Safetybits presenta Contextual Threat Intelligence, para que veas exactamente hacia dónde va tu tráfico de red, y actúes antes de que se convierta en una fuga. Muestra el tráfico por país en tiempo real sobre el dashboard de tu planta, te dice qué dispositivo ha hablado con quién, evalúa cada paquete al instante con reglas con filosofía Zero Trust que marcan cualquier destino fuera de tu lista de países autorizados, y señala las conexiones con IPs de reputación dudosa, mostrando cómo se usa realmente esa IP. Puede ser un datacenter, una CDN o una red de bots.
Otras herramientas de ciberseguridad OT no tienen esto. Las pocas que sí, lo hacen con un feed de inteligencia de amenazas contratado aparte, que hay que cruzar a mano con tu inventario y tus alertas. Tres pestañas, tres herramientas, ningún contexto compartido.
En Safetybits acuñamos la filosofía OTSPM (Operational Technology Security Posture Management). En corto: monitorizar el entorno industrial sin descanso, y correlacionar lo que pasa en el inventario, las vulnerabilidades, el cumplimiento y la detección de amenazas, en lugar de tratarlos como herramientas sueltas.
Contextual Threat Intelligence aplica esa misma idea a la detección de amenazas. Conecta la geolocalización del tráfico, el inventario de dispositivos y la reputación de IP en la misma plataforma. Ese contexto compartido es justo lo que nos permitió distinguir el CDN legítimo de la IP maliciosa, sin abrir ninguna herramienta más.
Vamos a verlo en acción.
Algo en el mapa no encajaba
Un CISO de una empresa industrial (nombre omitido por confidencialidad) sospechaba que parte de su tráfico salía hacia países donde no tenía ninguna operación. Ninguna prueba, solo una corazonada. Abrimos el dashboard de su planta.
El mapa de tráfico de las últimas 24 horas mostraba actividad en los países habituales: Estados Unidos, Alemania, Francia. Pero había un punto en África que no debía estar ahí.
Un solo país destacado, un solo motivo para seguir mirando.
¿Quién ha hablado con Kenia?
Un clic sobre el país abrió el panel de detalle: dos recursos de la red habían intercambiado tráfico con esa IP. Uno era un servidor de producción sin ningún motivo para comunicarse fuera de Europa.
Ya no era una sospecha. Teníamos un dispositivo concreto que investigar.
Detectando países no autorizados
Zero Trust parte de una idea simple: no confíes en nada por defecto, ni siquiera en el tráfico que ya conoces. En vez de intentar listar todas las amenazas posibles (una lista que nunca termina de estar completa), defines lo único que está permitido. Todo lo demás se bloquea o se investiga.
Es la misma idea que guía el diseño de nuestras reglas. En lugar de pedirte que anticipes cada ataque posible, te preguntamos algo mucho más simple: ¿con qué países tiene sentido que hable tu planta? Configuramos la regla Traffic to Unauthorized Country Detected con la lista exacta de países donde el cliente sí opera. Todo lo demás, alerta automática.
La regla no se limita a avisar. Evalúa cada paquete en tiempo real, así que en el momento en que detecta tráfico fuera de la lista, puede actuar sola: enviar la alerta al canal de notificaciones del equipo, iniciar una captura de red para tener evidencia, o etiquetar el recurso afectado. La captura se guarda en formato .pcap, así que puedes abrirla directamente en Wireshark, sin pasos intermedios. No hace falta esperar a un informe del día siguiente para reaccionar.
Esa etiqueta no es solo para visibilidad. Safetybits comparte tu inventario con tu firewall, así que esa misma etiqueta puede disparar una regla que bloquee el tráfico directamente en el perímetro. La detección se convierte en aplicación real, sin que nadie tenga que escribir una regla de firewall a mano.
Días después, la regla hizo su trabajo sola: detectó tráfico saliente hacia Suecia, fuera de la lista, y lanzó esa respuesta al instante.
La IP que no nos gustó
No todo el tráfico fuera de lugar es igual de grave. Con High-Risk External IP Communication Detected, cada conexión externa se cruza con bases de inteligencia de amenazas en tiempo real.
Una de las IPs tenía una puntuación de abuso del 90%: historial de escaneos y fuerza bruta. Esa sí era una señal seria.
Igual que la regla de países, esta también evalúa en tiempo real y puede responder al instante: alerta, captura en .pcap lista para abrir en Wireshark, o etiquetado del recurso, sin esperar a que alguien revise un log.
Un CDN no es automáticamente seguro
Con dos alertas sobre la mesa, era tentador aplicar el mismo atajo dos veces: “es un CDN, así que está bien”. La IP de Kenia era exactamente eso: tráfico legítimo de un proveedor de CDN conocido, simplemente mal ubicado en la lista de países permitidos, sin intención maliciosa.
La IP con una puntuación de abuso del 90% también estaba etiquetada como Content Delivery Network, montada sobre infraestructura cloud conocida. Misma etiqueta, misma categoría de “confianza”. Pero la puntuación de abuso contaba otra historia: un historial de escaneos y fuerza bruta, activo en ese mismo momento, contra un recurso de producción. La infraestructura cloud legítima también se alquila, y la etiqueta no cambia cuando eso ocurre.
Esa fue la que escalamos. Una etiqueta de infraestructura te dice en qué barrio vive una IP. La reputación te dice qué está haciendo realmente. Hacen falta las dos cosas para distinguirlas.
Amplía lo que puedes ver
La corazonada del CISO era correcta. Pero sin el mapa, sin saber qué dispositivo generaba el tráfico, y sin contexto sobre la IP, hubiéramos perseguido la pista equivocada.
Con Contextual Threat Intelligence, ya no hace falta perseguir corazonadas a ciegas.
Expande tu alcance con OTSPM
Cuanto más estrecha sea tu visión, menos riesgos podrás detectar. Descubre como una plataforma OTSPM correlaciona datos para expandir tu alcance.
Descubre más →
