Utilizar Threat Intelligence Explorer de Sophos XDR

Threat Intelligence Explorer permite realizar búsquedas en la información sobre amenazas de Sophos Counter Threat Unit (CTU) en Sophos Fusion (anteriormente Sophos Central). Puede investigar familias de malware, análisis y grupos de amenazas conocidos, y comparar el contexto descrito con las detecciones de su propio entorno. Una entrada en esta base de conocimientos no equivale a una detección en su tenant ni a una intrusión confirmada.

El flujo resumido consiste en abrir Security Operations > Threat Intelligence, investigar mediante Malware, Threat Report o Threat Group, leer los detalles disponibles y distinguir Related Detections de Related Detectors. Solo los eventos propios muestran si el contexto investigado es relevante para un caso concreto.

Requisitos y limitaciones

El explorador requiere una licencia XDR o Enterprise. Este procedimiento describe la vista Security Operations. Threat Analysis Center sigue disponible como vista Classic; por ello, los procedimientos existentes de investigación y gestión de casos pueden seguir mostrando esa ruta de menú. No deben mezclarse las etiquetas de ambas vistas.

La CTU actualiza su inteligencia a partir de investigaciones de respuesta a incidentes, la observación global de amenazas, análisis técnicos de malware y campañas, y la colaboración con socios y autoridades. Esta información describe el panorama de amenazas; las detecciones y los eventos del tenant describen la actividad observada en su propio entorno. Una investigación requiere ambos niveles.

En este contexto, hay tres conceptos importantes:

Un Indicator of Compromise (IOC) es, por ejemplo, un indicio de una posible intrusión mencionado en un análisis. Su significado se evalúa junto con el momento, la procedencia y el comportamiento observado.
Un Detector es la lógica de detección que genera una detección a partir de eventos inusuales o sospechosos. Un detector relacionado no equivale a una detección ya existente.
Las Tactics, Techniques and Procedures (TTPs) describen la forma de actuar de un atacante. Unas TTP similares o el uso del mismo malware no demuestran que un grupo concreto haya atacado su tenant.

Aquí, el explorador es un punto de partida para la consulta y la investigación. Leer o filtrar una familia de malware no se considera una configuración de un feed de amenazas del firewall, de una regla de bloqueo ni de una acción de respuesta.

Buscar antes de acotar los resultados

La barra de búsqueda de la parte superior derecha busca en malware, informes de amenazas y grupos de amenazas. Como punto de partida, puede utilizar un término de una detección o un informe, como Emotet. Este valor es solo un ejemplo de búsqueda; debe utilizar el nombre que realmente vaya a investigar.

En Security Operations > Threat Intelligence, abra una de las tres vistas e introduzca el término de búsqueda.
Seleccione un resultado concreto para ver sus detalles. Si prefiere comparar primero la lista de resultados, seleccione View in table o See all. La tabla correspondiente se filtrará según los resultados de la búsqueda.
Aplique filtros adicionales solo después. Así podrá ver si un filtro restrictivo ha excluido resultados útiles.
Para iniciar una nueva línea de investigación, haga clic en la X a la derecha del campo de búsqueda. Esta acción borra la búsqueda y también restablece los filtros de la tabla. Antes, registre los términos de búsqueda y los filtros importantes en el registro de investigación.

Aplicar varios filtros resulta útil cuando responden a una pregunta concreta. Buscar un nombre de malware conocido junto con una CVE es distinto de buscar informes recientes de ransomware para un sector. Demasiados criterios al principio dificultan la interpretación de una lista vacía.

Investigar una familia de malware

Malware contiene análisis técnicos, IOC y vínculos con actores de amenazas. De forma predeterminada, la tabla se ordena primero por la Threat Priority que la CTU establece para amenazas importantes o actuales y, después, por la última actualización. Este orden prioriza la inteligencia y no representa la Severity de una detección propia.

Los filtros documentados cumplen funciones distintas:

Malware busca por el nombre de la familia, por ejemplo, Emotet o TrickBot.
Type acota la clasificación, por ejemplo, Trojan, Ransomware o Backdoor.
Threat Group busca malware vinculado a un grupo concreto, por ejemplo, GOLD MYSTIC o BRONZE BUTLER.
CVE busca malware que explota una vulnerabilidad concreta. Por ejemplo, utilice CVE-2021-44228 si esa es la vulnerabilidad objeto de la investigación. El filtro no sustituye la comprobación de si sus propios sistemas están realmente afectados.

Al hacer clic en el nombre de la familia, se abre el panel lateral de detalles. Lea primero Malware family overview para consultar la descripción y la clasificación y, después, Technical details para conocer el comportamiento, las capacidades y los indicadores. Solution and mitigation contiene las medidas de protección recomendadas. Las recomendaciones deben evaluarse en función de su plataforma y de la protección ya existente, y no aplicarse únicamente por haber encontrado un resultado de búsqueda.

La inteligencia relacionada aparece, cuando está disponible, en pestañas independientes:

Threat Group indica los grupos que utilizan este malware.
Threat Report lleva a informes relacionados de la CTU.
Related Detections muestra datos de detecciones de su propio entorno.
Related Detectors muestra los detectores de Sophos XDR que detectan este malware.

El icono New Tab permite abrir la vista de detalles en una pestaña nueva. Desde allí, puede copiar la URL y utilizarla como referencia precisa en el registro de investigación. Esto resulta más útil que indicar únicamente el nombre de la familia cuando varios analistas deben revisar la misma entrada.

Seleccionar un Threat Report para la pregunta concreta

Threat Report contiene publicaciones de la CTU, como boletines diarios, análisis en profundidad y avisos sobre amenazas. Para una detección concreta, busque primero por malware, grupo o CVE; para una revisión periódica del panorama de amenazas, conviene utilizar el tema y el tipo de publicación.

Los filtros distinguen entre contenido y formato de publicación:

Threat Report busca por el nombre del informe, como Daily Threat Brief o Ransomware Analysis.
Report Type es la categoría general de la publicación, como Advisory, Analysis o Brief.
Category indica el tipo más específico, como Customer Advisory, Threat Analysis o CTU TIPS.
Threat Type acota las amenazas tratadas, por ejemplo, Ransomware, APT o Cybercrime.
Threat Actor Type distingue tipos de actores como Nation-state, Cybercriminal o Hacktivist.
Target Geography busca por el ámbito geográfico principal, como Europe o Global.
Target Sectors acota los sectores tratados, como Financial, Healthcare o Government.
Threat Group, Malware y CVE buscan los grupos, las familias de malware y las vulnerabilidades tratados en el informe, respectivamente.

Target Geography y Target Sectors ayudan a priorizar, pero no son criterios para descartar riesgos en su entorno. Los ataques oportunistas pueden afectar a cualquier región y sector, incluso sin una preferencia de objetivo específica. Por ello, una revisión del panorama de amenazas no debe limitarse exclusivamente a su propio sector.

Haga clic en el nombre del informe y lea el panel de detalles. Según el informe, estarán disponibles Full report text, Executive summary, Technical details e Indicators of compromise. No todas las publicaciones contienen todas estas secciones. Indicators of compromise puede incluir IOC y firmas relacionados. El resumen sirve de orientación; para la investigación, lo decisivo son los datos técnicos concretos y sus limitaciones.

Cuando están disponibles, Related Detections muestra detecciones propias y Related Detectors, los detectores XDR mencionados en el informe. También aquí, disponer de una lógica de detección y haber observado una detección en el tenant son dos cosas distintas. Abra el informe completo mediante New Tab y, si es necesario, copie su URL para el caso.

Tratar Threat Group como una hipótesis de trabajo

Threat Group describe grupos de amenazas conocidos y sus TTP. Esta vista resulta útil cuando un informe menciona un grupo, cuando se quiere identificar a qué grupo corresponde un alias conocido o cuando se desea evaluar las defensas propias frente a determinadas formas de actuación.

Los filtros abarcan identidad, intención y forma de actuar:

Threat Group busca por la denominación del grupo, como GOLD MYSTIC o BRONZE ATLAS.
Thematic Area acota el contexto temático o regional, como Cybercrime, China o Russia.
Aliases busca nombres alternativos como APT1, Lazarus Group o FIN7.
Status distingue el estado de actividad actual, como Active e Inactive.
Motivation describe motivaciones como Financial, Political o Military.
Objectives describe objetivos como Financial Gain, Espionage o Disruption.
Target Geography y Target Sectors buscan patrones de objetivos geográficos y sectoriales, respectivamente.
Malware busca familias relacionadas; Tools, herramientas y técnicas utilizadas, por ejemplo, PowerShell, Mimikatz o PsExec.

Los grupos sin una preferencia de objetivo específica también pueden afectar a su región o sector. Por tanto, una lista vacía tras aplicar un filtro de sector no significa que no exista riesgo.

Tras hacer clic en el nombre del grupo, el panel de detalles contiene Group description, con antecedentes y una valoración de sus capacidades; Attribution assessment, con la atribución geográfica u organizativa; Activity timeline, con campañas y operaciones; y el análisis de las Tactics, Techniques, and Procedures. New Tab abre los detalles para obtener una referencia directa que pueda copiarse.

Attribution assessment sigue siendo una valoración de la CTU. No demuestra quién es el responsable de un incidente propio ni que cualquier uso del mismo malware corresponda a ese grupo. Por ello, en el caso conviene registrar, por ejemplo, «El comportamiento coincide con las técnicas descritas» y documentar por separado qué eventos propios respaldan esa afirmación. Una atribución definitiva a un actor requiere más evidencias que una coincidencia de nombre, herramienta o malware.

De la entrada de inteligencia a la detección y al caso

La inteligencia de amenazas enriquece automáticamente las detecciones con contexto relevante; varios detectores XDR utilizan estos datos para la detección. Esto no garantiza que todas las técnicas descritas se detecten en todos los tenants. Por ello, la investigación debe volver del contexto a los eventos reales.

Contrastar las detecciones propias

Si Related Detections contiene resultados, abra uno pertinente y consulte los detalles completos de la detección mediante New Tab. Como alternativa, busque en Security Operations > Detections. El intervalo predeterminado es de 72 horas; para un incidente anterior, debe ajustar el periodo. Revise los filtros e Include Options para no excluir involuntariamente detecciones personalizadas o ya clasificadas.

En la detección, compruebe lo siguiente:

En Summary, consulte Affected Entities, el Detector que la activó, los datos temporales disponibles y Severity y Confidence. First and Last Activity indican los momentos de los eventos; Inserted At indica el momento del registro.
En Events, abra los eventos que dieron lugar a la detección. En JSON, consulte, si es necesario, los datos subyacentes de la detección. El resumen no sustituye estas evidencias.
En Insights, revise las detecciones abiertas y cerradas relacionadas, así como los casos. Los casos ya existentes pueden evitar duplicar esfuerzos; los casos cerrados aportan contexto histórico de investigación.
Para consultar más inteligencia, haga clic en el icono de escudo en Affected Entities o seleccione en Entities una entidad con ese icono. Así, la navegación desde una detección a la inteligencia también permite recorrer la relación en sentido inverso.

Para investigar en profundidad procesos y grafos de endpoints, consulte el procedimiento sobre detecciones y Threat Graphs. También aborda la vista Classic. La ausencia de detecciones propias en una entrada de inteligencia no demuestra que el tenant esté libre de amenazas ni que la telemetría sea completa. Si necesita realizar más consultas, el procedimiento sobre Data Collection y Live Discover explica los datos disponibles y el flujo de consulta clásico.

Transferir las evidencias pertinentes a un caso

Antes de añadirlas, compruebe si ya existe un caso para la misma investigación y si se puede editar. Los casos con estado Closed son de solo lectura, salvo Status y Archive; los casos archivados solo permiten Unarchive. Utilice estos casos inicialmente como contexto histórico, no como un destino que dé por editable para nuevas evidencias, comentarios o una reasignación. En los casos MDR, las acciones disponibles y las opciones de Assignee también dependen de quién gestione el caso. Antes de realizar un cambio, compruebe las acciones realmente disponibles y consulte con el responsable del caso las opciones que falten.

Para la transferencia, hay que distinguir entre la acción de la tabla y los detalles completos de la detección. Las instrucciones oficiales no utilizan siempre las mismas etiquetas para la vista de detalles; por ello, no hay una ruta de menú universal para todas las vistas que pueda respaldarse de forma fiable aquí:

Filas seleccionadas en la tabla de detecciones: Seleccione las detecciones deseadas y abra Actions > Add to Case.
Detalles completos de la detección: La guía de detalles indica las acciones directas Add to Existing Case y Create New Case en Actions. En cambio, la guía de casos describe, para detecciones individuales, Actions > Add to Case, seguido de la selección de Existing Case o New Case. Utilice la acción que se muestre realmente para un caso existente o nuevo; no busque una etiqueta que no aparezca en esa vista.

Si se muestra el diálogo Add to Case, siga estos pasos:

Para un caso existente, seleccione Existing Case, busque y seleccione el caso y, después, guarde con Save to Existing Case.
Para un caso nuevo, seleccione New Case y establezca Case Type, opcionalmente una plantilla, el título, Case Severity y Case Status. Mediante el icono de lápiz de Key Findings, añada los primeros hallazgos y el contexto y, después, seleccione Create New Case.

Si selecciona varias detecciones, compruebe si se añaden solo las seleccionadas o todas las detecciones de la tabla. No transfiera una lista completa de resultados sin revisarla. Las evidencias pueden tardar unos minutos en aparecer en el caso; después, abra el caso de destino y compruebe la asociación real.

Para los clientes MDR, los tipos de caso Investigation y Other requieren además Managed By. Esta selección determina quién gestiona el caso y no puede modificarse una vez establecida. Antes de guardar, compruebe que coincide con la responsabilidad prevista. Un cambio posterior de Assignee no modifica Managed By.

En un caso editable, registre la URL de inteligencia copiada y las afirmaciones concretas utilizadas como contexto de investigación, por ejemplo, en Key Findings o, si está disponible, como comentario en la página completa de detalles del caso mediante Comments > Comment > Save. Distinga expresamente entre la investigación y las evidencias del tenant: ¿qué dice el informe, qué muestran los eventos propios y qué sigue siendo una hipótesis? La URL por sí sola no conserva el contenido de un análisis que puede actualizarse en el futuro; por ello, incluya en la nota la afirmación relevante y el momento de la consulta.

La guía existente de casos y reglas de detección describe el flujo clásico. Para Security Operations, tenga en cuenta las variantes de etiquetas explicadas anteriormente y las acciones que se muestran en el tenant. El explorador no sustituye al analista responsable ni la decisión sobre la contención o la eliminación de la amenaza.

Ejemplo: investigar un indicio de malware de forma trazable

Supongamos que una detección propia menciona una familia de malware que aún no conoce suficientemente. El siguiente ejemplo no afirma que exista una detección:

Busque el nombre real de la familia; Emotet es solo un valor de ejemplo. No seleccione de inmediato un sector o grupo adicional.
Lea la descripción, los detalles técnicos y las recomendaciones de protección. En Threat Report, revise un informe disponible sobre el comportamiento observado.
En Related Detections, busque detecciones propias. Contraste cada resultado relevante con el dispositivo o la entidad, el momento del evento y los eventos concretos. En Related Detectors, compruebe qué lógica de detección corresponde al contexto.
Si se menciona un grupo, compare sus TTP y su cronología de actividad. Mantenga la atribución como una valoración, aunque coincidan algunas características.
Asocie las detecciones pertinentes a un caso existente o nuevo. Registre en el caso la entrada de inteligencia investigada, el momento de la consulta, los términos de búsqueda y filtros, las referencias a detecciones propias, las coincidencias demostradas, las preguntas abiertas y la siguiente persona responsable.

Un resultado útil también puede ser que el informe solo aporte una similitud general. En ese caso, documente esta limitación en lugar de deducir una intrusión o un atacante concreto.

Comprobar el resultado y resolver los obstáculos habituales

La investigación es trazable cuando otro analista puede abrir la misma entrada de inteligencia, comprender los filtros utilizados y vincular cada conclusión con los datos de detecciones y eventos propios. Si se transfieren evidencias a un caso, compruebe además que las detecciones correctas están en el caso correcto y que la siguiente acción está asignada a una persona responsable. Siempre que el caso sea editable y la acción esté disponible, puede seleccionar a esta persona en los detalles completos del caso, en Manage Case > Assignee.

Si los resultados no encajan, las siguientes comprobaciones pueden ayudar:

No hay resultados de búsqueda: Compruebe la ortografía y, para los grupos, Aliases. Quite los filtros adicionales; restablezca la búsqueda y los filtros de la tabla con la X del campo de búsqueda y comience de nuevo con criterios más amplios. Una búsqueda vacía por sí sola no indica nada sobre el riesgo del entorno.
Demasiados resultados: Añada un criterio pertinente desde el punto de vista técnico, como Type para malware o Report Type y Threat Type para informes. En las detecciones, acote también el periodo. La tabla de detecciones está limitada a 10.000 resultados; los resultados agregados de los filtros alcanzan como máximo 1.000. Por tanto, una vista amplia no es un inventario completo.
Informe sin los IOC o las pestañas esperados: El contenido disponible depende del informe. Lea el texto completo y la inteligencia relacionada existente sin presuponer contenidos ausentes ni una cobertura determinada.
Hay detectores, pero no detecciones propias: Distinga entre el contexto del detector y la detección observada. Revise el periodo, los filtros y la telemetría disponible para la investigación. No ejecute malware ni desactive la protección para realizar pruebas.
El explorador no está disponible: Compruebe primero la licencia XDR/Enterprise y el tenant utilizado. Si falta la nueva navegación, revise si la consola contiene avisos sobre la transición; no deduzca un fallo técnico del producto por la ausencia de un menú.
Las evidencias del caso aún no son visibles: Espere unos minutos a que termine el procesamiento y, después, vuelva a comprobar la selección y el caso de destino. No cree inmediatamente un segundo caso.

Aquí, la búsqueda y los filtros solo sirven para investigar; para empezar de nuevo basta con el restablecimiento descrito. En cambio, añadir evidencias o comentarios y, en especial, la selección inmutable de Managed By son modificaciones del caso. Este procedimiento no ofrece un paso general para deshacerlas. Las asociaciones incorrectas deben aclararse con el responsable del caso y documentarse. No cierre casos como medida de limpieza: el cierre también modifica las valoraciones de las detecciones asociadas.

Para la operación habitual, revise periódicamente las nuevas entradas de malware, las actividades de los grupos y los informes. Los filtros de sector pueden enfocar la revisión del panorama de amenazas, pero deben complementar la visión general. Incorpore los hallazgos al proceso de respuesta a incidentes; las TTP de los grupos sirven para el modelado de amenazas, y los análisis de malware, para planificar y verificar las medidas de protección propias. La nueva inteligencia es motivo para reevaluar, no una prueba automática de que sea necesario cambiar la configuración.