Ejemplo de análisis de un gráfico de cadena de desarrollo de la amenaza

Esta sección contiene un ejemplo de un gráfico de cadena de desarrollo de la amenaza y cómo puede usarlo para analizar un ataque a los dispositivos de sus usuarios.

Consideremos un ataque mediante el uso de un mensaje de correo electrónico de phishing que contiene un archivo adjunto. El archivo adjunto es un archivo ejecutable.

El usuario guarda y ejecuta el archivo en su dispositivo. Kaspersky Endpoint Security para Windows detecta el tipo de objeto malicioso detectado.

Una detección en Kaspersky Endpoint Security para Windows

El widget Endpoint Detection and Response muestra hasta 10 alertas.

Widget de Endpoint Detection and Response

Al hacer clic en el enlace Examinar en la línea requerida del widget, puede pasar a un gráfico de la cadena de desarrollo de la amenaza.

Un gráfico de cadena de desarrollo de la amenaza

El gráfico de la cadena de desarrollo de la amenaza le brinda información sobre la alerta, por ejemplo: acciones que ocurrieron en el dispositivo durante la alerta, categoría de la amenaza detectada, origen del archivo (en este ejemplo, un correo electrónico) y usuario que descargó el archivo (en este ejemplo, un administrador). Además, el gráfico de cadena muestra que se han creado archivos adicionales en el dispositivo, que se han establecido varias conexiones de red y que se han cambiado algunas claves de registro.

Con base en esta información, puede hacer lo siguiente:

• Verificar la configuración del servidor de correo.
• Añadir el remitente del mensaje de correo electrónico a la lista de denegación (si el remitente es externo), o diríjase a él o ella directamente (si el remitente es interno).
• Comprobar si otros dispositivos se han conectado a las mismas direcciones IP.
• Añadir estas direcciones IP a la lista de denegación.

Si hace clic en un enlace en los campos SHA256, MD5, Dirección IP o URL en la información detallada sobre un archivo, se le dirige a Kaspersky Threat Intelligence Portal, https://opentip.kaspersky.com/. El portal muestra que el archivo detectado no es una amenaza ni un archivo conocido.

Kaspersky Threat Intelligence Portal

Este ejemplo muestra la importancia de la función Endpoint Detection and Response. El archivo principal del archivo detectado no es de confianza, pero no es malicioso. Significa que Kaspersky Endpoint Security para Windows no lo ha detectado. Este archivo todavía está presente en el dispositivo y dentro de la organización. Si la organización tiene dispositivos en los que algunos componentes de protección están desactivados (por ejemplo, detección de comportamiento) o en los que las bases de datos antimalware no están actualizadas, la actividad maliciosa del archivo principal no se detectará y los delincuentes podrían tener la oportunidad de penetrar en la infraestructura de su organización.