Insider Threats, de la confianza al comportamiento anómalo

Cuando pensamos en un ciberataque solemos imaginar a alguien intentando entrar desde fuera: explotar una vulnerabilidad, robar credenciales, evadir el MFA o comprometer una VPN.

Pero existe un escenario más difícil de detectar: ¿qué ocurre cuando el atacante no necesita entrar porque ya está dentro?

Tiene una cuenta corporativa, conoce los sistemas, sabe dónde está la información crítica y entiende los procesos internos. En algunos casos, además, dispone de privilegios elevados.

Ese es el problema de los Insider Threats o amenazas internas. Y hay algo que los hace especialmente peligrosos: la actividad más dañina puede comenzar con un evento completamente legítimo: Authentication successful.

Un insider no siempre es un empleado malicioso

NIST define la amenaza interna como aquella en la que una persona utiliza su acceso autorizado, de forma consciente o inconsciente, para causar daño a los sistemas, activos u operaciones de una organización.

Un insider malicioso puede ser un empleado, exempleado, proveedor o colaborador que utiliza deliberadamente sus accesos para robar información, sabotear sistemas u obtener beneficio, no podemos predecir la motivación.

Pensemos en un administrador de sistemas con privilegios elevados que decide actuar contra la compañía. No necesita descubrir una vulnerabilidad Zero Day ni estudiar la infraestructura. Puede que haya sido precisamente él quien la configuró.

El riesgo aumenta cuando se combinan motivación, conocimiento interno y capacidad técnica.

También existe el insider involuntario: un usuario que envía documentación confidencial al destinatario equivocado, comparte información mediante servicios no autorizados o concede permisos incorrectos. No existe intención maliciosa, pero el impacto puede ser igualmente grave.

Y existe otro escenario: el usuario comprometido. Credenciales robadas, cookies de sesión, infostealers o técnicas para eludir MFA pueden permitir que un atacante externo actúe utilizando una identidad válida. Para muchos controles todo parece correcto: el usuario existe, tiene permisos y la autenticación ha sido satisfactoria.

El insider ya conoce el negocio

El insider ya conoce el negocio

Un atacante externo necesita realizar reconocimiento: descubrir tecnologías, localizar activos críticos y entender cómo funciona la organización.

El insider parte con gran parte de ese trabajo hecho. Puede conocer qué servidor contiene información sensible, dónde están las copias de seguridad, qué aplicaciones son esenciales para producción o qué cuentas tienen permisos elevados.

Además, su actividad legítima puede servirle como cobertura: una conexión VPN o el uso de herramientas administrativas pueden ser acciones perfectamente autorizadas.

Por eso la pregunta relevante no es únicamente qué está haciendo el usuario, sino:

¿Tiene sentido que ese usuario haga eso, en ese momento, desde ese equipo y con ese volumen?

Correlación: cuando varias señales cuentan una historia

Frente a una amenaza interna, buscar únicamente indicadores clásicos de compromiso no siempre es suficiente. Puede no haber una IP maliciosa, un dominio sospechoso, malware conocido o un hash identificado.

Imaginemos que un empleado inicia sesión de madrugada, accede a un repositorio que apenas utiliza, descarga mucha más información de lo habitual y poco después se conecta a un servicio externo de almacenamiento.

Por separado, cada acción podría tener una explicación legítima. Juntas cuentan una historia distinta.

Ahí entra en juego la correlación.

Un SIEM permite combinar telemetría de Active Directory o Entra ID, VPN, EDR/XDR, proxies, firewalls, sistemas cloud, correo, almacenamiento o DLP.

Así reconstruimos detecciones como:

Acceso fuera del horario habitual + información sensible + descarga anómala.
Elevación de privilegios + herramientas poco habituales.
Cuenta privilegiada utilizada desde un dispositivo nuevo.
Acceso masivo a un repositorio que el usuario apenas utiliza.

Una alerta aislada puede ser ruido, varias señales relacionadas pueden ser un incidente.

UEBA: aprender qué significa “normal”

Aquí entra en juego UEBA, User and Entity Behavior Analytics.

En lugar de depender únicamente de reglas estáticas, UEBA analiza cómo se comportan usuarios y entidades para establecer una línea base: dispositivos, aplicaciones, horarios o volumen de información habitual.

Una regla tradicional podría decir:

“Genera una alerta si alguien descarga más de 5 GB”.

UEBA plantea otra pregunta:

“¿Por qué este usuario ha descargado hoy veinte veces más información que cualquier otro día de los últimos seis meses?”.

NIST CSF 2.0 contempla el uso de analítica de comportamiento para identificar actividad anómala asociada a amenazas internas.

Privilegios: cuanto más acceso, mayor impacto

No todas las identidades representan el mismo riesgo.

Administradores de sistemas, administradores de dominio, proveedores con acceso elevado o cuentas de servicio pueden realizar acciones que un usuario convencional no puede ejecutar.

Por eso no basta con proteger estas cuentas. Hay que monitorizar cómo se utilizan.

El principio de mínimo privilegio, la separación entre cuentas administrativas y de uso diario, la revisión periódica de permisos, PAM o los accesos Just-in-Time ayudan a reducir el impacto potencial.

No existe una herramienta mágica: hace falta contexto

Tener un SIEM, un EDR, un DLP o una solución UEBA no resuelve por sí solo el problema. La detección funciona cuando las diferentes fuentes de información empiezan a hablar entre ellas.

Identidad nos dice quién es el usuario. EDR, qué ha ejecutado. Active Directory, qué privilegios tiene. VPN, desde dónde se conecta. Proxy y firewall, con qué servicios se comunica. DLP puede indicar qué datos están abandonando la organización.

Ese contexto permite distinguir entre “un administrador ha utilizado una herramienta administrativa” y “un administrador que nunca trabaja de madrugada se ha conectado desde un dispositivo nuevo, ha accedido a sistemas que normalmente no administra y después ha transferido una cantidad anormal de información”.

Cómo puede ayudar un SOC

Frente a las amenazas internas no basta con desplegar tecnología. Hay que diseñar casos de uso, entender cómo trabaja la organización, reducir falsos positivos e investigar anomalías.

Desde el SOC 24/7 de 4ELITECH ayudamos a construir esa capacidad mediante centralización y correlación de telemetría, monitorización de cuentas privilegiadas, detección de comportamientos anómalos, UEBA, Threat Hunting y playbooks específicos de respuesta.

Porque no buscamos únicamente malware.

Buscamos comportamiento.

No preguntamos solamente si una autenticación ha sido correcta. Preguntamos si tenía sentido que esa persona se autenticara allí, en ese momento y para hacer aquello.

La amenaza que ya tiene permiso

Invertimos mucho en proteger el perímetro: firewalls, VPN, MFA, EDR, WAF, filtrado de correo o segmentación.

Pero un insider parte con una ventaja que un atacante externo no posee por defecto: confianza.

No siempre necesita evadir la protección perimetral, explotar una vulnerabilidad o utilizar malware. En ocasiones solo necesita utilizar los permisos que ya tiene de una forma que la organización nunca esperaba.

Por eso proteger el perímetro sigue siendo imprescindible, pero asumir que todo lo que ocurre detrás de él es legítimo hace tiempo que dejó de ser suficiente.

La pregunta ya no debería ser únicamente: