Los entornos corporativos generan continuamente enormes volúmenes de datos procedentes de equipos, identidades, redes, aplicaciones y servicios en la nube. Sin embargo, disponer de más información no siempre facilita la identificación de las amenazas. De hecho, el modelo interno de análisis de ESET refleja que, de cada 90.000 eventos de seguridad registrados, aproximadamente uno acaba convirtiéndose en un incidente real. Esta proporción ilustra uno de los principales desafíos a los que se enfrentan los equipos de ciberseguridad: distinguir las señales relevantes entre miles de registros y determinar cuáles pueden estar relacionados con un ataque.
“El problema no es únicamente el volumen de información, sino la dificultad de interpretarla”, señala Josep Albors, responsable de Investigación y Concienciación de ESET España. “Muchos ataques se desarrollan a través de una sucesión de actividades que, analizadas de forma aislada, pueden parecer inofensivas. Reconstruir estas secuencias exige tiempo y recursos, mientras que la acumulación de alertas puede provocar fatiga por alertas, retrasar la identificación de amenazas y elevar los costes operativos”.
En este contexto, ESET, compañía líder en ciberseguridad, está incorporando modelos de inteligencia artificial especializados a sus tecnologías de protección empresarial para facilitar la correlación de eventos, contextualizar los incidentes y ayudar a los analistas a priorizar las amenazas.
Del evento aislado al incidente que exige actuar
Integrada en la plataforma XDR ESET PROTECT, ESET
LiveCortex funciona como un motor de correlación que conecta indicios
dispersos, los enriquece con contexto y los agrupa en incidentes. Así, prioriza
casos, permite responder automáticamente cuando procede y ofrece
recomendaciones cuando debe intervenir un especialista.
Por ejemplo, un intento de acceso anómalo puede no resultar concluyente por sí solo. Si después se ejecuta un proceso sospechoso, cambia una configuración y se detecta un intento de acceder a datos, la combinación adquiere otro significado. LiveCortex está diseñada para establecer esas relaciones y evitar que una posible cadena de ataque quede oculta entre cientos de eventos aparentemente menores. Así, los equipos pueden centrarse en las investigaciones prioritarias.
El objetivo es reducir la cantidad de información que los profesionales necesitan revisar manualmente sin perder las evidencias necesarias para investigar un incidente. De esta manera, la tecnología busca transformar un volumen masivo de registros técnicos en un conjunto más reducido de situaciones que realmente requieren atención.
Una IA que aprende cómo se desarrolla un ataque
Una de las tecnologías que contribuyen a este enfoque es ESET NeoCortex, un modelo propio de inteligencia artificial especializado en ciberseguridad que combina las capacidades de los modelos de lenguaje con el análisis del comportamiento de los sistemas digitales. Esta tecnología permite comprender cómo se relacionan distintos acontecimientos de seguridad, reconstruir posibles cadenas de ataque y estimar cuáles podrían ser los siguientes movimientos de los ciberdelincuentes.
NeoCortex trabaja con el contexto específico de los incidentes: dispositivos, procesos, identidades, marcas temporales y conexiones entre eventos. Entre sus capacidades se encuentran reconstruir partes del contexto que faltan, representar incidentes mediante resúmenes matemáticos y detectar acontecimientos inesperados dentro de una secuencia. Estas representaciones facilitan la búsqueda de casos similares y la identificación de patrones sin revisar desde cero cada registro técnico.
Desde ESET se subraya que un modelo de lenguaje de propósito general no basta para tomar decisiones de protección. Los atacantes pueden incluso introducir instrucciones maliciosas en el contenido que analiza una IA, como puso de manifiesto la investigación de ESET sobre GuardBreaker, donde un comentario en el código intentaba interrumpir un análisis automatizado. Por esta razón, NeoCortex incorpora herramientas de solo lectura, entornos de ejecución restringidos, registros de actividad, límites de consumo y un mecanismo de interrupción. Las decisiones críticas requieren supervisión humana.
Anticiparse al daño sin sustituir al analista
La evolución de estos modelos abre la puerta a un enfoque que ESET denomina “minus-one-day defense” o defensa en menos de un día: actuar antes de que un ataque alcance su fase más perjudicial. No se trata de predecir vulnerabilidades desconocidas, sino de analizar una secuencia ya iniciada y estimar sus siguientes pasos plausibles. Si determinados indicios apuntan a un robo de credenciales, por ejemplo, el sistema podría destacar señales de movimiento lateral o recopilación de información, de modo que el analista pueda verificar y frenar la progresión del ataque.
Pese a estas posibilidades, desde ESET insistimos en que la IA no sustituye el criterio de los profesionales de ciberseguridad. La interpretación de los incidentes, la supervisión de las respuestas automatizadas y la toma de decisiones críticas siguen requiriendo intervención humana. El desafío, por tanto, no consiste únicamente en analizar más información y hacerlo más rápido, sino en proporcionar a los equipos de seguridad el contexto necesario para identificar las amenazas y actuar antes de que provoquen daños.