{"id":1300,"date":"2026-06-25T13:03:44","date_gmt":"2026-06-25T13:03:44","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/25\/richard-bejtlich-sobre-el-caso-de-ndr-cyberdefensa-mx\/"},"modified":"2026-06-25T13:03:44","modified_gmt":"2026-06-25T13:03:44","slug":"richard-bejtlich-sobre-el-caso-de-ndr-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/25\/richard-bejtlich-sobre-el-caso-de-ndr-cyberdefensa-mx\/","title":{"rendered":"Richard Bejtlich sobre el caso de NDR \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>A pesar de la abundancia de telemetr\u00eda a disposici\u00f3n de los analistas, muchos equipos de operaciones de seguridad luchan por responder algunas preguntas b\u00e1sicas durante la investigaci\u00f3n de incidentes: <i>\u00bfQu\u00e9 pas\u00f3? \u00bfQu\u00e9 evidencia tenemos? \u00bfC\u00f3mo sabemos que lo estamos viendo todo, en contexto?<\/i><\/p>\n<p>Responder a estas preguntas requiere que los equipos vayan m\u00e1s all\u00e1 de las alertas, la base m\u00e1s com\u00fan para la clasificaci\u00f3n inicial. Pero las investigaciones (y sus resultados) requieren evidencia defendible, no suposiciones, que es lo que tienden a ofrecer las alertas. <\/p>\n<p>Las alertas se est\u00e1n volviendo menos \u00fatiles a medida que se acelera el descubrimiento de vulnerabilidades (tambi\u00e9n conocida como la Era de los Mitos). La mayor\u00eda de las organizaciones no pueden investigar el volumen de nuevos hallazgos con los flujos de trabajo existentes. Incluso con una mayor automatizaci\u00f3n, los equipos de SecOps necesitan evidencia validada de explotaci\u00f3n y exposici\u00f3n activa, no m\u00e1s telemetr\u00eda sin procesar.<\/p>\n<p>A medida que la IA acelera tanto los ataques como la defensa, los equipos de seguridad deben sentar las bases que les permitan validar los hallazgos, comprender el comportamiento de los atacantes y detener el tr\u00e1fico sospechoso antes de que resulte en una infracci\u00f3n.<\/p>\n<p>Richard Bejtlich <i><a href=\"https:\/\/corelight.com\/cp\/ndr-essentials?utm_source=thehackernews&amp;utm_medium=article-6&amp;utm_campaign=awareness-wave-2\">NDR Essentials: una gu\u00eda pr\u00e1ctica para la detecci\u00f3n y respuesta de redes<\/a><\/i>publicado en asociaci\u00f3n con Corelight, explora c\u00f3mo la detecci\u00f3n y respuesta de redes (NDR) ayuda a los profesionales a navegar en la era actual de las redes. La gu\u00eda gratuita es una introducci\u00f3n a NDR y un recurso pr\u00e1ctico para los equipos que buscan fortalecer la b\u00fasqueda de amenazas y las investigaciones asistidas por IA.<\/p>\n<h2>El caso de la interdicci\u00f3n de la red<\/h2>\n<p>Muchos programas de seguridad se centran en la prevenci\u00f3n. Sin embargo, la realidad es que las organizaciones no pueden simplemente girar hacia la izquierda <i>o <\/i>desplazarse a la derecha. Se debe poner atenci\u00f3n y control durante toda la secuencia de ataque.<\/p>\n<p>Si los controles preventivos fueran la respuesta simple, las credenciales robadas no funcionar\u00edan una vez que un atacante logra afianzarse. El malware se detendr\u00eda en el per\u00edmetro. Y los datos nunca saldr\u00edan de su entorno de almacenamiento.<\/p>\n<p>Sin embargo, estos eventos ocurren todo el tiempo.<\/p>\n<p>Por estas razones, Bejtlich sostiene que los programas de seguridad resilientes deber\u00edan centrarse en la interdicci\u00f3n: identificar e interrumpir la actividad maliciosa antes de que los atacantes logren sus objetivos.<\/p>\n<p>El verdadero \u00e9xito de la defensa depende de la capacidad de una organizaci\u00f3n para aislar y contener a los actores maliciosos despu\u00e9s del compromiso inicial, pero antes de una infracci\u00f3n total. Sostiene que la interdicci\u00f3n cambia el enfoque de las listas de bloqueo b\u00e1sicas a la interrupci\u00f3n activa de amenazas dentro del per\u00edmetro. Permite mitigar la vulnerabilidad y contener las amenazas, ayudando a detener un ataque antes de que el adversario logre una misi\u00f3n principal.<\/p>\n<p>La gu\u00eda explica c\u00f3mo NDR apoya la interdicci\u00f3n al brindar visibilidad del tr\u00e1fico que se mueve por la red. Vale la pena explorar en profundidad cuatro fuentes principales de evidencia de redes:<\/p>\n<ul>\n<li>Capturas de paquetes completos<\/li>\n<li>Archivos extra\u00eddos<\/li>\n<li>Registros de transacciones<\/li>\n<li>Alertas y detecciones<\/li>\n<\/ul>\n<p>En lugar de funcionar como una barrera pasiva, la NDR moderna facilita la intervenci\u00f3n activa. Brinda a los equipos de seguridad el conocimiento de la situaci\u00f3n y el contexto para evitar la propagaci\u00f3n de un ataque y preservar evidencia de red de alta fidelidad. <\/p>\n<h2>La caza de amenazas comienza con una hip\u00f3tesis<\/h2>\n<p>Uno de los cap\u00edtulos m\u00e1s fuertes del <a href=\"https:\/\/corelight.com\/cp\/ndr-essentials?utm_source=thehackernews&amp;utm_medium=article-6&amp;utm_campaign=awareness-wave-2\">libro<\/a> se centra en c\u00f3mo las organizaciones pueden evolucionar la b\u00fasqueda de amenazas para que coincida con las t\u00e9cnicas de ataque actuales, aquellas capaces de evadir los l\u00edmites de detecci\u00f3n tradicionales.<\/p>\n<p>Seg\u00fan Bejtlich, la caza de amenazas no debe basarse en el seguimiento de alertas. M\u00e1s bien, deber\u00eda comenzar con una hip\u00f3tesis sobre las t\u00e9cnicas de confrontaci\u00f3n. Una vez que se forma una hip\u00f3tesis, el analista ejecuta consultas en los registros y sesiones de la red para validar o refutar la teor\u00eda.<\/p>\n<p>La evidencia de la red sigue siendo el nexo de la investigaci\u00f3n. Las t\u00e9cnicas basadas en red que respaldan la b\u00fasqueda proactiva de amenazas incluyen:<\/p>\n<ul>\n<li>Identificar ejecutables <\/li>\n<li>Investigar protocolos inusuales<\/li>\n<li>Realice un seguimiento de grandes transferencias de datos salientes<\/li>\n<li>Detectar movimiento lateral <\/li>\n<li>Analizar la exposici\u00f3n del certificado<\/li>\n<\/ul>\n<p>El foco de la b\u00fasqueda debe ser anomal\u00edas espec\u00edficas y observables en lugar de advertencias de seguridad gen\u00e9ricas, que es precisamente lo que se puede obtener al observar las transacciones de la red.<\/p>\n<h2>IA en detecci\u00f3n y respuesta de redes<\/h2>\n<p>La inteligencia artificial ha transformado la defensa de la red, al igual que ha transformado los ataques contra la red. En el cap\u00edtulo 5 de la gu\u00eda, Bejtlich describe c\u00f3mo los analistas de SOC pueden utilizar la IA para un bien mayor: creando eficiencias, reduciendo la carga cognitiva y mejorando la recopilaci\u00f3n de evidencia.<\/p>\n<p>Cubre tres \u00e1reas funcionales en profundidad:<\/p>\n<ol>\n<li><b>Marcos de alerta optimizados<\/b>: d\u00f3nde y c\u00f3mo se capturan los datos de tr\u00e1fico (el borde y\/o el centro) y c\u00f3mo cada uno afecta el an\u00e1lisis.<\/li>\n<li><b>Triaje agente para acelerar los ciclos de respuesta a incidentes<\/b>: c\u00f3mo se deber\u00edan utilizar agentes aut\u00f3nomos para ejecutar manuales de estrategia, pero, lo que es igualmente importante, las capacidades de toma de decisiones estrat\u00e9gicas de los analistas humanos de alto nivel.<\/li>\n<li><b>Interoperabilidad de herramientas<\/b>: aunque a la red se la suele denominar \u201cverdad sobre el terreno\u201d, la investigaci\u00f3n de ataques moderna requiere una visi\u00f3n hol\u00edstica de la red, los puntos finales, las plataformas en la nube, las aplicaciones, etc. La orquestaci\u00f3n de IA coordina las herramientas aisladas y sus resultados.<\/li>\n<\/ol>\n<p>Para lograr la m\u00e1xima eficacia, los profesionales pueden integrar estos modelos de IA en los flujos de trabajo diarios para sus casos de uso espec\u00edficos (descritos en detalle en el libro).<\/p>\n<p>Si bien la IA es inevitable en el ecosistema digital actual, la verificaci\u00f3n humana sigue siendo un punto de control cr\u00edtico. Al menos a corto plazo, la automatizaci\u00f3n debe regularse para evitar alucinaciones o consecuencias no deseadas. Cuando se utiliza correctamente, la IA es una victoria para las investigaciones y los analistas que las dirigen.<\/p>\n<h2>Dos lecciones para mejores operaciones<\/h2>\n<p>Los equipos de operaciones exitosos buscan continuamente mejorar los procesos. Los operadores deben desarrollar t\u00e9cnicas de investigaci\u00f3n para igualar la velocidad y la sofisticaci\u00f3n actuales, y la red presenta esa base. El libro ofrece numerosas recomendaciones operativas, y dos destacan por su eficacia:<\/p>\n<ul>\n<li><b>L\u00edneas base de alerta inicial<\/b>: Demasiadas reglas prehabilitadas provocan fatiga en las alertas. A su vez, la fatiga de alerta adormece y\/o entierra a los equipos de seguridad. Por lo tanto, Bejtlich recomienda que las organizaciones adopten una estrategia de \u201cl\u00ednea de base cero\u201d. Puede leer m\u00e1s sobre este m\u00e9todo en el libro electr\u00f3nico.<\/li>\n<li><b>Definiciones de alerta<\/b>: Los operadores deben tratar una alerta como el comienzo de una investigaci\u00f3n en lugar de la definici\u00f3n concluyente de un evento. Hacerlo facilita la recopilaci\u00f3n profunda de evidencia que apoye o rechace una hip\u00f3tesis, asegurando que, al final de la investigaci\u00f3n, el analista pueda responder de manera concluyente: <i>\u00bfQu\u00e9 pas\u00f3? \u00bfQu\u00e9 evidencia tenemos? \u00bfC\u00f3mo sabemos que lo estamos viendo todo, en contexto?<\/i><\/li>\n<\/ul>\n<h2>Por qu\u00e9 es importante ahora la interdicci\u00f3n de redes<\/h2>\n<p>Los actores de amenazas contin\u00faan evolucionando sus t\u00e1cticas, pero la evidencia de la red sigue siendo una fuente definitiva de verdad para la defensa. Los profesionales que quieran construir una arquitectura de seguridad moderna y resistente pueden encontrar estrategias pr\u00e1cticas en este libro electr\u00f3nico. <\/p>\n<p>el valor de <i>Elementos esenciales de NDR<\/i> no es simplemente que explique la NDR. Proporciona un marco pr\u00e1ctico para pensar en las investigaciones modernas.<\/p>\n<p>Para explorar estos conceptos en profundidad, descargue el PDF gratuito del<a href=\"https:\/\/corelight.com\/cp\/ndr-essentials?utm_source=thehackernews&amp;utm_medium=article-6&amp;utm_campaign=awareness-wave-2\"> P\u00e1gina de elementos esenciales de NDR<\/a>. Para las organizaciones que buscan implementar estas estrategias defensivas modernas, hay informaci\u00f3n adicional disponible en <a href=\"https:\/\/corelight.com\/cp\/elitedefense?utm_source=thehackernews&amp;utm_medium=article-6&amp;utm_campaign=awareness-wave-2\">corelight.com\/elitedefense<\/a>. <\/p>\n<h2 style=\"text-align: left;\"><b>Detecci\u00f3n y respuesta de la red Corelight<\/b><\/h2>\n<p>Corelight ofrece detecci\u00f3n y respuesta de red (NDR) que acelera las investigaciones de amenazas a trav\u00e9s de una defensa impulsada por IA. Utilizando visibilidad integral de la red, an\u00e1lisis de comportamiento y detecci\u00f3n basada en evidencia, la plataforma Open NDR de Corelight combina telemetr\u00eda de red profunda con contexto procesable. Los analistas pueden identificar amenazas m\u00e1s r\u00e1pido, validar los hallazgos con confianza y tomar medidas con claridad.<\/p>\n<p>Obtenga m\u00e1s informaci\u00f3n en <a href=\"https:\/\/corelight.com\/cp\/elitedefense?utm_source=thehackernews&amp;utm_medium=article-6&amp;utm_campaign=awareness-wave-2\">corelight.com\/elitedefense<\/a>.<\/p>\n<div class=\"cf note-b\">\u00bfEncontr\u00f3 interesante este art\u00edculo? <span class=\"\">Este art\u00edculo es una contribuci\u00f3n de uno de nuestros valiosos socios.<\/span> S\u00edguenos en <a href=\"https:\/\/news.google.com\/publications\/CAAqLQgKIidDQklTRndnTWFoTUtFWFJvWldoaFkydGxjbTVsZDNNdVkyOXRLQUFQAQ\" rel=\"noopener\" target=\"_blank\">noticias de google<\/a>, <a href=\"https:\/\/twitter.com\/thehackersnews\" rel=\"noopener\" target=\"_blank\">Gorjeo<\/a> y <a href=\"https:\/\/www.linkedin.com\/company\/thehackernews\/\" rel=\"noopener\" target=\"_blank\">LinkedIn<\/a> para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n<p><script async src=\"\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n","protected":false},"excerpt":{"rendered":"<p>A pesar de la abundancia de telemetr\u00eda a disposici\u00f3n de los analistas, muchos equipos de operaciones de seguridad luchan por responder algunas preguntas b\u00e1sicas durante la investigaci\u00f3n de incidentes: \u00bfQu\u00e9 pas\u00f3? \u00bfQu\u00e9 evidencia tenemos? \u00bfC\u00f3mo sabemos que lo estamos viendo todo, en contexto? Responder a estas preguntas requiere que los equipos vayan m\u00e1s all\u00e1 de [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[3306,2135,24,3307,3305,54],"class_list":["post-1300","post","type-post","status-publish","format-standard","hentry","category-noticias","category-trending","tag-bejtlich","tag-caso","tag-cyberdefensa-mx","tag-ndr","tag-richard","tag-sobre"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1300","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1300"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1300\/revisions"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1300"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1300"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1300"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}