Presentado por Splunk
La IA ha cambiado la economía del ciberengaño.
Un atacante ahora puede generar miles de señuelos de phishing convincentes, identidades falsas y pretextos personalizados antes de que un defensor finalice un único ciclo de control de cambios. Ése es el nuevo desafío de seguridad: el engaño se volvió más rápido y más barato, mientras que la verificación no.
Gran parte del debate sobre la IA para la defensa se centra en los modelos de detección. La detección es importante, pero no es el único obstáculo. La limitación más profunda es la evidencia: dónde residen los datos, si están disponibles cuando se necesitan, con qué rapidez se pueden correlacionar, durante cuánto tiempo se conservan y si los analistas o agentes pueden confiar en lo que recuperan.
La defensa en la era de la IA es un problema de datos antes que un problema de detección.
La ventaja del defensor es la verdad.
Los atacantes pueden darse el lujo de mentir a escala empresarial. Pueden probar infinitas combinaciones de mensajes, identidades, dominios y rutas de ataque, y la mayoría pueden fallar casi sin costo alguno.
Los defensores no pueden darse ese lujo. Su ventaja es la verdad: saber rápidamente qué sucedió, dónde, cuándo, qué identidad estuvo involucrada, qué activos se vieron afectados, qué cambió y qué proceso comercial puede estar en riesgo.
Esa verdad debe ser documentada, gobernada, auditable y defendible. Los atacantes utilizan la IA para ampliar el engaño, la suplantación de identidad, la ingeniería social y la velocidad. Los defensores necesitan IA para escalar la verificación.
El objetivo no es sólo actuar más rápido que el atacante. Se trata de tomar medidas en las que las personas y las máquinas puedan confiar.
Los datos fragmentados rompen la defensa moderna
Considere un inicio de sesión sospechoso desde la cuenta de un contratista. Por sí sola, es simplemente otra anomalía de autenticación. Para saber si es importante, un equipo de seguridad puede necesitar un historial de identidad, actividad de endpoints, registros de acceso a la nube, registros de emisión de tickets, propiedad de activos, cambios de configuración, telemetría de red y contexto empresarial.
Si esos registros se encuentran en diferentes herramientas, caducan en diferentes momentos o requieren que varios equipos los recuperen, los defensores no están investigando el incidente. Están negociando con su propio patrimonio de datos.
Suscríbete y recibe las historias más importantes del día.
Al suscribirte aceptas nuestros términos y condiciones y política de privacidad.
Cuando las señales pueden localizarse en el lugar y correlacionarse rápidamente, el problema ya no es sólo si el inicio de sesión parece inusual. Se trata de si la empresa tiene suficiente evidencia, en suficiente contexto, para tomar medidas que pueda defender.
Ese desafío se vuelve más urgente con los asistentes y agentes de IA. La IA sólo puede razonar sobre lo que puede recuperar a tiempo para que importe. Si los datos son parciales, obsoletos, fragmentados, no disponibles o desprovistos de contexto, la IA no crea la verdad. Acelera la incertidumbre.
El sistema de registro debe convertirse en un plano de control defensivo
Durante años, las empresas trataron las plataformas de seguridad, los SIEM y los lagos de datos como repositorios pasivos: lugares para almacenar datos para su posterior búsqueda y análisis. Ese modelo ya no es suficiente.
Lo que las organizaciones necesitan ahora es un plano de control defensivo: una capa que conecte lo que sucedió, lo que significa y lo que la empresa puede hacer al respecto. En términos arquitectónicos, vincula los datos brutos de la máquina, el contexto empresarial y la política. No se limita a almacenar pruebas. Hace que la evidencia sea utilizable para decisiones y acciones que deben ser explicables y confiables.
En la práctica, eso significa hacer bien cuatro cosas: preservar la evidencia, llegar a los datos dondequiera que se encuentren, agregar contexto empresarial y gobernar la acción. Más sobre cada uno a continuación.
El antiguo sistema de registro respondía a una pregunta: ¿Qué es el registro oficial?
Un avión de control defensivo responde a las preguntas que importan desde el punto de vista operativo: ¿Qué pasó? ¿Qué significa? ¿Qué evidencia apoya esa conclusión? ¿Y en qué acción podemos confiar?
La IA no reduce la necesidad de registros autorizados. Eleva el estándar de lo que deben hacer esos registros.
Un avión de control defensivo debe hacer cuatro cosas
-
Preservar la evidencia. Los registros, métricas, seguimientos, eventos, registros de identidad, cambios de configuración, tickets y estado de los activos ayudan a establecer lo que sucedió. Su valor a menudo queda claro sólo después de que comienza un incidente.
-
Haga que los datos sean accesibles dondequiera que se encuentren. Los datos relevantes para la seguridad ya se encuentran distribuidos en almacenes de objetos, plataformas en la nube, herramientas operativas y sistemas comerciales. Mover cada byte a un solo lugar suele ser demasiado lento, demasiado costoso y demasiado difícil de gobernar. El mejor modelo es llevar análisis a los datos.
-
Agregue contexto empresarial. La correlación de los datos de la máquina con la información empresarial convierte la “anomalía en el host X” en “el sistema que respalda los servicios de pago para las cuentas principales está siendo investigado”. Eso es lo que permite a las organizaciones priorizar correctamente.
-
Gobernar la acción. En la era de la agencia, los sistemas harán más que resumir los incidentes. Enriquecerán alertas, abrirán casos, activarán flujos de trabajo, aislarán activos, actualizarán políticas y escalarán decisiones. Las empresas necesitan saber qué evidencia utilizó un agente, qué política gobernó la acción, si se mantuvo dentro del alcance y cómo se puede revisar la decisión posteriormente.
El verdadero problema del SOC no es la falta de datos
Los SOC modernos no sufren de falta de datos. Sufren de una falta de contexto utilizable.
Según el informe Splunk State of Security 2025, los analistas de SOC continúan luchando con demasiadas alertas (59%), demasiados falsos positivos (55%) y alertas que carecen de contexto (46%). El problema no es el volumen de datos. Es la dificultad de convertir señales fragmentadas en decisiones confiables.
Hoy en día, los analistas se ven obligados a unir el contexto manualmente, girar entre herramientas desconectadas y tomar decisiones de alto riesgo sin tener una visión completa a tiempo. Incluso cuando la IA mejora, los resultados aún dependen de si los humanos están dispuestos a aprobar cambios en entornos fragmentados.
Esto crea una crisis diaria de contexto. Los equipos se ven obligados a tomar decisiones importantes basadas en datos que no pueden ver, correlacionar o confiar fácilmente. El resultado es latencia, inconsistencia, oportunidades perdidas y riesgos innecesarios.
La acción confiable es la ventaja duradera
Una arquitectura de estructura de datos ofrece un camino a seguir mediante la creación de una capa unificada e inteligente entre fuentes de datos que abarcan SecOps, ITOps y NetOps. El objetivo no es la centralización por sí misma. Se trata de romper los silos y ofrecer información rica en contexto a la velocidad que requieren las operaciones impulsadas por la IA.
Este es un modelo operativo antes de ser un producto. La defensa impulsada por la IA depende de una base que pueda preservar la evidencia, llegar a los datos donde se encuentran, agregar contexto y mantener un vínculo revisable entre los datos, la decisión y la acción. Ese es el cambio arquitectónico detrás de Cisco Data Fabric impulsado por la plataforma Splunk, que reúne datos de máquinas, federación, contexto empresarial, gobernanza y procedencia para ayudar a los equipos a pasar de la señal a la acción confiable.
Los atacantes seguirán haciendo que el engaño sea más barato, más rápido y más personalizado. Los defensores no ganan esa carrera generando más ruido. Ganan al hacer que la verdad sea más rápida y al basar cada acción en evidencia en la que las personas y las máquinas pueden confiar.
Obtenga más información sobre el Cisco Data Fabric impulsado por la plataforma Splunk.
Seth Brickman es vicepresidente de Producto Global – Plataforma Splunk, Cisco.
Los artículos patrocinados son contenido producido por una empresa que paga por la publicación o tiene una relación comercial con VentureBeat, y siempre están claramente marcados. Para más información, póngase en contacto ventas@venturebeat.com.
