Empresa de atención médica
La integración y automatización de TrendAI Vision One™ mejoran la seguridad y la confiabilidad
Frank Bunton
Chief Information Security Officer
en una empresa del sector salud con 5,001-10,000 empleados
¿CÓMO HA AYUDADO A LA ORGANIZACIÓN?
Cada componente que hemos comprado de TrendAI™ tiene su propio conjunto de valores únicos. Pero como CISO, la mayor emoción de mi día es cuando llega una iniciativa de Zero Day. Es una de esas cosas para las que, por naturaleza, generalmente no estás preparado, y la reacción inicial del equipo de seguridad fue, "¿Qué vamos a hacer al respecto?"
Cuando eso sucedió, sugerí que revisáramos nuestro IPS de TrendAI™ y ver si había alguna vacuna relacionada con el Zero Day en particular, y las había. Activamos esas vacunas y pudimos ver, usando el dispositivo ExtraHop, que los problemas que estábamos viendo antes habían sido solucionados. Esa experiencia en particular fue un predictor de lo que estaba por venir. Desde entonces, en casi todas las ocasiones, hemos tenido una respuesta de mitigación en nuestro arsenal para cualquier tipo de ataque Zero Day antes de que el ataque realmente ocurra.
Y incluso cuando nos encontramos en una situación como Log4j y no había nada en nuestro arsenal para lidiar con ello, llamamos a TrendAI™, y dijeron, "Sí, lo estamos entregando ahora mismo, pero tendrás que instalarlo manualmente." Y yo estaba pensando, "Lo instalaré de cabeza si es necesario, pero lo importante es que llegue aquí." Lo desplegamos y—problema resuelto. Creo que ellos poseen esa iniciativa VDI y es realmente bueno que estén tan cerca de ella. Eso es algo que realmente ha hecho mi vida mucho más fácil. Correr con el cabello en llamas no es divertido.
En esencia, nos ha permitido manejar nuestras iniciativas y planificación de seguridad, y construir seguridad a largo plazo. Hemos estado trabajando con ellos durante al menos diez años.
Su personal de soporte técnico es mejor que la mayoría. En mi carrera, he visto de todo. Pero el soporte de TrendAI™ es realmente bueno. Son el mejor proveedor que tengo para soporte.
¿QUÉ ES LO MÁS VALIOSO?
Su conjunto de herramientas se integra bien con nuestra infraestructura existente. Se integra bien con nuestro SIEM de AT&T AlienVault.
Otra pieza que hace que TrendAI™ sea algo único—y puedo ver dónde podrían haber tenido un problema al iniciar todo—es que fueron una de las empresas, desde el principio, que dedicaron mucho tiempo a integrar sus conjuntos de herramientas, y eso me impresionó mucho. Eso significaba que el sistema de gestión de endpoints podía comunicarse con el sistema TrendAI Vision One™ – Deep Discovery™ en la red y detectar algo que percibía como un objeto sospechoso. Luego podría aislarlo y monitorearlo. Si esa entidad sospechosa buscaba comando y control o hacía algo nefasto, los endpoints serían alertados y comenzarían a eliminar el problema.
El problema que esto aborda—y es uno de los problemas más importantes—es que realmente tienes que considerar la automatización y ser consciente de ello. Porque cuando las cosas se complican, no necesariamente eres lo suficientemente rápido, como ser humano, para hacer todo lo que se necesita hacer—y documentar el proceso.
Puede que no pienses tanto en esa última parte cuando comienzas a hacer ingeniería de seguridad. Pero cuando entras en una gran empresa de salud como la nuestra, hay auditorías todo el tiempo. Los auditores querrán seleccionar dos o tres eventos que hayas manejado y decir, "Queremos ver el rastro de auditoría," etcétera. Como resultado, hay ventajas en la integración de los conjuntos de herramientas dispares de TrendAI™.
TrendAI™ ha trabajado muy duro para hacer que sus conjuntos de herramientas, como IPS, Deep Discovery, TrendAI™ – Deep Security™, etcétera, se comuniquen entre sí y trabajen juntos. Y todavía lo están haciendo hoy.
Han hecho de su IPS una aplicación en lugar de un dispositivo. Lo instalas en el endpoint, que es un servidor en tu centro de datos, y realmente lo configurará a un estándar mínimo. Eso significa que las aplicaciones y la versión del sistema operativo que estás ejecutando, hasta la versión del kernel, solo obtienen las herramientas instaladas que son necesarias para esa instancia particular.
Minimizan la instalación porque no quieren que busques errores e indicadores de compromiso que no estás en posición de experimentar porque estás usando un sistema operativo que no es vulnerable a ellos. Eso elimina mucho del trabajo extra cuando se trata de la gestión de servidores. Tienen en cuenta que estos son servidores que tienen un trabajo que hacer. No son solo escritorios, y si están consumiendo mucho del CPU, eso es malo para nosotros porque estamos aquí para hacer negocios y ganar dinero. Nunca hemos tenido un problema con ellos. Es realmente confiable, una vez que lo configuras.
¿QUÉ ES LO QUE NECESITA MEJORARSE?
Cuando despliegas estas herramientas de TrendAI™, la integración y hacer que funcionen juntas son de las piezas más difíciles del rompecabezas. Pero cuando logras configurarlas y hacerlas funcionar, te alegras de haberlo hecho.
Cuando gestionas un departamento de seguridad para varias organizaciones de salud y despliegas seguridad en sus entornos, quieren que se haga hoy. Y ciertamente no quieren ser molestados con ello durante el transcurso de unas semanas. Hemos estado en nuestra migración de Cloud One durante un par de meses y no es nuestro único proyecto. Tenemos muchas cosas en marcha aquí y en nuestras subsidiarias, de las cuales también soy el CISO. Está muy ocupado. No tenemos tiempo para sentarnos y trabajar en proyectos solo por tener los recursos para hacerlo.
Cuando invertimos tiempo en integrar recursos, dispositivos y aplicaciones dispares, lo hacemos con la idea de que vamos a obtener algo que valga más de lo que invertimos. En cada caso, eso es lo que ha sucedido con TrendAI™.
Aún así, muchas personas que conozco han adoptado su tecnología pero no la han integrado.
La herramienta de gestión de endpoints se encuentra en el endpoint y lo gestiona, pero no está completamente integrada con, por ejemplo, el sandbox. Así que sería bueno si pudieran simplificar el proceso de integración. Y me gustaría ver mejor documentación.
Otro punto es que, con TrendAI Vision One™, hubo problemas que experimentamos con las tecnologías IPS y EDR cuando lo obtuvimos por primera vez. Tuvimos algunas dificultades para averiguar cómo hacerlo funcionar. Una vez que lo resolvimos, estuvimos bien.
La solución que implementaron para eso fue aumentar el número de presentaciones que hicieron sobre el software, presentaciones donde respondieron preguntas. Asistimos a una aproximadamente cada dos a cuatro semanas con TrendAI™ para revisar las cosas, y no somos solo nosotros. Hay de 70 a 100 personas en esas reuniones. Se dieron cuenta de que, aunque está bien construir sistemas razonablemente complejos, en algún momento tienes que transmitir el conocimiento a los usuarios finales. Eso no siempre es fácil de hacer. La mayoría de las empresas operan bajo la mentalidad de que, "Bueno, nosotros lo entendemos, ¿por qué tú no lo entiendes?"
La forma en que diseñan su tecnología, simplemente sigue funcionando y eso no siempre es el estándar en la industria. Sus productos simplemente funcionan. Son realmente buenos y bien diseñados.”
¿CUÁNTO TIEMPO HE USADO LA SOLUCIÓN?
Comenzamos la integración de TrendAI Vision One™ hace tres o cuatro años.
¿QUÉ OPINO SOBRE LA ESTABILIDAD DE LA SOLUCIÓN?
El equipo de TrendAI™ es muy estable y confiable. En este negocio, casi tiene que ser así porque, si tu sistema se cae con frecuencia, simplemente no tienes tiempo para lidiar con eso. En los años que hemos tenido su IPS implementado, y eso es un producto complicado, puede que hayamos tenido una o dos fallas. Y según recuerdo, fue algo relacionado con una fuente de alimentación. Si tu falla principal es algo relacionado con una fuente de alimentación una vez cada diez años, estás en buena forma.
Es lo mismo con toda su tecnología. La forma en que lo diseñan, simplemente sigue funcionando y eso no siempre es necesariamente el estándar en la industria. Por ejemplo, finalmente tuve que abandonar la solución IAM de IBM porque era tan mala. Simplemente se rompía. No tenemos esos problemas con TrendAI™. Sus productos simplemente funcionan. Son realmente buenos y bien diseñados.
¿QUÉ OPINAMOS SOBRE LA ESCALABILIDAD DE LA SOLUCIÓN?
Es razonablemente escalable, pero recuerda que, al expandir, algunos de los componentes necesitan ser escalados mientras que otros solo necesitan ser reconfigurados. No querrás pagar por lo que no necesitas, lo que significa que no necesariamente tienes que duplicar todo. Cuando expandes, debes pensarlo bien.
¿CÓMO PERCIBEN EL SERVICIO Y SOPORTE A CLIENTES?
Su personal de soporte técnico es mejor que la mayoría. En mi carrera, he visto de todo. Pero el soporte de TrendAI™ es realmente bueno. Son el mejor proveedor que tengo para soporte.
Cada vez que hemos tenido un problema con su equipo, han sido puntuales y lo han solucionado. Y si no pueden arreglarlo, reemplazan lo que sea necesario.
Otro aspecto de TrendAI™ que es realmente bueno es que escuchan lo que dices. Si propones un caso de uso que actualmente no tienen, lo añaden a su repertorio y, un par de actualizaciones después, ahí está la herramienta que necesitabas. Es simplemente una empresa bien dirigida y bien gestionada en ese aspecto.
Por ejemplo, al principio, usar el tablero era un poco complicado. Pero lo genial que hicieron fue realizar reuniones quincenales sobre ello. No solo revisaban casos de uso, sino que al final preguntaban, "¿Qué más te gustaría ver? ¿Cómo mejorarías esto?" Una vez que la comunidad de CISOs se enteró de eso, llegaron preparados y diciendo "Me gustaría ver esto y me gustaría ver aquello." Y TrendAI™ comenzó a implementar las que tenían sentido. Hasta hoy, es un juego completamente diferente al de antes. Están constantemente actualizando sus plataformas.
Y no tienen que hacer lanzamientos grandes para poner cosas en manos de los usuarios. Desarrollan algo y dicen, "Oye, hemos incluido esto. Pruébalo y dinos qué piensas." La mayoría de las empresas dirían, "Esa característica estará en la Versión 5 y no hasta esa versión. La Versión 5 está programada para mayo, pero probablemente no estará disponible hasta octubre." TrendAI™ no es así y lo apreciamos.
¿CÓMO EVALUARÍAN EL SERVICIO Y SOPORTE A CLIENTES?
Positivo
¿CUÁL FUE LA SOLUCIÓN QUE USÉ PREVIAMENTE Y POR QUÉ DECIDÍ CAMBIAR?
Tenemos una larga historia con TrendAI™. Cuando los conocí por primera vez, fue un vendedor en el resort de Torrey Pines quien se reunió con varias personas. Un grupo de CIOs y CISOs fue reunido allí y alojado por unos días para reunirse con varios vendedores. Era un evento de "conociéndonos" y lo hacía cada año. Uno de los vendedores era de TrendAI™ y no sabía nada sobre ellos, pero me impresionó su presentación. Pensé para mí mismo en ese momento, "Ten esto en mente. Piensa un poco en esto."
Un año o algo después, cuando, en ese momento, estábamos usando el conjunto de herramientas de IBM, IBM decidió descontinuarlo. Tenía alrededor de cinco conjuntos de herramientas diferentes, uno de los cuales era IBM BigFix, que es una solución de gestión de parches que aún tenemos.
Dijeron que si queríamos reemplazarlos con lo que se llamaba, en ese momento, TrendAI™ OfficeScan, podíamos hacerlo, y lo hicimos. Cuando migramos a OfficeScan para reemplazar la parte de endpoint, nos dimos cuenta de que las otras piezas de IBM estaban en el aire, excepto BigFix. Entonces simplemente reemplazamos las herramientas de IBM por las herramientas de TrendAI™, componente por componente. Eso funcionó muy bien para nosotros porque el conjunto de herramientas de TrendAI™ era mucho más completo que las herramientas de IBM. Y se integró bien con nuestra infraestructura de BigFix. Todo funcionó en conjunto. Fue una decisión obvia. Trend construyó sistemas de seguridad mucho mejores que IBM.
Una vez que tuvimos OfficeScan en su lugar, comenzamos a hablar sobre la compra de un IPS. Generalmente hago una prueba de concepto cuando voy a comprar algo. El sistema IPS TippingPoint™ de TrendAI™ fue incluido en la evaluación. Lo que encontré es que no solo es el mejor producto, sino que tiene el mejor soporte de producto y eso realmente marca la diferencia.
Estamos usando TrendAI™ en casi todos los frentes en los que trabajan. Han sido un socio tremendo para nosotros, realmente buenos.
Cuando iniciamos el departamento de seguridad aquí, uno de los problemas que teníamos era que estábamos persiguiendo malware de un lado a otro. Teníamos software de gestión de endpoints y antivirus de McAfee en ese momento, pero no podíamos ejecutarlo porque, si lo hacíamos, eventualmente consumiría todo el CPU y colapsaría el escritorio.
Estábamos buscando un reemplazo para eso. Echamos un vistazo a la tecnología TrendAI Vision One™ y descubrimos que estaban profundamente interesados en lo que ellos llaman gestión de la superficie de ataque. Integra la herramienta EDR de TrendAI™ que teníamos y la convirtió en algo que puede rastrear hacia atrás. No solo podía detectar que había ocurrido un evento, que es lo que solíamos obtener, sino que ahora nos daba información sobre lo que llevó a ese evento. ¿Qué secuencia de eventos ocurrió en nuestras plataformas que llevó a eso? Podíamos rastrearlo hacia atrás, y ese es el componente XDR. Reemplazaron el componente EDR y fue entonces cuando comenzamos a trabajar con TrendAI Vision One™.
Desde entonces, hemos implementado los componentes de Deep Security y Deep Discovery, además de su IPS TippingPoint y su endpoint. También tenemos su solución de seguridad de correo electrónico en su lugar.
El conjunto de herramientas Deep Security se encuentra en su centro de datos en cada instancia de servidor que desea proteger. Los sistemas operativos que TrendAI™ soporta son Windows, Linux, Solaris y AIX. ¿Y qué desplegamos en nuestra organización? Esos cuatro sistemas operativos. Pensé, "Eso es como un mensaje de Dios mismo." Me sorprendió eso.
Y ahora mismo, estamos migrando a su entorno Cloud One. Eso lo lleva al siguiente nivel y nos permite aprovechar los análisis que existen en la nube sin tener que configurar toda la infraestructura para soportarlo. Todo lo que tenemos permanece como está, en las instalaciones, pero ahora todo informa a la nube, y esa información se mejora y se agrega aún más en datos más significativos, que luego regresan a nuestro ámbito. De eso se trata el enfoque Cloud One.
Son una empresa bastante genial y están realmente bien organizados y bien gestionados.
¿CUÁL ERA EL DESPLIEGUE INICIAL?
El despliegue inicial siempre es el más difícil porque nunca lo has hecho antes. Te vas a encontrar con problemas que no conoces. A medida que pasas de OfficeScan a Apex One, a Vision One a Cloud One, se vuelve más fácil cada vez que lo haces porque sabes lo que viene.
Para entonces, ya tienes un grupo establecido de personas que te apoyan y que te han estado apoyando durante algún tiempo. Estás familiarizado con trabajar con ellos, sabes qué esperar y cómo van a avanzar las cosas. Y prácticamente sabes cuál va a ser el marco de tiempo. Esa parte está bien.
Vision One está en las instalaciones. Comenzamos a construir centros de datos hace mucho tiempo y tuve el honor y privilegio de hacerlo. Construimos redundancia a nivel de centro de datos, así que hay dos de todo. Y luego piensas, "Bueno, ¿qué pasa si algo le sucede al centro de datos?" Así que construimos otro. Y luego nos dimos cuenta de que queríamos que estuviera en otro lugar porque tenemos suficientes terremotos en el sur de California para saber que nada es seguro aquí. Como resultado, construimos uno en Arizona y replicamos lo que teníamos aquí y luego lo juntamos todo. Así que podemos fallar aquí o en la instalación de Arizona. Esencialmente tenemos dos nubes privadas que gestionamos. Eso nos llevó a donde estábamos hace aproximadamente un año.
Y luego, de repente, surgió la idea de subir a la nube. Comenzamos a trabajar con Azure y AWS para mover elementos a la nube, pero también hubo algunos problemas con eso.
Por ejemplo, si construimos una gran pieza de infraestructura en nuestro centro de datos, compramos el hardware y luego lo desplegamos. Todo ese hardware es CapEx y puedes deducir el costo de la mayoría de él durante un período de años. Cuando te mudas a la nube, no obtienes ese beneficio, y si estás aprovechando la infraestructura de otra persona, te van a cobrar por ese servicio. Aunque no soy un experto en la nube, hemos desarrollado algunas aplicaciones basadas en la nube, pero, desde un punto de vista financiero, es realmente caro. No recuperas ese CapEx en tu bolsillo como lo haces cuando estás montando tus propios centros de datos.
Nuestra gerencia todavía quiere poner más cosas en la nube, así que continuaremos haciendo eso, y Cloud One te permite hacerlo con las características de seguridad de la carga de trabajo.
¿QUE OPINAN DEL EQUIPO DE IMPLEMENTACIÓN?
Lo hicimos todo internamente. Encontré a alguien que ya había trabajado en seguridad, dentro de nuestra empresa, y lo incorporé a mi equipo. Si puedes encontrar a alguien que ya haya hecho este trabajo y lo entienda, entonces no solo puedes hacer que lo implemente de inmediato, lo cual elimina esa parte del problema, sino que también están en posición de comenzar a aprender otras cosas porque ya conocen muy bien la infraestructura que estás implementando. En cada oportunidad que tuve para reclutar a alguien que ya tenía experiencia y era bueno en lo que hacía, lo hice. Ayuda contar con personas experimentadas.
¿CUÁL FUE EL ROI?
Siempre he sentido que la automatización y la integración de plataformas iban a ser la clave para esto.
La razón por la que me sentía así era que no entré en seguridad cuando salí de la escuela. Tuve la suerte de conseguir un trabajo en la división de Ingeniería de Sistemas de NCR. Construí y diseñé microprocesadores, y luego desarrollé software de sistemas operativos para los microprocesadores. Estuve expuesto a mucho de lo que sucede en las entrañas de la bestia. Aunque la bestia cambia de empresa a empresa, tienes una idea de lo que realmente está sucediendo.
Luego comencé mi propia empresa y lo que aprendí fue que la integración de elementos es clave para tu éxito, al igual que la automatización. Necesitas automatizar soluciones porque no quieres que un montón de personas intenten arreglar cosas si puedes automatizarlas y resolver los problemas.
Cuando miramos los registros de los IPS, por ejemplo, están bloqueando cientos de miles, y a veces millones, de paquetes al día. Si permitiéramos esos paquetes, no sé qué pasaría, pero no creo que sería bueno.
Además, no tengo un gran equipo a mi cargo. La idea de que, como director de seguridad de la información, vas a conseguir un par de cientos de personas para trabajar en las cosas simplemente no va a suceder. Así que realmente tienes que configurar las cosas para la automatización, y cualquier tipo de alerta tiene que señalar el problema en lugar de decirte dónde empezar a buscar.
¿CUÁL FUE LA EXPERIENCIA CON EL PRECIO, COSTO DE IMPLEMENTACIÓN Y LICENCIAMIENTO?
Tienen un nuevo método de precios y aún no nos han incluido en eso, lo cual agradezco. Ya es bastante difícil lidiar con dólares, pero con su nueva solución—y no estoy al tanto porque aún no la he usado—compras tokens o algún tipo de puntos y compras cosas con ellos. No hemos llegado a eso. Nos quedamos con lo que teníamos.
Desde el punto de vista de precios, son muy buenos negociadores y trabajarán contigo. En la primera conferencia de TrendAI™ a la que asistí, hubo una presentación para su equipo de ventas y se les dijo: "No se preocupen por ganar dinero. Solo hagan felices a nuestros clientes, y el dinero vendrá." Son buenos en eso y mucho mejores que la mayoría de las empresas. Siempre es bueno tener un buen socio.
¿QUÉ OTRAS SOLUCIONES EVALUÉ?
Revisamos las novedades que IBM estaba lanzando, las cuales no eran tan nuevas, por lo que no avanzaron mucho en nuestra evaluación. También revisamos McAfee y otra empresa que era una startup en ese momento, aunque no recuerdo su nombre.
Tuve tres o cuatro proveedores para pruebas de concepto, y le pedí a cada uno de ellos que me proporcionara a alguien para apoyar el esfuerzo y que me diera aproximadamente un mes. Cuando terminé, no solo obtuve el mejor producto, sino también el mejor proveedor. El apoyo tiene que estar presente durante ese proceso o no van a ganar el día. Algunos de ellos eran tan malos como, "Aquí está, háganos saber cómo le va." Y yo pensaba, "Bueno, puede que tenga algunas preguntas entre ahora y entonces. Espero que alguien esté al teléfono para responderlas," pero no siempre tienes ese lujo. Pero TrendAI™ fue realmente bueno y por eso me quedé con ellos.
¿CUÁL ES EL MODELO DE IMPLEMENTACIÓN QUE ESTÁN USANDO PARA ESTA SOLUCIÓN?
Local
Únase a Más de 500,000 Clientes Globales
Comience hoy con TrendAI™