CIS Control 10: Defensa contra malware, más que el antivirus de siempre

El décimo Control CIS es el que la gente cree entender mejor —"pues tener antivirus, ¿no?"— y el que más ha cambiado. La defensa contra malware hoy es mucho más que el antivirus tradicional, porque el malware dejó de ser el virus simple de hace veinte años. El Control 10 pide defensas modernas: que no solo reconozcan amenazas ya catalogadas, sino que detecten comportamientos maliciosos y puedan responder.

Por qué el antivirus clásico se quedó corto

El antivirus tradicional funciona por firmas: tiene una lista de malware conocido y bloquea lo que coincide. El problema es que el malware moderno cambia constantemente para no coincidir con ninguna firma, y aparecen amenazas nuevas cada día que aún no están en ninguna lista. Contra eso, un enfoque puramente de firmas siempre va un paso atrás. Por eso surgió una nueva generación —EDR y XDR— que vigila el comportamiento: en lugar de preguntar "¿conozco este archivo?", pregunta "¿está este programa haciendo algo que el malware haría?" (cifrar archivos en masa, inyectarse en procesos, comunicarse con servidores sospechosos). Eso permite atrapar amenazas nunca antes vistas.

Qué pide en la práctica

• Software antimalware desplegado y actualizado en los equipos, con las capacidades modernas de detección por comportamiento, no solo firmas.
• Capacidad de respuesta: que no solo detecte, sino que pueda aislar un equipo comprometido y, en soluciones avanzadas, revertir cambios maliciosos.
• Defensas específicas como el bloqueo de la ejecución automática de dispositivos externos (el USB infectado), un vector clásico.

¿Qué salvaguardas incluye el Control 10 en CIS v8?

Son 7 salvaguardas.

CIS agrupa las salvaguardas en tres grupos de implementación. IG1 es la higiene básica que recomienda para cualquier organización; IG2 suma lo necesario para empresas con más sistemas, personal de TI y datos sensibles; IG3 completa el control para organizaciones con requisitos de seguridad altos.

• IG1 (10.1 a 10.3): desplegar y mantener software antimalware; configurar la actualización automática de sus firmas; y deshabilitar la ejecución y reproducción automática de medios removibles.
• IG2 (10.4 a 10.7): escaneo automático de los medios removibles al conectarlos; habilitar las funciones anti-explotación del sistema operativo; administrar el antimalware desde una consola central; y usar antimalware basado en comportamiento.

El Control 10 no tiene salvaguardas exclusivas de IG3. Lo relevante es que la detección por comportamiento ya aparece en IG2: para CIS, en una empresa con sistemas y datos que proteger, el antivirus solo por firmas ya no cumple.

¿Por qué la consola central es una salvaguarda y no un lujo?

Sin administración centralizada, nadie sabe en qué equipos el antimalware está desactivado, desactualizado o fue desinstalado. Y ese es justamente uno de los primeros pasos de un ataque de ransomware: apagar la protección antes de cifrar. Una consola central permite ver en un solo lugar:

• Qué equipos tienen el agente instalado y cuáles no.
• Cuáles tienen firmas o motor desactualizados.
• Qué detecciones hubo, en qué equipo y qué acción se tomó.
• Cuándo alguien intentó desactivar o desinstalar la protección.

¿Por dónde empezar?

1. Cobertura antes que funciones: un producto sencillo instalado en el 100% de los equipos protege más que uno avanzado en el 70%.
2. Bloquea la desactivación por parte del usuario con protección contra manipulación.
3. Deshabilita la ejecución automática de USB por política, en todos los equipos a la vez.
4. Define quién atiende las alertas y en cuánto tiempo. Una detección que nadie revisa no detiene nada.

¿Qué evidencia pide un auditor para el Control 10?

Si tu empresa busca SOC 2 o ISO 27001, este control no se trabaja dos veces. En la ISO 27001:2022 corresponde a el control 8.7 (protección contra malware). La evidencia que normalmente se revisa:

• El reporte de cobertura de la consola: equipos con agente contra el total del inventario.
• El estado de actualización del motor y de las firmas.
• La política aplicada, incluida la protección contra manipulación y el bloqueo de ejecución automática de USB.
• Los registros de detecciones y la acción tomada en cada una.
• El procedimiento de atención de alertas y quién lo ejecuta.

Tener esto organizado desde el principio es lo que convierte el control en algo que se puede demostrar, no solo afirmar. La diferencia entre ambos marcos la explicamos en SOC 2 vs ISO 27001.

El aterrizaje honesto

Hay dos matices importantes. Uno: el antimalware moderno es potente, pero requiere afinación para no bloquear cosas legítimas, sobre todo en servidores. Dos, y fundamental: ninguna defensa contra malware es infalible. Es una capa, no un escudo mágico, y por eso convive con todas las demás —parcheo, control de acceso, respaldos para cuando algo se cuela—. La defensa moderna reduce enormemente el riesgo, pero la seguridad que descansa en un solo producto "que lo detiene todo" es una ilusión que el marketing vende y la realidad desmiente.