CTEM: Continuous Threat Exposure Management 3r3770

Bienvenidos a TechFlow, el programa de videopodcast de Volutio.

Hoy me acompaña David Martín, Security Specialist de Volutio.

Bienvenido.

Muchas gracias.

Y hoy vamos a hablar de un tema bastante interesante, que es el enfoque CTEM, Continuous Threat and Exposure Management.

En 2022, creo que fue cuando empezó a surgir este enfoque, pero han sido los dos últimos años, en 2023 y 2024, cuando tanto analistas como integradores empezaban a contar las bondades de este enfoque, sobre todo para evaluar la situación de ciberseguridad de las empresas y también para, dicen, priorizar los riesgos.

Si tuvieras que explicar a alguien que nunca ha oído hablar sobre este enfoque de una forma sencilla, ¿cómo lo abordarías? Una buena pregunta.

Mira, yo siempre explico que las palabras, cuando decimos lo del CTEM, hay que entender muy bien lo que significa.

Continuous Threat and Exposure Management, en español, gestión continua de exposición a amenazas.

Y yo creo que lo fácil es decir...

Cualquier persona, cuando le pregunta sobre riesgos, dice riesgos es probabilidad por impacto, y aparecen dos variables.

Y yo creo que el enfoque que está haciendo este nuevo programa, porque es importante, CTEM no es una herramienta, es un programa, es una forma de hacer las cosas, lo que hace es meter más variables a tener en cuenta para priorizar esos riesgos.

Hemos trabajado desde hace muchos años con diferentes valores o con diferentes tecnologías que nos aportan información para priorizar los riesgos.

Y CTEM lo que propone es empezar a hablar de exposición a amenazas o de otra serie de variables que nos van a permitir, al final, tener la misma fórmula, solo que mucho más potenciada con muchas variables que nos permitan internamente en una empresa priorizar los riesgos por las principales amenazas que sabemos que nos impactan.

Esa es un poco la forma sencilla.

Sí, es cierto que riesgos siempre lo hemos visto como el gráfico de dos variables y el semáforo.

De hecho, en este nuevo enfoque que comentas, que dices que es más completo, muchas veces hablan de evolución, de evolución frente al pentesting, sobre los equipos de Red Team, evolución incluso sobre el Batch Breakout Simulation, que es bastante reciente, o evolución sobre la gestión de vulnerabilidades.

¿Por qué es diferente? Claro, todo lo que has dicho son piezas de ese programa de gestión continua de exposición a amenazas.

Al final, lo que el programa dice de forma muy sencilla es, con esa idea de que riesgo es probabilidad por impacto, lo que vamos a pensar es, primero lo que tendríamos que hacer, que en parte lo hacemos es, vamos a identificar cuáles son las principales amenazas, y eso yo creo que es una de las principales cosas que han cambiado.

Siempre le hemos dicho hablar de vulnerabilidades y demás, posiblemente a veces de amenazas, pero el enfoque que tiene el CTN es, lo que voy a hacer es, vamos a poner diferentes fases, en la que la primera me voy a centrar en identificar cuál es el alcance de lo que quiero evaluar con esa fórmula de forma más extendida.

Los activos, pueden ser vulnerabilidades, pueden ser exposición, pueden ser muchos factores.

La cosa al final es, primero lo que vamos a hacer es identificar qué amenazas me pueden afectar, y de todas esas, que tendrán vulnerabilidades, exposición, tendrán diferentes variables, aparecen herramientas o servicios, como lo que has dicho, del BAS, el CTN o herramientas de vulnerabilidades, que lo que hacen es añadir información a lo que hemos hecho primero, es, bueno, pues yo tengo una empresa, tengo que tener una base de datos o una CMDB o algo que me diga todos los activos que yo tengo que son importantes para mí.

Después, a esos activos, qué amenazas les afectan, entre las que pueden estar vulnerabilidades, pero puede ser porque está expuesto internet, porque la amenaza tenga que ver con una campaña que atenta contra mi compañía, hay diferentes cosas que tengo que tener en cuenta, y justo lo que has dicho, el BAS, el Red Team y demás, son partes que lo que nos permiten es, identificando esos activos que tenemos y las amenazas que hay, vamos a intentar validarlas para que en base al resultado de esa validación, de si realmente lo que yo vi en ese activo o en esa información de la compañía con esa amenaza me afecta, porque tengo que validar, entonces voy a poder priorizar lo que es importante para la compañía.

¿Qué ocurre? El BAS, por ejemplo, lo que hace es una pieza que lo que hace es automatizar ataques para comprobar si una cosa se bloquea o se detecta, pero lo que hace es una herramienta que lanza ataques, pero la herramienta hay que nutrirla de información de esos ataques que están haciendo, cómo impactan y cómo me trasladas esa información para mi compañía en riesgo.

Entonces, el BAS es una pieza que te dirá si tú me dices tus activos y tú me dices las amenazas, que yo las tengo, y yo las puedo simular con automatismos o no, porque el Red Team, por ejemplo, puede ser automático, pueden ser personas que simulan los ataques,