Cómo convertir las amenazas notificadas en protección en tiempo real para los empleados

Cuando un empleado notifica un correo electrónico de phishing, el SOC lo investiga, bloquea los elementos maliciosos y cierra el incidente. Esto soluciona la amenaza inmediata.

Pero ¿qué ocurre cuando el atacante cambia algunos detalles y usa la misma táctica con otros 50 empleados? ¿Lo detectarán?

No necesariamente. El equipo de seguridad ha visto cómo funciona el ataque, pero el resto de los empleados no. Ahí es donde debe cambiar el flujo de trabajo. La información detallada obtenida de un ataque real no debe quedarse en el incidente, sino que debe servir para preparar a los demás ante lo que pueda venir.

La inteligencia de amenazas útil se queda atascada en el triaje

Lograr que los empleados notifiquen de manera sistemática los correos electrónicos sospechosos genera un problema en sí mismo: notifican muchísimos, y la mayoría resultan ser inofensivos. Los equipos reducidos aún tienen que revisar estas newsletters, las actualizaciones internas, el correo de spam y los mensajes legítimos de proveedores antes de dar con los pocos que de verdad importan.

Tres cifras muestran dónde empieza a ralentizarse el proceso:

• 3 de cada 100 notificaciones de los usuarios son amenazas reales. El 97 % restante son mensajes legítimos o ruido cotidiano en la bandeja de entrada que los analistas deben revisar igualmente.
• 13 días es la mediana del tiempo de respuesta. Un mensaje notificado puede quedarse en cola durante casi 2 semanas antes de que alguien actúe al respecto.
• Luego, 19 días para actualizar las defensas de los empleados. Para entonces, la táctica puede haber tenido casi tres semanas para circular.

Por supuesto, los atacantes no tienen ningún motivo para esperar. Si una suplantación de identidad, una solicitud o un texto funcionan, pueden reutilizarlos con un dominio diferente, en otro departamento o con una historia ligeramente mejor.

Los programas de concienciación avanzan más despacio. Las simulaciones planificadas y las bibliotecas de plantillas son útiles para lograr una cobertura amplia y desarrollar hábitos básicos, pero no pueden abarcar todas las tácticas que los atacantes usarán contra los empleados.

Los ataques notificados, por el contrario, te proporcionan algo concreto con lo que trabajar. Muestran qué marcas se están suplantando, qué pretensiones de autoridad se utilizan y en qué detalles creen los atacantes que confiarán los empleados.

La dificultad radica en sacar ese material del SOC y llevarlo a la formación sin crear otra tarea manual. Es necesario neutralizar los enlaces, eliminar los datos personales y reconstruir el mensaje de forma segura. Si el triaje ya acapara el tiempo del equipo, es fácil posponer ese trabajo.

Convierte una amenaza confirmada en formación dentro de un único flujo de trabajo

Si tu actual configuración de triaje ya funciona, SoSafe se puede adaptar a ella. El flujo de trabajo consta de 3 pasos:

• Encuentra las notificaciones sobre las que merece la pena actuar. SoSafe Threat Inbox utiliza IA para filtrar los falsos positivos y destacar las notificaciones de mayor prioridad, lo que ayuda a los administradores a centrarse en los riesgos reales.
• Reutiliza el ataque sin el riesgo. SoSafe Recreate Attack convierte el correo electrónico investigado en un punto de partida seguro para la simulación, manteniendo a su vez el contexto que hacía convincente al original.
• Mantén el control de la versión final. SoSafe Template Studio permite a los administradores revisar, pulir y localizar el contenido antes de que llegue a los empleados.

Puedes seguir utilizando bibliotecas de plantillas para la cobertura planificada. Esto añade una capa de respuesta más rápida ante los ataques que nadie podía prever.

En lugar de copiar, sanear y reconstruir un mensaje en pasos separados, los equipos pueden pasar de una amenaza confirmada a una simulación implementada en aproximadamente una hora.

Forma a tu equipo contra el ataque que acaba de ocurrir

El objetivo no es ofrecer más formación, sino una formación más pertinente. Cuando las simulaciones reflejan las amenazas a las que la organización se enfrenta en este momento, la concienciación se mantiene más ligada al riesgo operativo y los empleados practican frente a lo que de verdad es probable que sufran.

Si quieres comprobar cómo SoSafe puede transformar la inteligencia de incidentes en tiempo real en una formación oportuna para los empleados, reserva una demo de producto de SoSafe.