Echo: la primera Plataforma SOC con IA diseñada específicamente para Linux y Kubernetes. Del kernel al veredicto.
Detección y respuesta en tiempo de ejecución para Linux, Kubernetes y la nube, con agentes de IA que se encargan de sus operaciones de seguridad de Nivel 1 y Nivel 2. El agente eBPF de Echo registra cada proceso y conexión en el momento en que ocurren. Con ese contexto completo, la IA de Echo detecta lo que otras herramientas pasan por alto, descarta los falsos positivos, detiene ataques en curso y le envía a su equipo solo lo que necesita su atención.
Eco
Para equipos de SOC, CISOs, operadores de telecomunicaciones, usuarios de IBM Power, MDRs, MSSPs, gobierno y cualquiera que tenga que demostrar lo que pasó.
Sus analistas viven entre ruido. Echo parte de la historia completa.
El día de un analista de SOC son miles de alertas, la mayoría falsos positivos, cada una un fragmento que hay que armar a partir de registros y consolas. Echo no parte de las alertas. Parte de la cadena causal completa, así que no hay nada que armar ni nada que adivinar.
La cola de un analista hoy
❑¿Están relacionadas? ¿Quién lo inició? ¿Qué pod? ¿Fue un despliegue de rutina? Un analista tiene que armarlo a mano, y una IA que lee las mismas alertas tiene que adivinar.
Lo que lee Echo
✓La misma actividad, registrada tal como ocurrió y vinculada por causa y efecto. Echo razona sobre hechos, y usted puede verificar cada uno.
Los modelos de IA se están volviendo un commodity. Los datos completos y causales de tiempo de ejecución no lo son.
Una IA es tan buena como sus datos.
Las herramientas de seguridad tradicionales ven solo una parte del panorama, lo que lleva a ataques no detectados, falsos positivos y un trabajo enorme para la respuesta a incidentes. Con datos fidedignos completos, de calidad de auditoría y vinculados por causa y efecto, una IA puede determinar automáticamente qué ocurrió realmente.
Convertir esa idea en un sistema en tiempo real que reúna los datos, los vincule por causa, identifique la actividad sospechosa y use IA para decidir si es maliciosa.
Registrar cada proceso, conexión y acceso a archivos en miles de hosts de una empresa, vincularlo en un enorme grafo que captura el contexto de los eventos y guardarlo durante 90 días, manteniendo el consumo de CPU del host por debajo del 2%.
Usar modelos de IA locales y rentables que entienden Linux, Kubernetes y los sistemas en la nube para hacer análisis experto de SOC.
La primera Plataforma SOC con IA en hacer realidad la visión.
Otras herramientas desactivan señales para que las personas den abasto. Echo las mantiene activas.
Un ataque rara vez empieza por el daño. Tras el acceso inicial, que puede llegar por un exploit conocido, un zero-day sin firma o credenciales usadas en silencio, los atacantes exploran. Hacen reconocimiento, escalan privilegios, establecen persistencia y hacen pequeños movimientos laterales. Solo después actúan sobre sus objetivos.
Existen detecciones para esa etapa intermedia, pero son ruidosas y difíciles de ajustar, así que los equipos de SOC las desactivan o aprenden a ignorarlas. La mayoría de las herramientas detectan un ataque en la puerta de entrada, si el exploit es conocido, o al final, cuando el daño ya está en curso.
Las señales solo abruman a un SOC cuando las personas tienen que leerlas. Los agentes de IA de Echo revisan cada una con todo el contexto causal, mantienen activas las señales de la etapa intermedia y las vinculan en una sola traza, para que Echo pueda responder antes de que el atacante logre su objetivo.
Vigila cada evento. Destaca la actividad que importa.
Echo es un sistema en tiempo real, no un proceso por lotes. Cada evento actualiza el grafo causal en el momento en que ocurre, y cada etapa posterior se ejecuta de forma continua.
Nivel 1 y Nivel 2, resueltos. Su equipo parte de la respuesta.
Malicioso. contractor-17 abrió una shell interactiva dentro de web-7f9c mediante kubectl exec, se conectó a un host no reconocido e intentó leer /etc/shadow. No coincide con ningún despliegue ni ticket de cambio.
✓ Se eliminó el pod; el cluster se recuperó solo
❑ Rotar el token de la cuenta de servicio de web-7f9c
"Es como magia. Echo les entrega a nuestros analistas un informe listo para auditoría respaldado por un expediente completo de la actividad del atacante."
Cinco días adivinando con otras herramientas. Minutos hasta la evidencia con Spyderbat.
Una caída nocturna dejó fuera de línea el cluster de Kubernetes de un cliente cuando las conexiones TLS empezaron a fallar. Splunk, Datadog y su EDR no mostraron nada útil. Tras cinco días de diagnóstico, y con un contratista negando cualquier cambio, DevOps escaló el caso a seguridad.
En minutos, Spyderbat mostró
"Spyderbat tiene componentes distintos que le permiten ver las cosas como eran, como son y como deberían ser."
"Spyderbat es una opción excelente para empresas que buscan una protección en tiempo de ejecución rica y específica para Kubernetes."
Una Plataforma SOC con IA que es dueña de sus datos y actúa sobre ellos.
Datos a nivel de kernel bajo su control
Cada acción de usuarios y del sistema, visualizada y reproducible al instante, durante 90 días.
Detectados mientras ocurren
Abuso interno, configuraciones erróneas, zero-days y vulnerabilidades conocidas, detectados y respondidos mientras el ataque aún está en curso.
Barreras de protección y respuesta automatizada
Aprende el comportamiento normal de cada aplicación y bloquea las desviaciones. Las acciones integradas y personalizadas bloquean IPs o eliminan pods para que el cluster se recupere solo.
1 de cada 260 millones llegó a una persona
Eso fue un día en nuestro propio entorno. Todo lo demás se clasificó, se investigó o se apartó automáticamente.
Sus datos siguen siendo suyos. Despliéguelo donde quiera.
Echo es la Plataforma SOC con IA diseñada específicamente para Linux y Kubernetes.
La mayor parte de la experiencia en seguridad, y de las herramientas de seguridad, nació en los endpoints de Windows. Echo se creó para la infraestructura sobre la que realmente funcionan las empresas modernas: servidores Linux, los clusters de Kubernetes construidos sobre ellos y la nube donde se ejecutan.
Cada servidor, de bare metal a la nube
RHEL, Ubuntu, Amazon Linux, Debian, Rocky y más, en x86, ARM e IBM Power.
Clusters, pods y plano de control
Siga un ataque a través de VMs, pods, namespaces y nodos, hasta la carga de trabajo y la persona o el proceso que lo inició.
AWS, híbrida y multinube
La actividad en tiempo de ejecución, unida al contexto de la nube, como roles de IAM y etiquetas.
La IA que está llevando a producción
Los servidores de modelos, agentes y pipelines también se ejecutan en Linux y Kubernetes. Vea cada proceso, archivo y conexión que toca un agente.
La mejor prueba son sus propios datos.
Cada forma es algo que ocurrió, conectado con lo que lo causó. Pase el cursor sobre una para ver qué es y cómo se conecta con el resto del ataque.
La máquina de Kubernetes donde se ejecutó todo lo de abajo. Cada paso de esta traza ocurrió en ella.
Llevó a: sshd · contractor-17El inicio de sesión. contractor-17 se conectó por SSH a las 13:58. Todo lo de abajo se remonta a esta sesión.
Causado por: nodo de Kubernetes · Llevó a: kubectl execcontractor-17 abrió una sesión interactiva dentro de un contenedor de producción en ejecución. Una herramienta de administración normal y una vía de entrada común. Por sí sola, demasiado ruidosa para que la mayoría de los SOC alerten sobre ella.
Causado por: sshd · contractor-17 · Llevó a: containerd-shimEl runtime de contenedores iniciando el comando solicitado dentro del pod. Vincula el lado del host de la traza con el lado del contenedor.
Causado por: kubectl exec · Llevó a: contexto del contenedorNamespace prod, pod web-7f9c, contenedor nginx. Echo asocia este contexto a cada proceso que se ejecuta dentro, así siempre sabe dónde se ejecutó.
Causado por: containerd-shim · Llevó a: nginx worker · pid 4127El servidor web. Sirve páginas y no tiene motivo para iniciar una shell.
Causado por: contexto del contenedor · Llevó a: bash -iShell desde el servidor web. Una shell interactiva lanzada por nginx. Vinculada a lo que vino antes, es claramente anómala.
Causado por: nginx worker · pid 4127 · Llevó a: consulta DNS, conexión a :4444, cat /etc/shadowUna consulta a rare-domain.example, un dominio poco visto. Por sí sola, es el tipo de señal débil que la mayoría de las herramientas desactiva.
Causado por: bash -iConexión saliente por un puerto inusual. Es la reverse shell, el control remoto del atacante. Echo bloqueó esta IP automáticamente.
Causado por: bash -i · Llevó a: 203.0.113.44Acceso a credenciales. Un intento de leer los hashes de contraseñas almacenados.
Causado por: bash -iEl servidor del atacante, fuera de su red. La línea punteada muestra la conexión saliendo del cluster.
Causado por: conexión a :4444