La seguridad en red vive un momento delicado: el perímetro clásico se ha diluido, las empresas dependen cada vez más de servicios cloud y SaaS, y el “inventario real” de activos expuestos a Internet cambia casi a diario. En ese contexto, Kaspersky ha anunciado una actualización mayor de Kaspersky Anti Targeted Attack 8.0 (KATA 8.0), orientada a mejorar la observabilidad del tráfico, detectar amenazas avanzadas antes y con mayor precisión, y acelerar las investigaciones mediante integraciones más estrechas con su propio ecosistema —y con soluciones de terceros.

El mensaje de fondo es claro: la defensa ya no se sostiene solo con bloquear, sino con ver, interpretar y actuar a tiempo. Y esa ventana se está estrechando. A medida que crece la superficie de ataque por la mezcla de proveedores, externalizaciones, “shadow IT” y sistemas heredados, los equipos de seguridad pueden quedarse a ciegas justo en el punto en el que los atacantes buscan ventaja: activos no inventariados, configuraciones olvidadas, servicios expuestos y flujos de datos que nadie está monitorizando de forma continua.

Detección de anomalías por protocolo: buscar desviaciones donde más duele

Uno de los cambios relevantes de KATA 8.0 es la incorporación de detección de anomalías centrada en protocolos que suelen ser un objetivo recurrente en intrusiones: DNS, HTTP y Kerberos, entre otros. La lógica no es “inspeccionar todo”, sino identificar desviaciones específicas de cada protocolo, teniendo en cuenta el contexto y patrones de uso de la propia organización.

Este enfoque apunta a un problema real de muchas plataformas de monitorización: el exceso de alertas. La promesa aquí es mejorar la precisión y reducir falsos positivos al concentrarse en comportamientos anómalos que, en la práctica, suelen correlacionar con actividad maliciosa (movimiento lateral, persistencia, abuso de credenciales o comunicaciones encubiertas).

Shadow IT bajo el radar: más de 5.000 servicios externos

Otra novedad destacada es la detección de shadow IT, con soporte para más de 5.000 servicios externos. El objetivo es identificar el uso de servicios públicos no autorizados —por ejemplo, almacenamiento o colaboración— y recuperar control sobre flujos de datos corporativos que a menudo se escapan por “atajos” operativos: una cuenta personal, una herramienta gratuita, un SaaS que alguien activó sin pasar por IT.

En términos de seguridad, esto no es solo gobierno interno: también es prevención de fuga de información, reducción de riesgo de cuentas sin MFA, y visibilidad sobre dependencias que pueden convertirse en un vector de ataque o de exfiltración.

Análisis retrospectivo con PCAP: reabrir casos con reglas nuevas

KATA 8.0 introduce la posibilidad de escaneo retrospectivo de copias de tráfico subidas por los analistas en forma de PCAP (de manera manual o automática desde otros sistemas). Es un detalle técnico con implicaciones prácticas: cuando se actualizan motores, firmas o reglas, un tráfico que “parecía limpio” en el momento del incidente puede revelar señales que antes no se detectaban.

Esto es especialmente útil en investigaciones post-incidente, auditorías forenses y revisiones tras una campaña que ha afectado a un sector. En lugar de depender solo de la telemetría del momento, se gana la capacidad de reanalizar evidencias con inteligencia más reciente.

No solo IoC maliciosos: también observables “limpios”

En la misma línea, Kaspersky indica que ahora KATA puede recolectar observables del tráfico —nombres de archivo, URLs y hashes— no solo de objetos maliciosos, sino también de aquellos inicialmente considerados seguros. Para un SOC, esto amplía el contexto: permite correlacionar actividad “aparentemente normal” con patrones sospechosos, usuarios potencialmente comprometidos o fases tempranas de una intrusión que aún no “salta” como malware.

En otras palabras: menos dependencia del veredicto binario “malicioso/no malicioso” y más capacidad de investigar con señales.

Integraciones: del correo al endpoint y el firewall, con menos fricción

Más allá de detección, KATA 8.0 pone el foco en integrar mejor la investigación y la respuesta:

• Correo: integración con Kaspersky Security for Mail Server (KSMS) para escanear en el sandbox adjuntos protegidos con contraseña de forma dinámica. Además, las alertas enriquecidas muestran qué acciones ejecutó KSMS (bloqueo, borrado, etc.).
• MDR: en organizaciones con Managed Detection and Response, KATA 8.0 actúa como sensor de red enviando telemetría al MDR cloud. Los analistas del MDR pueden pedir contexto adicional directamente desde su interfaz, acelerando investigaciones sin “ida y vuelta” con el cliente.
• Endpoint: soporte para el envío automatizado de archivos desde Kaspersky Endpoint Security (KES) al KATA Sandbox, reforzando el análisis de ficheros sospechosos detectados en equipos.
• Respuesta en red: nuevos conectores con Check Point NGFW para generar reglas de bloqueo basadas en actividad maliciosa detectada y aplicarlas en el firewall casi en tiempo real.

Esta última pieza es especialmente relevante en entornos con presión operativa: detectar es importante, pero contener rápido es lo que reduce impacto. Automatizar bloqueos sin perder trazabilidad es una forma de cerrar el “gap” entre detección y mitigación.

El paso hacia una consola unificada: OSMP en el horizonte

Kaspersky también avanza que, como parte de su estrategia a largo plazo, planea migrar KATA a la Open Single Management Platform (OSMP) en futuras versiones, con la idea de habilitar una integración más fluida con soluciones propias y componentes de terceros desde una única consola web, abarcando NDR, EDR, SIEM, XDR y más.

Ilya Markelov, responsable de la línea de producto de plataforma unificada en Kaspersky, enmarca la actualización en términos de visibilidad y capacidad proactiva, destacando la combinación de analítica avanzada e integraciones para decisiones de respuesta más confiables.

---

Preguntas frecuentes

¿Qué es NDR y por qué es clave en 2026?
NDR (Network Detection and Response) se centra en detectar y responder a amenazas observando el tráfico de red. En un mundo con SaaS, teletrabajo y “perímetro difuso”, la red vuelve a ser un punto de verdad para descubrir intrusiones, movimiento lateral y exfiltración.

¿Qué aporta la detección de anomalías por DNS, HTTP o Kerberos?
Aporta contexto por protocolo: en vez de alertar por volumen, busca desviaciones que suelen aparecer en intrusiones reales (abuso de autenticación, comunicaciones encubiertas, consultas anómalas). La meta es detectar antes con menos falsos positivos.

¿Para qué sirve el análisis retrospectivo con PCAP en un SOC?
Permite reanalizar tráfico histórico con reglas y motores actualizados, descubriendo indicadores que antes pasaron desapercibidos. Es muy útil en forense digital, revisiones post-incidente y caza de amenazas.

¿Cómo ayuda la integración con firewalls como Check Point NGFW?
Convierte detección en contención: si se identifica actividad maliciosa, se pueden generar reglas de bloqueo y aplicarlas rápidamente, reduciendo tiempo de exposición y el coste operativo de la respuesta manual.

vía: kaspersky