Por: Josué Hernández, Security Architect en Sourcefire México.[adsenseyu1]

Lo más probable es que nunca haya oído hablar del Dr. John Snow. Sin embargo, los métodos que utilizó hace ya más de 150 años para resolver el misterio de un brote de cólera en Londres, se puede aplicar hoy en día como ayuda para llegar al corazón de un brote de malware en su empresa.

En resumen, en 1854 se produjo un brote de cólera cerca de Broad Street, en Londres. John Snow, un médico Inglés, trazó cada caso en el mapa de la zona y se dio cuenta de que los casos de cólera se produjeron principalmente cerca de la bomba de agua de Broad Street. Pidió que las autoridades retiraran la manija de la bomba y la epidemia, que ya habían cobrado cerca de 500 vidas, pronto terminó. No sólo los descubrimientos del Dr. Snow salvaron un sinnúmero de personas, sino por haber identificado la fuente el Dr. Snow es reconocido por que identificó la forma de transmisión y prevención de esta enfermedad mortal.

Cuando se trata de malware, a pesar de los mejores esfuerzos y de varias capas de seguridad, las infecciones prevalecen. Para eliminar realmente el malware y el riesgo de re-infección, tenemos que llegar a la raíz del problema. El desafío es que la mayoría de las tecnologías se centren exclusivamente en la detección y nos dejen pocos recursos después de una infección.

La manera más común en que las organizaciones descubren una infección, es con una llamada al departamento técnico. Pero también pueden aprender de una infección cuando una herramienta de detección se actualiza y se descubre el malware previamente perdido. En este caso, la alerta de detección es en realidad una alerta de infección; el malware ya ha penetrado en la red y probablemente infectado un número de dispositivos.

Cualquiera que sea la forma en que identifique el malware, una vez que lo hace es fundamental poner el dispositivo en cuarentena dispositivo para minimizar el riesgo a otros dispositivos en la red y luego para limpiar el dispositivo infectado. Pero eso no es suficiente para eliminar realmente malware. Eso sería lo mismo que si el Dr. Snow se hubiera enfocado únicamente en los individuos que ya presentaban síntomas y los hubiera tratado. Con sólo ese enfoque habría caído en un ciclo sin fin al tratar a los pacientes y probablemente nunca habría encontrado la causa raíz del brote para detener la propagación de la enfermedad por completo.

Así como el Dr. Snow analizó los puntos de datos a su disposición, en el caso de detener la propagación de malware, las tecnologías que utilizan grandes análisis de datos para identificar al ‘paciente cero’ (que fue el primero en ser infectado), la aplicación que presenta el malware y los archivos que están causando que se extienda, nos permiten tratar la infección desde la raíz y evitar la re-infección. Identificando a la última persona infectada es tan importante como definir el alcance de la infección, evaluar el riesgo y comprender lo que se necesita para controlar el brote.

Además del “quién,” el comprender el “cómo” el malware penetra la red es fundamental para reducir el riesgo de re-infección. La identificación del uso de software no autorizado juega un papel importante en la detención de los medios comunes del malware. Utilizando listas negras y listas blancas para controlar las aplicaciones e identificar software falso se puede reducir considerablemente la superficie de ataque.

Mantenerse al día con las últimas versiones de los navegadores y herramientas esenciales de productividad para las operaciones de su empresa, puede reducir el número de infecciones de forma radical. Además, ya que la seguridad se ha convertido en un ejercicio de gestión de riesgos, cada departamento de TI debe llevar a cabo su propia evaluación de riesgos en la evaluación de paquetes de software. Ciertos paquetes presentan un mayor riesgo y puede no tener sentido implementarlo en su medio.

Por último, la protección de malware avanzado también requiere seguridad retrospectiva, la capacidad de alertar y proteger contra los archivos previamente clasificados como seguros, pero posteriormente identificados como malware. Ya que el actual malware avanzado puede disfrazarse como seguro y pasar por defensas desapercibidas para luego mostrar un comportamiento malicioso, ésta es una capacidad importante para minimizar y remediar los daños después de un ataque.

El malware de hoy es más dañino y más difícil de derrotar que las amenazas que hemos experimentado en el pasado. Al extender la protección más allá del bloqueo y detección para incluir el poder de grandes análisis de datos, de controles inteligentes y seguridad retrospectiva, podemos detener el malware desde la fuente y verdaderamente eliminarlo.