Detección de amenazas
Aprende cómo el motor de detección de cside identifica scripts maliciosos y alerta automáticamente a tu equipo.
La detección se ejecuta de forma asíncrona y genera hallazgos o alertas. Las notificaciones siguen tu configuración; detectar una amenaza no significa que cada miembro reciba un mensaje.
Las alertas de detección de amenazas son totalmente configurables mediante las configuraciones de notificacion. Elige que miembros del equipo o direcciones externas reciben notificaciones, o enruta las alertas a Slack, Discord, Jira, Linear, S3 o webhooks personalizados en lugar de correo electronico.
Cómo funciona
Cada script de terceros que carga en tu sitio pasa por un pipeline de multiples etapas. Primero, cside desofusca y normaliza el script, luego lo verifica contra reglas de detección estatica y lo puntua según varias senales de amenaza. Si un script supera el umbral de riesgo, cside ejecuta un análisis más profundo con IA. Los scripts maliciosos activan una alerta a todos los destinos de notificacion configurados.
Métodos de detección
cside usa un enfoque por capas para identificar scripts maliciosos:
Fuentes maliciosas conocidas
Los scripts se verifican contra bases de datos de fuentes maliciosas conocidas, incluyendo:
- Hostnames: dominios conocidos por servir contenido malicioso
- URLs: URLs específicas que han sido marcadas como maliciosas
- Direcciones IP: direcciones IP asociadas con actividad maliciosa
Payloads maliciosos conocidos
El contenido de los scripts se compara contra payloads maliciosos conocidos usando:
- Hashes de archivos: comparaciones SHA-256 y otros hashes contra bases de datos de payloads de scripts maliciosos conocidos
Normalizacion de scripts
Antes del análisis, cside desofusca y normaliza los scripts para revelar lo que realmente hacen. Esto revierte las tecnicas comunes de ofuscacion para que los atacantes no puedan evadir la detección simplemente disfrazando su código.
Puntuacion de amenazas
cside calcula una puntuacion de riesgo para cada script basandose en senales como cambios de contenido, antiguedad del dominio, indicadores de comportamiento y cuántos sitios están afectados. Los scripts por encima del umbral de riesgo se escalan para un análisis más profundo.
Análisis profundo con IA
Los scripts de alto riesgo pasan por un análisis con IA que detecta amenazas que las reglas estaticas no capturan:
- Código malicioso ofuscado - scripts que intentan ocultar lo que hacen
- Amenazas zero-day - patrones de ataque que no están en ninguna base de datos
- Anomalias de comportamiento - scripts haciendo cosas que no deberian
Alertas y notificaciones
Cuando se detecta un script malicioso, cside puede notificar a tu equipo a traves de cualquier destino configurado en tus configuraciones de notificacion - incluyendo correo electronico, Slack, Discord, Jira, Linear, S3 o webhooks personalizados.
Para configurar alertas de detección de amenazas, crea una configuración de notificacion con el trigger Script Threat Detected. Consulta Notificaciones para instrucciones de configuración.
De la detección al bloqueo
La detección se ejecuta de forma asíncrona y genera hallazgos o alertas. Las notificaciones siguen tu configuración; detectar una amenaza no significa que cada miembro reciba un mensaje.
En alertas de URL, IP, nombre de host o dominio, Bloquear puede detener scripts coincidentes en dominios con Script Method, en planes Business o superiores. Las alertas de hash solo ofrecen Resolver. Consulta Resolver alertas antes de actuar.
Las protecciones existentes, como el bloqueo de listas de amenazas, Vendor Permissions y Approved Tags, pueden aplicar restricciones sin una acción manual sobre la alerta. Scan Method no aplica bloqueos durante la ejecución del navegador; usa tu propia CSP para impedir cargas no autorizadas. Consulta Configurar Scan Method.
Detección de amenazas vs. detección de vulnerabilidades
cside ofrece dos funciones de seguridad complementarias:
| Funcion | Detección de amenazas | Detección de vulnerabilidades |
|---|---|---|
| Que detecta | Scripts activamente maliciosos | Scripts con CVEs o avisos conocidos |
| Método de detección | Fuentes maliciosas conocidas, hashes de payloads, análisis dinamico, IA | Comparación de versiones contra bases de datos de vulnerabilidades |
| Entrega de alertas | Destinos de notificacion configurados | Alertas en el dashboard y destinos de notificacion configurados |
| Ejemplo | Un script sirviendo un cryptominer desde un CDN comprometido | lodash 4.17.21 con un CVE de prototype pollution |
Estas dos funciones cubren angulos diferentes - usa ambas para la mejor cobertura de los scripts de terceros de tu sitio.
Thanks for your feedback!