WHITE PAPER

Las 5 fases de la puntuación

de riesgo personalizada Razones por las que necesita un motor de análisis del riesgo de la reputación de los clientes que otorga una puntuación de riesgo a cada dirección IP

Las 5 fases de la puntuación de riesgo personalizada 2

Descripción general Client Reputation es un módulo opcional de Kona Site Defender que calcula y asigna puntuaciones de riesgo individualizadas por usuario para clientes web maliciosos, identificados por su dirección IP, basándose en su propensión a participar en ataques. Los tipos de ataques pueden ser:

• ataques a la capa de aplicación

• ataques de denegación de servicio

• análisis de vulnerabilidades

• actividades de extracción de información web

La alta calidad del servicio de Client Reputation se debe a la inteligencia y la información sobre amenazas que proporciona la plataforma Cloud Security Intelligence (CSI) de Akamai. Esta plataforma procesa miles de millones de eventos de seguridad y registros de tráfico legítimo por hora, utilizando los datos para predecir la probabilidad de que un cliente represente un riesgo para usuarios específicos.

Los procesos de análisis de CSI son los siguientes:

• generación sofisticada de perfiles de comportamiento de los atacantes

• detección de cargas maliciosas y ataques de día cero

• análisis de patrones de tráfico malicioso comunes

• agrupación de actividades maliciosas realizadas por botnets

Muchos servicios de análisis de la reputación del mercado proporcionan una única puntuación por cliente, que es la misma para todos los usuarios. Sin embargo, Client Reputation utiliza un motor de análisis de riesgos patentado de última generación que calcula una puntuación de riesgo para cada dirección IP de origen, de forma personalizada para cada usuario. Este modelo personalizado de puntuación basado en el riesgo es considerablemente más preciso que la puntuación genérica, y se ha demostrado que las medidas adoptadas en función de la puntuación de riesgo tienen menos probabilidad de afectar negativamente a los usuarios y clientes legítimos.

Client Reputation utiliza un motor de análisis de riesgos patentado de última generación que calcula una puntuación de riesgo para cada dirección IP de origen, de forma personalizada para cada usuario.

3

En los últimos años, la complejidad y sofisticación del panorama de amenazas ha evolucionado radicalmente. Ahora, los agentes maliciosos utilizan herramientas de ataque y métodos de operación diversos. Además, usan recursos comprometidos o de bajo coste, como dispositivos de IoT, servidores infectados e infraestructura de la nube, para enmascarar su actividad u organizar campañas de ataque masivas. Dada su abundancia, puede que estos recursos de ataque baratos solo se utilicen en una campaña de ataque específica y, probablemente, no planteen ningún riesgo para otros clientes. Además, muchas campañas de ataque tienen una vida muy corta. Después, es posible que los recursos utilizados para la campaña de ataque pierdan el potencial de causar daños a los clientes.

Como respuesta a estas tendencias, Akamai desarrolló su modelo de puntuación basada en riesgos, que es capaz de evaluar el riesgo real que cada cliente plantea a cada usuario de Akamai en un momento dado.

La clave de un modelo de puntuación eficaz radica en el conocimiento extraído de un big data de gran calidad. Akamai lidera el mercado de las redes de distribución de contenido (CDN) como núcleo central en el ecosistema de Internet, al distribuir entre el 15 y el 30 % de todo el tráfico web en cualquier momento dado.

Akamai lidera el mercado de las redes de distribución de contenido como núcleo central en el ecosistema de Internet, al distribuir entre el 15 y el 30 % de todo el tráfico web en cualquier momento dado.

Gracias a esta posición única, Akamai puede ver todo el tráfico, tanto legítimo como malicioso, que recorre su plataforma. Akamai utiliza la plataforma CSI para realizar un seguimiento de los clientes malintencionados y clasificarlos en al menos una de las siguientes categorías de puntuación de riesgo:

• Atacantes web: agentes o clientes web que realizan ataques web genéricos, como la inyección SQL (SQLi), la inclusión remota de archivos (RFI) o los scripts de sitios (XSS).

• Atacantes de denegación de servicio (DoS): clientes web o botnets que utilizan herramientas automatizadas para lanzar ataques DoS volumétricos.

• Herramientas de análisis: herramientas utilizadas para analizar las aplicaciones web con el objetivo de encontrar sus vulnerabilidades durante la fase de reconocimiento de un ataque.

• Scrapers web: herramientas automatizadas con las que se recopila información, como datos de precios de páginas web, de una manera sistemática.

El módulo Client Reputation calcula una puntuación de riesgo en una escala del 1 al 10 para cada categoría. Una puntuación de riesgo de 1 indica una baja probabilidad de futuros ataques por parte del cliente, mientras que una puntuación de riesgo de 10 prevé una alta probabilidad de que algún agente malicioso pueda utilizar la dirección IP.

4

Una vez que estas puntuaciones de riesgo se asignan al cliente de un usuario específico, se envían y aplican a los servidores del borde de Internet de Akamai Intelligent Edge Platform. Así, los clientes que utilizan el módulo Client Reputation pueden elegir cómo los servidores del borde de Internet de Akamai gestionarán los clientes con una puntuación de riesgo específica.

Una práctica común es activar una alerta cuando la puntuación de riesgo de un cliente sea de nivel 5 o superior, y bloquearlo si la puntuación es de nivel 9 o 10. Estas puntuaciones reflejan la correlación entre las probabilidades de un futuro ataque y la posibilidad de que el cliente también genere tráfico legítimo en el futuro.

Junto con la puntuación de riesgo, los clientes de Akamai pueden ajustar aún más las medidas de seguridad,

al incluir condiciones adicionales, como las siguientes:

• el número de sistema autónomo (ASN) de la dirección IP de origen

• listas de redes geográficas o de IP

• direcciones IP/CIDR

• valores o nombres de encabezados HTTP específicos

• valores o nombres de cookies de HTTP específicos

• nombre de host de destino

• ruta de solicitud HTTP de destino

Los dos ejemplos siguientes muestran cómo los clientes de Akamai pueden beneficiarse de la aplicación de las condiciones adicionales descritas anteriormente:

1. Aunque las empresas prosperan en una economía global, muchos clientes llevan a cabo la mayoría de sus negocios con partners y consumidores en un número limitado de regiones geográficas. Por lo tanto, los clientes pueden tomar fácilmente medidas más drásticas respecto a las direcciones IP maliciosas que procedan de redes de orígenes o geografías específicos que no guarden relación con su empresa.

2. En algunos casos, ciertas actividades entre partners de negocios pueden parecer maliciosas y se marcarán como tales. Sin embargo, las interacciones entre los sistemas de TI de partners de negocio se suelen configurar para que se produzcan desde redes de origen específicas y para que envíen solicitudes HTTP utilizando encabezados o cookies específicos. Por lo tanto, los clientes que deseen ignorar el tráfico procedente de estos partners, de modo que los controles de reputación no lo denieguen, pueden utilizar las condiciones para excluir y no bloquear el tráfico procedente de redes, encabezados y cookies específicos.

5

Cómo se calculan las puntuaciones de riesgo personalizadas El motor de análisis de riesgos de Client Reputation ejecuta cinco fases de análisis independientes. Al final de todas las fases, se calcula una puntuación de riesgo personalizada para el agente malicioso, que se propaga por toda la plataforma Akamai Intelligent Edge Platform cada hora.

Fase 1: identificación y clasificación de la actividad maliciosa

Client Reputation identifica a los agentes maliciosos aplicando diversas técnicas, como el análisis del comportamiento, modelos estadísticos y firmas de ataque. Durante esta fase, Client Reputation aplica técnicas de agrupación de comportamientos y creación de huellas digitales de clientes para detectar botnets. Este es un método muy útil, porque, cuando se analizan de forma aislada, los clientes pueden parecer inofensivos, y a menudo se pasa por alto que colectivamente pueden causar bastante más daño como parte de una botnet mucho mayor.

Fase 2: cálculo de la puntuación de riesgo personalizada

Se calcula una puntuación de riesgo personalizada por categoría y cliente aplicando las siguientes medidas:

• Magnitud del ataque: cantidad de tráfico malicioso generado.

• Distribución de ataques: número de objetivos atacados.

• Persistencia del ataque: frecuencia del tráfico malicioso a lo largo del tiempo.

• Gravedad del efecto en el objetivo: daño potencial que puede causar el ataque.

• Sector objetivo: sector al que el agente malicioso dirige el ataque.

• Clientes de Akamai objetivo: clientes específicos a los que el agente malicioso dirige el ataque.

Además de los factores señalados anteriormente, el motor de análisis de riesgos clasifica los clientes en función del tipo y los patrones de comportamiento anteriores. Esto ayuda a Client Reputation a conocer mejor la naturaleza del atacante: si un dispositivo afectado se utiliza constantemente o si la dirección IP se ha utilizado solo en un evento único y no se espera que esté implicada en futuros ataques. Todos estos factores influyen en el cálculo de la puntuación, que se genera de forma inteligente en función del contexto.

Fase 3: métodos heurísticos de corrección de errores y ajuste automático

En algunas situaciones, los clientes legítimos muestran un comportamiento que puede parecer sospechoso o malicioso. Por ejemplo, pueden enviar grandes volúmenes de tráfico en un breve espacio de tiempo, o enviar mensajes HTTP que contengan cargas potencialmente peligrosas (consultas SQL, código PHP, etc.).

A fin de evitar la asignación de puntuaciones de riesgo a clientes legítimos, el motor de análisis de riesgos contiene varias capas de métodos heurísticos de corrección de errores y mecanismos de ajuste automático que no solo agrupan y analizan eventos en conjunto, sino que también aplican controles de mitigación.

6

Fase 4: detección de direcciones IP compartidas

Algunas direcciones IP de Internet se comparten entre muchos usuarios finales, como puertas de enlace móviles, de seguridad corporativa o de conversión de direcciones de red, y proxies. A fin de garantizar que el sistema no penalice a usuarios legítimos que comparten su dirección IP con agentes potencialmente maliciosos, Client Reputation aplica automáticamente varias capas de detección de direcciones IP compartidas, como análisis del comportamiento, creación de huellas digitales y clasificación de direcciones IP. Los clientes pueden configurar perfiles de reputación designados, puntuaciones de riesgo y condiciones para actuar en relación con las direcciones IP que se han identificado como compartidas por muchos usuarios.

Fase 5: recuperación de la reputación de la puntuación de riesgo (reducción)

En los casos en los que una dirección IP ya no plantee riesgos, su puntuación se reducirá con el tiempo. El ritmo de disminución del riesgo de la puntuación depende de ciertos factores como los siguientes:

• tipo de actividad maliciosa

• persistencia de la actividad maliciosa

• frecuencia de eventos maliciosos anteriores

• magnitud y distribución de actividades previas relevantes

Operaciones de Akamai frente a las amenazas De la supervisión continua del estado del sistema se encarga el equipo de operaciones frente a amenazas de Akamai. Este equipo está compuesto por especialistas en datos e investigadores de seguridad de aplicaciones líderes en su campo, que utilizan una amplia variedad de análisis estadísticos y herramientas de aprendizaje automático. Es responsable de garantizar la integridad y la precisión del sistema y de sus datos, así como de identificar e investigar patrones y eventos a gran escala que requieran una intervención humana especializada.

Resumen Client Reputation incorpora una sofisticada capa de protección basada en la inteligencia a la distribución de aplicaciones web. Este módulo utiliza la información sobre amenazas que obtiene la exclusiva plataforma CSI de Akamai, que analiza continuamente hasta el 30 % de todo el tráfico web de miles de aplicaciones web que abarcan sectores de todo el mundo.

El pilar principal de Client Reputation es un innovador motor de análisis de riesgos propio. Este motor calcula una puntuación de riesgo personalizada para cada dirección IP por cliente, según el riesgo real que un determinado atacante suponga para ese cliente. La puntuación de riesgo personalizada se actualiza regularmente y tiene en cuenta la clase de actividad maliciosa, los métodos heurísticos de corrección de errores, la detección de direcciones IP compartidas y la reducción del riesgo con el paso del tiempo. Mediante un modelo preciso e individualizado de puntuación basada en el riesgo para personalizar la distribución de aplicaciones a cada cliente, se mejora considerablemente la seguridad de las aplicaciones a la vez que se reducen las posibilidades de pérdida de negocio como resultado del rechazo de posibles clientes legítimos.

7

Akamai garantiza experiencias digitales seguras a las empresas más importantes del mundo. La plataforma inteligente de Akamai en el Edge llega a todas partes, desde la empresa a la nube, para garantizar a nuestros clientes y a sus negocios la máxima eficacia, rapidez y seguridad. Las mejores marcas del mundo confían en Akamai para lograr su ventaja competitiva gracias a soluciones ágiles que permiten destapar todo el potencial de sus arquitecturas multinube. En Akamai mantenemos las decisiones, las aplicaciones y las experiencias más cerca de los usuarios que nadie; y los ataques y las amenazas, a raya. La cartera de soluciones de seguridad en el Edge, rendimiento web y móvil, acceso empresarial y distribución de vídeo de Akamai está respaldada por un servicio de atención al cliente y análisis excepcional, y por una supervisión ininterrumpida, durante todo el año. Para descubrir por qué las marcas más importantes del mundo confían en Akamai, visite www.akamai.com y blogs.akamai.com, o siga a @Akamai en Twitter. Puede encontrar los datos de contacto de todas nuestras oficinas en www.akamai.com/locations. Publicado en mayo de 2020.

Las principales ventajas técnicas y operativas de Client Reputation son las siguientes:

• Una capa adicional de protección basada en la inteligencia contra actividades maliciosas, como ataques a la capa de aplicación web, DoS, análisis de vulnerabilidades y extracción de información web.

• Mejora de la toma de decisiones sobre seguridad en función de las actividades anteriores de los agentes maliciosos.

• Capacidad para detener a los agentes maliciosos antes de que tenga lugar un ataque.

• Una fuente adicional de inteligencia para la protección de los sistemas de back-end.

Puntuación de Client Reputation

• Visibilidad de un 15-30 % de todo el tráfico web

• Análisis preciso de los datos internos en contexto

• Adaptación a la actividad comercial de cada cliente

• Cálculo realizado a partir del comportamiento malicioso y legítimo del cliente