**La Importancia de la Visibilidad en la Respuesta a Incidentes de Seguridad: Aprendizajes del ISC2 Security Congress 2026**
La ciberseguridad es un tema que trasciende la mera protección de sistemas y redes; se ha convertido en una cuestión crítica para la continuidad de las operaciones de empresas en todo el mundo. En un entorno digital donde las amenazas son cada vez más sofisticadas, la capacidad de respuesta ante incidentes y la identificación de vulnerabilidades son esenciales para mitigar los riesgos. Durante el ISC2 Security Congress 2026, celebrado en Denver, se discutieron los desafíos que enfrentan las organizaciones cuando un paquete malicioso logra eludir los controles de seguridad, destacando la relevancia de contar con una visibilidad adecuada en tiempo de ejecución.
Deepam Kanjani, gerente de seguridad de productos de Atlassian, utilizó un caso real de compromiso de seguridad que involucraba un paquete denominado "Shai-Hulud" para ilustrar las dificultades que enfrentan los equipos de respuesta a incidentes. Este tipo de situaciones pone de manifiesto las lagunas en la visibilidad de la ejecución de código, la propiedad de las dependencias transitivas y la atribución de los atacantes. Lo que parece ser un problema técnico específico resuena con una preocupación más amplia: la falta de herramientas efectivas para monitorizar y gestionar el riesgo en entornos de software como servicio (SaaS).
Kanjani reveló que había alterado todos los detalles identificativos del incidente para mantener la confidencialidad, aunque su relato en primera persona se basó en eventos reales de una gran empresa SaaS. El caso comenzó con un paquete que, en apariencia, era legítimo: contaba con un hash SHA coincidente, más de 3,400 estrellas en GitHub y un repositorio que parecía creíble según las herramientas de seguridad de la empresa. Sin embargo, escondido a tres capas de profundidad en el paquete, se encontraba una dependencia maliciosa llamada "shai-hulud", inspirada en los gigantescos gusanos de arena de la serie de películas *Dune*. Al no ser una dependencia directa, no apareció en la auditoría de dependencias de alto nivel.
La primera señal de que algo no estaba bien se presentó cuando un escáner de comportamiento alertó sobre la ejecución de un código que no debería estar corriendo. Inicialmente, los responsables de la respuesta desestimaron la alerta como un falso positivo, dado que el hash coincidia y no había otras indicaciones obvias de que el paquete fuera malicioso. Además, el Software Bill of Materials (SBOM) consultado por el equipo de seguridad indicaba que el entorno estaba limpio. Lo que el equipo no sabía en ese momento era que el SBOM estaba desactualizado en dos ciclos de desarrollo, como señaló Kanjani.
A medida que avanzaba la respuesta, el equipo se encontró incapaz de determinar con certeza qué servicios utilizaban el paquete comprometido. Los indicadores de compromiso (IOCs) proporcionaron pistas iniciales, pero no lograron establecer qué servicios estaban afectados o hasta dónde se había propagado el compromiso. La falta de evidencia en tiempo de ejecución dificultó la identificación del código que realmente se había ejecutado y a qué recursos podía acceder.
Sin esta telemetría en tiempo de ejecución, el equipo tuvo que correlacionar registros manualmente a través de más de 400 servicios, lo que les dejó sin una imagen clara del alcance potencial del compromiso. Un mensaje inicial enviado a través de Slack por el responsable de la respuesta al incidente a las partes interesadas de la empresa agravó la situación, al ser demasiado vago y dar lugar a una serie de investigaciones paralelas sobre el evento que seguía desarrollándose.
Los esfuerzos del equipo de seguridad por identificar al atacante, rastreando la propiedad de los registros, el historial de mantenedores de npm, las identidades de los editores y los registros de GitHub, rápidamente se encontraron con callejones sin salida. El repositorio había sido copiado de un proyecto legítimo, y la identidad y el historial de cuentas del editor parecían haber sido falsificados.
Posteriormente, investigadores han atribuido al menos algunos de los ataques de "Shai-Hulud" a un actor de amenazas conocido como TeamPCP. Este tipo de incidentes subraya la importancia de que las organizaciones no se limiten a los SBOM y los inventarios de dependencias, sino que centren su respuesta a incidentes en lo que realmente se ejecuta en producción. La clave, según Kanjani, radica en capacitar a los equipos de seguridad para identificar, delimitar, priorizar y contener incidentes, así como permitir una visibilidad en tiempo real sobre los servicios afectados y la posible extensión de un compromiso.
La recomendación de Kanjani es que las organizaciones mantengan sus SBOM en un plazo no mayor a 72 horas y aseguren que más del 98% de los servicios en producción cumplan con dicho umbral. Además, sugirió habilitar capacidades de ejecución para detectar cargas de módulos desconocidos en menos de 90 segundos y realizar verificaciones diarias en los registros para identificar similitudes con nombres de paquetes internos dentro de las 24 horas posteriores a su publicación.
Kanjani enfatizó que estos son objetivos que las organizaciones deben calibrar para sus propios entornos y no deben considerarse como puntos de referencia universales. También instó a los equipos de seguridad a centrarse más en la operación que en el operador, afirmando que "las señales de identidad rotan. Las necesidades operativas no". La detección debe construirse en función de lo que el gusano necesita hacer para funcionar, y no de quién lo está controlando.
Finalmente, Kanjani resaltó que toda comunicación con las partes interesadas sobre un incidente de seguridad debe ser directa y clara. La honestidad es fundamental, pero también lo es presentar los detalles en un lenguaje apropiado para la audiencia. "No engañes. Comunica la realidad de manera que puedan asimilarla", concluyó. "No quieres sembrar el pánico". Este enfoque proactivo y transparente en la comunicación y la gestión de incidentes podría ser la diferencia entre una crisis mal gestionada y una respuesta eficaz que minimice el impacto de un ataque.