpoints muestra qué está instalado, ejecutándose y escuchando en cada host, mientras que el monitoreo sin agente y la ingesta de syslog extienden la visibilidad a los dispositivos compatibles que no pueden ejecutar un agente de Wazuh. Los estados de inscripción del agente de Wazuh también ayudan a los equipos de seguridad a medir la cobertura de monitoreo en lugar de asumirla.

Con estos datos indexados centralmente, los equipos de seguridad pueden identificar vulnerabilidades, investigar el inventario en los endpoints monitoreados, comparar el software con la información del ciclo de vida e iniciar la remediación configurada para las aplicaciones fuera de la línea base de software aprobada.

Descubra más sobre Wazuh explorando su documentación [https://documentation.wazuh.com/current/index.html] y uniéndose a su creciente comunidad [https://wazuh.com/community/] de profesionales.



Fuente:
BleepingComputer