El coste de la detección tardía en la asistencia sanitaria
El sector sanitario ha sido el más costoso en cuanto a violaciones de seguridad durante catorce años consecutivos. Según el informe de IBM «El coste de una violación de datos en 2025», una violación de seguridad en el sector sanitario cuesta actualmente una media de 7,42 millones de dólares —casi el doble de la media intersectorial— y las organizaciones tardan una media de 279 días en identificar y contener un incidente. Esa brecha de detección define el intervalo que transcurre entre una violación de seguridad y el momento en que el equipo del SOC se da cuenta de que algo ha ido mal.
Un modelo de detección diseñado para la respuesta, no para la prevención
La principal herramienta de seguridad de la organización se había diseñado en torno a la visibilidad de los puntos finales. Los archivos sospechosos solo se señalaban después de que se ejecutaran en el dispositivo de un usuario o en un sistema clínico, lo que significaba que cada detección marcaba el inicio de una respuesta ante un incidente, y no su prevención. En una red en la que el acceso comprometido a los historiales médicos electrónicos (EHR) o la interrupción de la comunicación de los dispositivos médicos tiene consecuencias inmediatas para la atención al paciente, esa secuencia resultaba insostenible desde el punto de vista operativo. El SOC se dedicaba constantemente a gestionar los daños en lugar de detener las amenazas desde el principio.
El volumen de archivos puso de manifiesto los límites del análisis basado en máquinas virtuales
A medida que aumentaban las amenazas relacionadas con archivos a través de archivos adjuntos de correo electrónico, documentos compartidos e intercambios de archivos externos, el equipo recurrió cada vez más a las capacidades de detonación de la herramienta. Los flujos de trabajo basados en máquinas virtuales exigían poner en marcha múltiples entornos virtuales por cada análisis, y el tiempo de procesamiento se volvió impredecible a medida que aumentaba el volumen.
La investigación de IBM identificó el phishing como el principal vector de ataque en el sector sanitario en concreto, lo que significa que los archivos maliciosos enviados por correo electrónico representaban el riesgo principal, y no solo uno en aumento. El SOC no disponía de ningún método fiable para predecir cuánto tiempo tardaría un archivo en eliminarse, y en entornos clínicos en los que el acceso a los archivos es fundamental para los flujos de trabajo de los pacientes, esa imprevisibilidad suponía un riesgo que el equipo no podía gestionar.
La escalabilidad mediante máquinas virtuales era un problema que se agravaba a sí mismo
El aumento del volumen de archivos exigía más recursos de máquinas virtuales. Cada incremento en la demanda de rendimiento se traducía directamente en una sobrecarga de la infraestructura y, durante los periodos de máxima actividad, se acumulaban los trabajos pendientes y las colas de investigación. Un SOC que ya funcionaba con una plantilla reducida se enfrentaba ahora, además, a cuellos de botella en el análisis. Para una red con miles de usuarios y un movimiento continuo de archivos entre hospitales, centros ambulatorios y entornos de investigación, la organización había alcanzado el límite práctico de lo que podía ofrecer el escalado basado en máquinas virtuales.
Los criterios que no podían transigirse
El SOC inició su evaluación con cuatro requisitos que se derivaban directamente de lo que había fallado a nivel operativo. Cada uno de ellos abordaba una carencia que la herramienta existente no podía subsanar.
- Detén las amenazas antes de que se produzcan
- Mantener la precisión ante amenazas desconocidas y elusivas
- Ofrece una velocidad de análisis constante, independientemente del volumen
- Ampliar la capacidad sin aumentar la infraestructura de máquinas virtuales
La detección se ha adelantado
OPSWATLa organización eligió « MetaDefender » de Aether. En las primeras semanas tras su implantación, ocurrió algo que el equipo no había experimentado en años: los archivos eran bloqueados antes incluso de que el terminal llegara a detectarlos. Las amenazas que antes generaban alertas en los terminales eran bloqueadas antes de llegar a esa fase. El cambio fue tanto arquitectónico como operativo. Las herramientas de Endpoint se mantuvieron para garantizar la visibilidad y la respuesta, pero dejaron de ser la primera línea de detección. Esa función pasó a recaer en el perímetro.
La emulación ha sustituido al cuello de botella de la máquina virtual
Mientras que el análisis basado en máquinas virtuales requería crear entornos virtuales para cada ejecución, MetaDefender el entorno de pruebas adaptativo basado en emulación de Aether ejecuta los archivos a nivel de instrucción. El análisis se completa en una media de diez segundos, 40 veces más rápido que los entornos de pruebas tradicionales, y la plataforma admite más de 50 000 análisis de archivos al día por servidor.
Dado que la emulación funciona a nivel de instrucciones, resulta mucho más difícil de detectar para el malware diseñado para identificar entornos de sandbox. Las amenazas que se bloquearían o se comportarían de forma diferente en un análisis en máquina virtual se ejecutan según lo esperado, revelando comportamientos que, de otro modo, las muestras diseñadas para eludir la detección ocultarían. El SOC logró una velocidad de análisis constante y predecible ante los volúmenes que genera una red de varios hospitales, con una tasa de deteccióndel 99,5 % y sin necesidad de añadir infraestructura de máquinas virtuales para conseguirlo.
Detecciones que se recibieron listas para actuar en consecuencia
Lo que cambió la carga de trabajo de investigación del equipo fue la rapidez de detección y lo que acompañaba a cada detección. En lugar de una alerta que requiriera una investigación posterior, cada resultado venía acompañado de datos de reputación, un análisis de comportamiento, una puntuación de riesgo basada en la confianza y el contexto de la búsqueda de amenazas.
La inteligencia sobre amenazas integrada comprueba continuamente las URL, las direcciones IP y los dominios cotejándolos con indicadores en tiempo real, lo que permite señalar los archivos sospechosos antes de que comience el análisis dinámico. La búsqueda de similitudes entre amenazas, basada en el aprendizaje automático, permitió al SOC identificar variantes de malware relacionadas, detectar amenazas modificadas o nunca vistas anteriormente y correlacionar los archivos sospechosos con patrones maliciosos conocidos, lo que redujo la carga de trabajo manual de clasificación de los analistas, que ya operaban con pocos recursos.
El camino de la reacción a la prevención
Si le preguntas a cualquier analista del SOC qué fue lo primero que cambió, la respuesta es siempre la misma: la cola. Los archivos se procesaban, no se acumulaban trabajos pendientes y las investigaciones que llegaban ya venían acompañadas de información contextual, como datos de reputación, análisis de comportamiento y puntuación de riesgo, en lugar de una alerta que había que investigar.
Operaciones de seguridad antes y después de « MetaDefender » y «Aether»
Capacidad | Antes | Después de |
Tiempo de detección | Tras la ejecución, en función del punto final | Antes de la ejecución, en el perímetro |
Velocidad de análisis | Variable, impredecible bajo carga | Constante, con una media de unos 10 segundos |
Escalabilidad | Depende de la máquina virtual; se produce un cuello de botella con un volumen elevado | Más de 50 000 archivos al día por servidor, sin sobrecarga de máquinas virtuales |
Carga de trabajo del SOC | Ciclos repetidos de IR, clasificación manual | Reducción de los incidentes en los puntos finales, veredictos contextuales |
Cobertura frente a amenazas | Reacciona ante amenazas conocidas | Malware evasivo, vulnerabilidades «zero-day» y variantes modificadas |
Seguridad diseñada para la rapidez de la atención al paciente
Este proveedor de servicios sanitarios modificó el punto del flujo de trabajo en el que interviene la seguridad. La prevención perimetral sustituyó a la respuesta reactiva en los terminales; los atrasos en el análisis dieron paso a un rendimiento constante, y las investigaciones que antes requerían una clasificación manual ahora se recibían con el contexto ya incluido.
Para los equipos de seguridad del sector sanitario, el camino a seguir es el mismo que ha tomado esta organización: adelantar la detección, eliminar la infraestructura que ralentiza el análisis y crear un modelo de seguridad que funcione a la velocidad que exigen los entornos clínicos.
