Workspace
Agregar un proveedor
Al igual que en otros workspaces de la plataforma, un proveedor es un activo que debe agregarse al monitoreo antes de que comience la recopilación de datos.
Para agregar un proveedor, acceda a Configuración > Configuración de monitoreo > Gestión de activos, abra la pestaña Riesgo digital y haga clic en Agregar activo. En la lista de tipos de activos, seleccione Proveedor ("Obtenga visibilidad sobre su ecosistema de proveedores").
Siguiendo este flujo, llegará a la pantalla que se muestra a continuación:
Escriba el nombre del proveedor que desea monitorear y seleccione una opción de la lista desplegable que aparece.
Puede seleccionar varios proveedores a la vez para agregarlos en lote.
Si el proveedor que desea no aparece en la lista desplegable, es posible que todavía no esté en el catálogo de proveedores de Axur. En ese caso, haga clic en "Sugerir un proveedor" e informe el nombre y el dominio del proveedor. El SLA para incluir un nuevo proveedor es de 24 horas.
En Configuración de monitoreo, mantenga activado el botón Supply Chain Intel > Proveedor para monitorear filtraciones de credenciales, infraestructura expuesta y boletines de threat intelligence. Opcionalmente, defina las Categorías de boletines críticos que deben tratarse como críticas para estos proveedores, por ejemplo: Malware, Filtración de datos, Vulnerabilidad, Ransomware, Zero Day, Ataques a la cadena de suministro, Ejecución remota de código y Denegación de servicio.
Esta selección determina la marca Crítico y el filtro "Solo críticos" en el Threat Landscape del proveedor. Por último, haga clic en "Guardar activo" para agregar los proveedores a su lista de monitoreados.
Lista de proveedores
La lista de proveedores consolida todos los proveedores agregados al monitoreo. Muestra indicadores globales de monitoreo y datos resumidos por proveedor, con columnas de Credenciales corporativas, Credenciales de clientes, Dark Web, Boletines —con una insignia para los boletines críticos—, Vulnerabilidades, Certificados vencidos, Phishing, Dominios similares y Etiquetas, además de recursos de filtrado, ordenación y asignación de etiquetas.
En la columna Boletines, una insignia junto al total muestra la cantidad de boletines críticos de cada proveedor —aquellos que corresponden a las Categorías de boletines críticos definidas para él—, para que pueda identificar rápidamente a los proveedores en riesgo directamente desde la lista.
Indicadores de resumen
En la parte superior de la lista, puede ver indicadores de alto nivel que agregan datos de todos los proveedores monitoreados:
Total de proveedores monitoreados.
Total de credenciales expuestas —de empleados y de clientes—.
Total de boletines de seguridad publicados para sus proveedores.
Total de vulnerabilidades encontradas.
Estos valores se ven afectados por el filtro de proveedor activo.
Filtro
Para encontrar rápidamente un proveedor específico, use el filtro de búsqueda ubicado en la esquina superior izquierda de la pantalla. Escriba el nombre del proveedor y la lista se filtrará automáticamente.
El filtro de proveedor también afecta los valores que se muestran en los indicadores de resumen situados encima de la lista.
Ordenación
La lista de proveedores puede ordenarse en orden ascendente o descendente por cualquier columna. Haga clic en el encabezado de una columna para ordenar; haga clic nuevamente para invertir el orden.
Esto resulta útil para identificar a los proveedores más críticos o aquellos con el mayor volumen de hallazgos en su cartera.
Gestión de etiquetas
Las etiquetas permiten categorizar y organizar sus proveedores monitoreados.
Son específicas de cada cliente: las etiquetas de un cliente no son visibles para otros clientes.
Crear etiquetas: Los usuarios con perfil Manager o Expert pueden crear etiquetas personalizadas directamente en la lista de proveedores, interactuando con la celda de etiquetas de cualquier fila de proveedor.
Asignar etiquetas: Haga clic en la celda de etiquetas de un proveedor para agregar o eliminar etiquetas. Se pueden asignar varias etiquetas al mismo proveedor.
Filtrar por etiqueta: Use el filtro de etiquetas situado en la parte superior de la lista de proveedores para mostrar solamente los proveedores asociados a una etiqueta específica. Esto ayuda a agrupar proveedores por nivel de riesgo, unidad de negocio, estado del contrato o cualquier otra categoría personalizada que defina.
Detalles del proveedor
Al hacer clic en un proveedor de la lista, se abre la página de Detalles del proveedor, que presenta el informe completo de inteligencia organizado en pestañas: Descripción general, Threat Landscape, Superficie de ataque, Credenciales de colaboradores, Credenciales de clientes, Dark Web y Phishing y dominios similares.
Use Exportar, en la esquina superior derecha, para descargar el informe completo en PDF.
En todas las secciones, los indicadores de tendencia muestran la variación de cada métrica clave: semana a semana (WoW) para menciones en Dark Web, certificados vencidos y activos vulnerables; y mes a mes (MoM) para credenciales de empleados y de clientes.
Acerca del proveedor
La parte superior de la página de Detalles del proveedor muestra información general sobre el proveedor, incluida una breve descripción, el sitio web, el segmento de mercado y el contacto del Centro de confianza, cuando esté disponible. Esta información es precargada por Axur y se mantiene en el catálogo de proveedores.
Descripción general
La pestaña Descripción general resume rápidamente la postura actual del proveedor:
Tarjetas de métricas con indicadores de tendencia: boletines de filtración de datos, boletines de ransomware, certificados vencidos, variación de activos vulnerables, menciones en Dark Web, credenciales de empleados y credenciales de clientes.
Resumen de IA —Descripción general del proveedor—: una narrativa generada por IA sobre la postura de seguridad del proveedor, que incluye Caracterización de la postura de amenaza, Exposición actual y Conclusión y recomendaciones.
El resumen se genera bajo demanda: haga clic en "Generar resumen" para producir o actualizar la narrativa con base en los datos más recientes.
Cómo usarlo: Use la Descripción general como su primer punto de triaje: es su centro de comando para el proveedor. Antes de incorporar un nuevo proveedor, comience aquí para obtener una lectura instantánea antes de profundizar. Cuando se active una alerta, abra primero esta página para comprender el panorama completo antes de ir a una pestaña específica. Responde a la pregunta: "¿Es un proveedor por el que debería preocuparme ahora?".
Threat Landscape del Proveedor
Esta sección ofrece una visión general de inteligencia de amenazas del proveedor basada en las fuentes de monitoreo de CTI de Axur.
Resumen de IA: Una narrativa generada por IA que resume la postura de seguridad actual del proveedor con base en los datos de inteligencia más recientes.
Boletines de Seguridad: Eventos de ransomware, filtraciones de datos y vulnerabilidades relacionadas con el proveedor o sus productos y servicios, cada uno mostrando recuentos de IoC, CVE y TTP. Los boletines que coinciden con las Categorías de boletines críticos seleccionadas para el proveedor se marcan como Crítico y se contabilizan en una insignia en el título de la pestaña Panorama de Amenazas; use el botón “Solo críticos” para mostrar únicamente estos. Actualizado hasta 4 veces al día.
Ir a CTI: Un enlace directo al área completa de CTI de Axur para una investigación más detallada de boletines o eventos específicos.
Cómo usar: Cuando un grupo de ransomware anuncia que ha atacado a un proveedor, esto suele aparecer aquí antes que en la prensa tradicional. Si un proveedor crítico aparece con un boletín de filtración de datos, evalúe su exposición: verifique qué datos o accesos posee este proveedor, revise sus conexiones e integraciones y abra un ticket interno para remediación o escalamiento. La señal ya viene contextualizada por proveedor, sin necesidad de filtrar ruido global irrelevante.
Superficie de Ataque Externa (EASM)
Esta sección mapea la infraestructura expuesta públicamente del proveedor e identifica debilidades explotables.
Hosts y Subdominios Descubiertos: Hosts y subdominios públicos asociados al dominio principal del proveedor.
Vulnerabilidades: Los hallazgos más críticos entre los hosts descubiertos, indicando Host, Dirección IP, Puerto Abierto, CVE y Severidad.
Expiración de Certificados: Certificados TLS/SSL asociados a los hosts del proveedor, indicando Host, IP, Fecha de Expiración y Estado. Los certificados expirados o próximos a expirar pueden indicar una infraestructura descuidada.
Los datos de EASM se actualizan semanalmente.
Cómo se recopilan estos datos
La recopilación no es intrusiva y se realiza desde el exterior: abrimos conexiones comunes a los servicios que el propio proveedor ya ha publicado en internet y leemos lo que devuelven. Nunca inyectamos código, ejecutamos exploits ni intentamos autenticarnos. Las vulnerabilidades se infieren, no se prueban: comparamos la versión del software que informa el servicio con las vulnerabilidades ya catalogadas públicamente como CVE (Common Vulnerabilities and Exposures). Nunca intentamos explotar ni confirmar una vulnerabilidad, ni siquiera las conocidas.
Cómo usar: Priorización basada en riesgos. Todo lo que aparece aquí es lo que un atacante puede ver desde el exterior, sin acceso privilegiado. Si un proveedor mantiene una integración crítica con su entorno y presenta un CVE de alta severidad en un servicio expuesto, trátelo como un riesgo activo, no como una marca de cumplimiento: lleve el CVE y el servicio afectado al proveedor con un plazo de remediación. Esto también orienta sus controles compensatorios: refuerce la segmentación de la red interna para esta conexión mientras espera la corrección.
Credenciales de Empleados Filtradas
Esta sección muestra credenciales corporativas de empleados del proveedor que fueron encontradas expuestas en registros de malware (infostealers) o en filtraciones de datos de terceros.
Muestras de credenciales: Visualización parcial del correo electrónico/usuario expuesto, una contraseña ofuscada y la fecha de exposición. Las credenciales completas nunca se muestran en texto plano.
Principales Fuentes: Gráfico que muestra la distribución de las filtraciones de credenciales por fuente, por ejemplo, Foros y Mercados de la Dark Web, Telegram y Mega.io.
Las filtraciones de credenciales de empleados indican un riesgo de acceso no autorizado a los propios sistemas del proveedor. Estos datos se actualizan semanalmente.
Cómo usar: Trate un aumento en la exposición de credenciales de empleados como un indicador de compromiso de terceros. Un volumen significativo de exposiciones recientes —especialmente de infostealers, lo que significa malware activo y no filtraciones antiguas— justifica un monitoreo más atento del tráfico de los sistemas de ese proveedor y una revisión de los tokens de acceso o claves de API compartidos entre ambas partes. En respuesta a incidentes, un cliente beta utilizó esta pestaña para verificar si las credenciales de un incidente de Atlassian eran recientes o históricas, lo que orientó directamente la manera en que comunicó el riesgo a su equipo de crisis.
Credenciales de Clientes Filtradas
Esta sección muestra credenciales de usuarios finales capturadas por malware mientras accedían a las aplicaciones o servicios del proveedor.
Muestras de credenciales: Visualización parcial del correo electrónico/usuario expuesto, una contraseña ofuscada, la URL de Acceso afectada —la aplicación del proveedor donde se capturó la credencial— y la fecha de exposición.
Las filtraciones de credenciales de clientes indican que los usuarios de la plataforma del proveedor pueden tener dispositivos comprometidos. Esto representa un riesgo derivado que puede afectar a su organización si utiliza las mismas aplicaciones del proveedor. Estos datos se actualizan semanalmente.
Cómo usar: Threat hunting y delimitación de la respuesta a incidentes. Si está investigando un posible compromiso y la plataforma de un proveedor aparece aquí con un alto número de usuarios afectados, verifique inmediatamente si alguna de esas credenciales corresponde al dominio de su organización. La pregunta central es: “¿mis personas fueron afectadas a través de este proveedor?”. Una vez confirmada la exposición, inicie el restablecimiento de contraseñas, revoque las sesiones activas y audite a qué accedieron esos usuarios en el lado del proveedor alrededor de la fecha de exposición.
Dark Web y Menciones de la Marca
Esta sección monitorea la presencia del proveedor en comunidades de ciberdelincuencia de la Dark Web, canales de Telegram y foros clandestinos.
Resumen de IA: Una narrativa generada por IA que resume la actividad más relevante de la Dark Web relacionada con el proveedor.
Principales Perfiles y Canales que Mencionan la Marca del Proveedor: Los perfiles y canales más activos que mencionan al proveedor, incluida su plataforma y el recuento total de menciones.
Menciones por Canal: Detalle de dónde se está discutiendo al proveedor, por ejemplo, Telegram, Twitter, WhatsApp, sitios web y foros.
Ir a Threat Hunting: Un enlace directo a Threat Hunting de Axur con filtros previamente configurados para plataformas de mensajería y foros, lo que permite una investigación manual más detallada sin necesidad de volver a configurar la búsqueda.
Los datos de la Dark Web se actualizan hasta 4 veces al día.
Cómo usar: Su radar de alerta temprana. Cuando un ataque llega a las noticias, la planificación muchas veces ya llevaba días o semanas desarrollándose en estos canales. El resumen de IA no es simplemente un recuento de ruido: identifica de qué trata la conversación —alguien vendiendo acceso, un actor que reclama un compromiso o una discusión coordinada para explotar un servicio específico—. Si un grupo de ransomware conocido menciona a su proveedor en el contexto de acceso no autorizado o exfiltración de datos, responda de inmediato: escale internamente, alerte al proveedor y, si su entorno está conectado al suyo, inicie un threat hunting activo. Esta es la ventana en la que todavía puede contener el radio de impacto.
Phishing y Dominios Lookalike
Esta sección monitorea dominios similares (lookalike/typosquatting) y páginas de phishing que se hacen pasar por la marca del proveedor, señales de que el proveedor está siendo utilizado como señuelo en ataques que pueden alcanzar a su organización.
Nuevas detecciones por día: Gráfico de líneas de los últimos 30 días, con series separadas para Phishing y Dominios Lookalike, para que pueda identificar picos de actividad.
Indicadores de amenaza (Threat indicators): Gráfico que destaca las señales de weaponización de los dominios detectados —por ejemplo, registro MX, página de inicio de sesión, certificado SSL y antigüedad del dominio—, ayudando a distinguir un dominio simplemente registrado de uno ya preparado para atacar.
Páginas de phishing (activas actualmente): Tabla de las páginas de phishing actualmente activas que imitan al proveedor, con una fila para cada una, un Risk score y una captura de pantalla. Pase el cursor sobre el Risk score para ver el desglose que compone la puntuación.
Dominios similares (Lookalike domains): Tabla de los dominios similares identificados para el proveedor, con los datos de infraestructura de cada dominio: Referencia, Fecha de detección, Fecha de creación del dominio, IP (registro A), Registro MX, Nameserver y Puertos abiertos.
Ver todo (View all): Botones que abren Threat Hunting de Axur en una nueva pestaña, con la búsqueda ya completada para los phishings o dominios lookalike del proveedor, lo que permite una investigación manual más detallada.
Estos datos se actualizan cada 6 horas.
Cómo usar: La suplantación de la marca del proveedor es una señal de un ataque en preparación, muchas veces dirigido contra sus clientes y socios, lo que lo incluye a usted. Priorice por Risk score e indicadores de amenaza: un dominio con MX, página de inicio de sesión y SSL activos ya está preparado para capturar credenciales, mientras que uno recién registrado todavía representa solo una exposición potencial. Al encontrar una campaña activa que imita a un proveedor crítico, escale internamente, alerte al proveedor y utilice “Ver todo” para monitorear la evolución de la campaña en Threat Hunting.
Integraciones: API y Webhooks
Puede consumir inteligencia sobre proveedores en sus propios sistemas (SIEM, ticketing, SOAR). Las integraciones se administran en Configuración → API e Integraciones.
API REST: Consulte Dark Web, Threat Landscape (boletines estándar y críticos), credenciales corporativas y de clientes, Superficie de Ataque, dominios lookalike (endpoint lookalike-domains, que devuelve tanto páginas de phishing como dominios similares), indicadores de tendencias y el resumen de IA. Consulte la documentación para desarrolladores enlazada en la página de API e Integraciones.
Feeds y Webhooks 2.0: En API e Integraciones → Feeds, haga clic en Agregar feed para recibir actualizaciones continuas sobre eventos de proveedores. Elija un modo de entrega:
Pull — usted realiza solicitudes GET para recuperar eventos cuando sea necesario (agregue
?dry-run=truepara probar sin consumir eventos).Push — los eventos se envían automáticamente al endpoint configurado (Webhook 2.0).
Slack — los eventos se entregan a un canal de su workspace de Slack conectado.
Los tipos de eventos incluyen: nuevos boletines, nuevos boletines críticos, certificados expirados, principales actores de amenazas, nuevas credenciales corporativas, nuevas credenciales de clientes y nuevos dominios lookalike (phishing y dominios similares). Los feeds pueden filtrarse por activos, clientes y secciones (deep-dark-web, attack-surface, bulletins, critical-bulletins, corporate-credentials, customer-credentials, lookalike-domains).
Alertas y Notificaciones
Configure alertas automáticas activadas por cambios relevantes en sus proveedores monitoreados. Las alertas pueden delimitarse por proveedor y por tipo de evento, por ejemplo, nuevos boletines críticos, certificados expirados, nuevas credenciales, actividad en la Dark Web o nuevos dominios lookalike/phishing, para que pueda concentrarse en lo que importa y evitar la fatiga de alertas. Las Categorías de boletines críticos definidas al agregar un proveedor determinan qué boletines se consideran críticos para las alertas.