Commvault y Microsoft: El auge de los agentes de IA en ResOps

Puntos Clave

La seguridad debe adaptarse como el agente Smith: en «Matrix», el agente Smith se multiplicó rápidamente para abrumar a Neo. Hoy en día, los equipos de seguridad se enfrentan a un reto similar, ya que las amenazas y las señales crecen más rápido que la capacidad de los analistas. Los agentes de seguridad basados en IA ayudan a los equipos a ampliar el alcance de las investigaciones sin necesidad de aumentar la plantilla.
La correlación de señales mejora la fiabilidad de las investigaciones: El Commvault Security Investigation Agent correlaciona la información de las copias de seguridad con las señales de seguridad procedentes de plataformas como Netskope, CrowdStrike y Palo Alto Networks para determinar si las amenazas detectadas en los datos de las copias de seguridad también han afectado a los sistemas de producción.
La ciberresiliencia pasará a estar impulsada por agentes: el Commvault Security Investigation Agent es el primer paso hacia un futuro en el que agentes especializados de inteligencia artificial ayuden a los equipos de seguridad en las investigaciones, las decisiones de Recovery y la agilización de los flujos de trabajo de restauración.

Introducción

En «Matrix», hay un momento que resulta sorprendentemente relevante para el panorama tecnológico actual. El agente Smith descubre que puede duplicarse. Uno se convierte en muchos y, de repente, Neo se ve rodeado por un ejército de agentes idénticos que actúan simultáneamente.

En muchos sentidos, esa escena refleja el mundo en el que nos estamos adentrando hoy en día con la IA agentiva. En todos los sectores, y especialmente en la ciberseguridad, estamos empezando a ver el auge de agentes de IA especializados que pueden trabajar de forma independiente, escalar rápidamente y ayudar a los humanos de formas que antes eran imposibles. Pero, a diferencia de la implacable toma de control del agente Smith, el objetivo de estos agentes no es la dominación. Es la defensa.

Crecer y acabar con los silos

Las operaciones de seguridad se enfrentan hoy en día a un problema fundamental de escalabilidad. El número de sistemas, señales y herramientas de seguridad no deja de crecer, pero el número de analistas no lo hace.

Las organizaciones recopilan actualmente datos de telemetría procedentes de plataformas de seguridad de terminales, defensas de red, herramientas de monitorización en la nube y sistemas de protección de identidades. Cada una de estas herramientas genera sus propias alertas y paneles de control, que a menudo funcionan de forma aislada entre sí. El resultado es una cantidad abrumadora de datos repartidos en silos inconexos.

Es tentador suponer que la solución consiste simplemente en contratar a más analistas, pero cualquiera que haya gestionado equipos grandes sabe que incorporar personal conlleva sus propios retos. A medida que los equipos crecen, la comunicación se vuelve más compleja, la coordinación se ralentiza y la eficiencia de las investigaciones suele disminuir.

Lo que los equipos de seguridad realmente necesitan no es solo más personal, sino más inteligencia y automatización para ayudar a los analistas a actuar con mayor rapidez y tener una visión más global.

Uno de los silos más persistentes en las operaciones de seguridad ha sido la división entre los sistemas de copia de seguridad y las herramientas de seguridad. Tradicionalmente, los equipos de seguridad supervisan los entornos de producción a través de sus herramientas de gestión de información y eventos de seguridad, mientras que los entornos de copia de seguridad se gestionan en una consola independiente.

Los datos de copia de seguridad a menudo solo se examinan después de que se produzca un incidente, cuando las organizaciones ya se encuentran inmersas en el modo de recuperación. Sin embargo, los atacantes se centran cada vez más en los sistemas de copia de seguridad precisamente porque saben que son fundamentales para la recuperación.

Los operadores de ransomware suelen cifrar los sistemas de producción, intentar corromper las copias de seguridad o dejar artefactos maliciosos ocultos dentro de los conjuntos de datos protegidos. Esto significa que los entornos de copia de seguridad suelen contener pruebas valiosas de un ataque, pero, históricamente, a los equipos de seguridad les ha resultado difícil acceder a esa información y correlacionarla con otras señales.

El nuevo agente de investigación de seguridad

La nueva integración de Commvault con Microsoft Sentinel y Microsoft Security Copilotestá diseñado para cubrir esa laguna. Gracias a esta integración, los eventos de Commvault Cloud pueden transmitirse directamente al Sentinel Data Lake, lo que permite incorporar la telemetría de las copias de seguridad al mismo entorno analítico que las señales de seguridad de los terminales, la red y la nube.

En lugar de permanecer aislada, la actividad de las copias de seguridad ahora puede analizarse junto con el ecosistema de seguridad más amplio. Pero el verdadero potencial de esta integración radica en la introducción del Commvault Security Investigation Agent.

El Security Investigation Agent ayuda a los analistas a investigar posibles amenazas correlacionando las señales detectadas en los entornos de copia de seguridad con las procedentes de otras plataformas de seguridad. Cuando un analista introduce el nombre de host de un servidor, el agente recopila los eventos de seguridad generados por Commvault Threat Scan y Risk Analysis, incluyendo anomalías en las copias de seguridad, eventos de cifrado que puedan indicar actividad de ransomware, malware detectado en conjuntos de datos protegidos y copias de seguridad que contengan datos confidenciales.

A continuación, el agente correlaciona esos eventos con la telemetría de otras herramientas de seguridad en las que las organizaciones ya confían, como Netskope, CrowdStrike y Palo Alto Networks. Al analizar conjuntamente la actividad en todas estas plataformas, el agente puede ayudar a determinar si el comportamiento sospechoso identificado en los datos de copia de seguridad también aparece en los entornos de producción.

¿Cómo se consigue un agente?

En primer lugar, te explicaremos cómo puedes empezar con nuestro primer agente especializado en investigaciones de seguridad. A continuación, te contaremos cómo tenemos previsto crear rápidamente nuevos agentes —al igual que el agente Smith— para que los clientes puedan tomar el control de las investigaciones, las decisiones de Recovery y las operaciones de restablecimiento, proporcionando a los equipos de seguridad y operaciones la información que necesitan para responder con mayor rapidez y recuperarse con confianza.

Configurar el conector

Antes de poder habilitar el agente de investigación de seguridad de Commvault, deberá instalar y configurar el conector de Commvault Cloud.

Instalación: Las instrucciones para instalar Commvault Cloud Solution, junto con los permisos y los requisitos previos, se encuentran enaquí.

Captura de pantalla: Detalles de la instalación del Commvault Cloud Data Connector en el Centro de contenido de Microsoft Sentinel.

Configuración: Una vez instalado, los detalles de configuración sonaquí.

Â Utilizar Commvault Security Investigation Agent

Una vez que se haya instalado el conector de Commvault Cloud, podrás utilizar el nuevo Security Investigation Agent.

Ir ahttps://securitycopilot.microsoft.com/agents.
Busca «Commvault Security Investigation Agent».
Haz clic en «Configurar» agente.
Haz clic en «Ir al agente».
Haz clic en «Ejecutar» => «Una sola vez».
Introduce el «Nombre de host» del servidor sobre el que necesitas ayuda para investigar y haz clic en «Enviar».
1. Nota: El nombre de host es el nombre del servidor en el que queremos comprobar si hay eventos de Commvault y de socios como Netskope, CrowdStrike y Palo Alto.
El agente se ejecutará y, como resultado, obtendrás un análisis detallado y una serie de recomendaciones.

Captura de pantalla: Análisis detallado del Commvault Security Investigation Agent ejecutándose en un host que forma parte de una investigación.

Conclusión

Puede que «Matrix» haya dramatizado la idea de la multiplicación de agentes, pero captó una verdad importante sobre la escala. Cuando el agente Smith se multiplicó, la dinámica del combate cambió por completo.

La ciberseguridad está experimentando un cambio similar. Los atacantes recurren cada vez más a la automatización y a la inteligencia artificial para ampliar el alcance de sus operaciones. La única forma en que los defensores pueden mantener el ritmo es ampliando sus propias capacidades mediante sistemas inteligentes que potencien la experiencia humana.

Con la integración entre Commvault, Microsoft Sentinel y Microsoft Security Copilot —y con la introducción del Commvault Security Investigation Agent—, estamos empezando a vislumbrar cómo será ese futuro. Se trata de un mundo en el que las operaciones de seguridad ya no se ven limitadas por los silos, en el que las investigaciones avanzan más rápido y en el que los agentes basados en IA trabajan codo con codo con los analistas para reforzar la ciberresiliencia en todo el entorno.

A lo largo del próximo año, Commvault tiene previsto introducir agentes adicionales —al igual que el Agente Smith se multiplica en «Matrix»— que puedan ayudar a los equipos de seguridad a ejecutar Threat Scan, crear entornos «Cleanroom» para que los analistas del SOC investiguen incidentes de forma segura y acelerar la Recovery identificando los datos más seguros para restaurar.

También nos entusiasma colaborar con Microsoft para permitir a los clientes utilizar Microsoft Foundry con el fin de crear y ampliar sus propios agentes, lo que les permitirá adaptar la automatización y las investigaciones a sus entornos específicos.

Al combinar las amplias capacidades de ciberresiliencia de Commvault con la inteligencia artificial y el ecosistema de seguridad de Microsoft, estamos ayudando a las organizaciones a avanzar hacia un futuro en el que los agentes inteligentes ayuden a los analistas a investigar más rápido, eliminar los silos y reforzar la resiliencia en todo el entorno.

Preguntas frecuentes

P: ¿Qué son los agentes de IA en las operaciones de seguridad (SecOps/ResOps)?
R: Los agentes de IA son herramientas especializadas y autónomas que ayudan a los equipos de seguridad analizando datos, correlacionando señales y apoyando las investigaciones. Operan junto a los analistas humanos para ayudar a acelerar la toma de decisiones y mejorar los tiempos de respuesta en entornos complejos.

P: ¿Por qué resulta tan complicado hoy en día ampliar las operaciones de seguridad?
R: Los equipos de seguridad se enfrentan a una avalancha de alertas y datos procedentes de múltiples herramientas, mientras que el número de analistas crece lentamente. Este desequilibrio genera cuellos de botella, lo que dificulta investigar las amenazas de manera eficiente sin automatización ni asistencia inteligente.

P: ¿Cómo mejora el Commvault Security Investigation Agent las investigaciones de amenazas?
R: El agente correlaciona los datos de copia de seguridad con las señales procedentes de plataformas de seguridad como CrowdStrike, Netskope y Palo Alto Networks. Esta visión combinada permite a los analistas determinar si las amenazas detectadas en las copias de seguridad también han afectado a los sistemas de producción, lo que aumenta la fiabilidad de las investigaciones.

P: ¿Qué problema resuelve la integración de los datos de copia de seguridad en los flujos de trabajo de seguridad?
R: Los entornos de copia de seguridad suelen contener pruebas cruciales de los ataques, pero históricamente han estado aislados de las herramientas de seguridad. La integración de estos datos permite a los equipos analizar las amenazas de forma integral, descubrir riesgos ocultos y tomar decisiones de Recovery más fundamentadas.

P: ¿Cómo pueden las organizaciones empezar a utilizar el Commvault Security Investigation Agent?
R: Las organizaciones deben instalar y configurar el conector Commvault Cloud en Microsoft Sentinel. Una vez configurado, se puede acceder al agente a través de Microsoft Security Copilot para llevar a cabo investigaciones con solo indicar un nombre de host.

P: ¿Cómo se perfila el futuro de los agentes de IA en la ciberresiliencia?
R: El futuro apunta hacia múltiples agentes especializados que ayuden a gestionar las investigaciones, la planificación de la Recovery y las operaciones de restauración. Estos agentes contribuirán a romper los silos, acelerar la respuesta y permitir operaciones de seguridad más resilientes en todo el entorno.Ritu Singh es director sénior de producto y Rich Vorwaller es director de Gestión de Productos en Commvault.