Una plataforma IoT es un objetivo atractivo. Almacena credenciales de miles de dispositivos, puede enviar comandos a los equipos y, a menudo, da servicio a muchos clientes a la vez. Un cortafuegos de red situado delante de ella detiene algunos ataques, pero muchos de los más peligrosos parecen solicitudes ordinarias: un inicio de sesión válido desde un lugar inusual, una clave de API usada de una forma nueva, un usuario que lee muchos más registros de lo habitual. Detectarlos requiere una capa que entienda la propia aplicación.
Este artículo explica cómo funciona el cortafuegos con IA integrado en Hermetry y las decisiones de diseño que hay detrás.
Qué vigila
El cortafuegos observa la plataforma, no solo la red. Trabaja con más de 1.000 tipos de señales de seguridad: intentos de inicio de sesión, comprobaciones de permisos, uso de claves de API, patrones de solicitudes, cambios en dispositivos y reglas, y más. Más de 1.200 tipos de acciones de la plataforma son auditados, de modo que el cortafuegos puede ver quién hizo qué, en qué tenant y cuándo.
Tres capas de detección
Reglas y detectores
Algunos ataques tienen firmas claras: demasiados intentos de inicio de sesión fallidos, solicitudes que sondean debilidades conocidas, una ráfaga repentina de exportaciones. Las reglas y los detectores diseñados para ello los detectan de forma rápida y predecible. Son fáciles de leer y fáciles de probar.
Un modelo de comportamiento
Otros ataques solo se manifiestan como un cambio de comportamiento. Un usuario que normalmente consulta unos pocos paneles de control de pronto lista todos los dispositivos de un tenant. Una clave de API que lleva meses llamando a un endpoint empieza a llamar a diez. Un modelo de comportamiento aprende cómo es lo normal y marca lo que se desvía de ello.
Un modelo de clase de ataque
Un segundo modelo, independiente, analiza la actividad sospechosa y estima a qué tipo de ataque se parece. Conocer la clase ayuda a decidir la respuesta adecuada: un intento de credential stuffing requiere una acción distinta que el scraping de datos.
Los dos modelos son independientes a propósito. Ninguno actúa solo. El hallazgo de un modelo solo lleva a una acción después de haber sido validado, de modo que un error de un solo modelo no bloquea a un usuario legítimo.
Los señuelos detectan lo que los detectores no ven
Algunas de las señales más fiables provienen de trampas. La plataforma contiene:
- claves de API señuelo que ningún cliente legítimo utiliza nunca;
- registros canario que ninguna pantalla normal lee nunca;
- rutas trampa que ninguna parte de la interfaz llama nunca.
Tocar cualquiera de ellas es una señal fuerte de que alguien explora la plataforma con un acceso robado o con una herramienta automatizada. Los señuelos producen muy pocas falsas alarmas, porque los usuarios legítimos no tienen motivo para llegar a ellos.
Observar, sugerir, actuar
Los equipos de seguridad necesitan confiar en un sistema antes de permitirle actuar. Por eso el cortafuegos tiene tres modos.
- Observar: registra lo que habría hecho y no hace nada. Úselo para conocer su comportamiento con su tráfico.
- Sugerir: propone acciones para que una persona las apruebe.
- Actuar: ejecuta por sí mismo acciones validadas, como ralentizar o bloquear un origen, y las registra.
Nunca por sí solo en dispositivos industriales
Una regla no cambia con el modo. El cortafuegos nunca actúa por sí solo sobre dispositivos industriales. Desconectar un controlador de bomba o una pasarela por un patrón sospechoso podría causar más daño que el ataque que intenta detener. En los dispositivos industriales el cortafuegos solo sugiere, y una persona decide.
Cada decisión se explica
Un bloqueo que nadie puede explicar erosiona la confianza con rapidez. Cada decisión del cortafuegos incluye una explicación: qué señales vio, qué regla, detector o modelo las generó, cómo se validó el hallazgo y qué acción siguió. Así los administradores pueden revisar las decisiones, revertir los errores y ajustar el sistema con confianza.
Cómo encaja con el resto de la plataforma
El cortafuegos es una capa entre varias. Los datos de cada tenant están separados en la base de datos mediante seguridad a nivel de fila, de modo que incluso un ataque exitoso contra una cuenta no puede leer las filas de otro tenant. Los roles limitan lo que puede hacer cada usuario. Las credenciales de los dispositivos se emiten por dispositivo, con certificados allí donde los dispositivos los necesitan. El cortafuegos vigila todo ello.
Qué exigir a cualquier plataforma
- ¿Vigila el comportamiento de la aplicación, y no solo el tráfico de red?
- ¿Puede ejecutarlo primero en modo observación?
- ¿Explica sus decisiones?
- ¿Existe una regla firme contra la acción automática sobre equipos industriales?
- ¿Se auditan las acciones y puede ver el registro de auditoría?
Lea más en nuestra página de seguridad y en la página del cortafuegos con IA.