Ciberseguridad Tema 3: Investigación de Incidentes

Tema 3. Investigación de los incidentes de ciberseguridad

• Introducción a la unidad formativa 3: La unidad formativa 3 se enfoca en la detección y análisis de incidentes de ciberseguridad, incluyendo controles, herramientas y mecanismos.

• Controles, herramientas y mecanismos de monitorización: Incluye mecanismos de monitorización, recopilación de información de diversas fuentes y el proceso de análisis y priorización.

• Procedimiento de análisis de evidencias y auditorías: Describe las actividades durante el análisis de un incidente, incluyendo el análisis de evidencias, las técnicas de auditoría de seguridad y el análisis de malware.

• Monitorización, detección, identificación y análisis de OSINT: Define OSINT, explica cómo obtener conocimiento a través de la recopilación de información y relaciona las herramientas utilizadas, incluyendo buscadores generales y especializados. También presenta un marco de referencia para OSINT.

• Actividad relacionada con OSINT: Los estudiantes deben utilizar la herramienta Google Hacking para obtener información de la web.

Tema 3. Controles, herramientas y mecanismos de monitorización

• Monitorización y evidencias: La detección precisa de incidentes es un desafío para muchas organizaciones debido a la gran cantidad de posibles incidentes e insuficiencia de los recursos para el análisis profundo de los datos.

• Identificar el incidente: Identificar un presunto incidente requiere el análisis de pruebas de sucesos inusuales, comportamientos anormales, etc.

• Analizar toda la información: Determinar qué sucedió realmente.

• Confirmar el incidente: Confirmar que realmente se ha sido objeto de un ataque o de una violación relacionada con la ciberseguridad.

• Desencadenantes o alertas: Se distingue entre un precursor (señal de un posible incidente) y un indicador (señal de un incidente ocurrido o en curso).

Tema 3. Procedimientos de análisis de evidencias y auditorías técnicas

• Análisis del incidente: El análisis de incidentes es complejo debido a la gran cantidad de indicadores, posibles falsos positivos y la necesidad de analizar cada indicador para determinar si es legítimo.

• Costosos errores: Sin un personal competente y capacitado, el análisis puede ser ineficaz.

• Determinar si es un incidente real: La decisión se basa en un análisis detallado del incidente, considerando el impacto funcional, el posible impacto en la información y la capacidad de recuperación.

Tema 3. Monitorización, detección, identificación y análisis de OSINT

• ¿Qué es OSINT? OSINT se refiere a la Inteligencia de fuentes abiertas, es decir, la recopilación de información de fuentes públicas como la web.

• Ejemplos de fuentes: Se detallan fuentes comunes, como medios de comunicación, redes sociales, foros, conferencias, etc.

• Ejemplos de uso de OSINT: Ejemplos de uso de OSINT para conocer la reputación de una empresa o persona, realizar estudios sociológicos o evaluar brechas de seguridad.

Tema 3. Investigación de los incidentes de ciberseguridad

• Vectores de ataque: Los incidentes pueden ocurrir de muchas maneras, por lo que las organizaciones necesitan estar preparadas para diferentes vectores de ataque.

• Medios externos/extraíbles: Ataques a través de dispositivos periféricos, como USB infectados.

• Desgaste: Ataques que utilizan fuerza bruta para comprometer o destruir sistemas.

• Web: Ataques realizados a través de sitios web o aplicaciones web.

• Correo electrónico: Ataques mediante mensajes de correo electrónico o archivos adjuntos.

• Suplantación de identidad: Ataques que usan la sustitución de algo benigno por algo malicioso, involucrando puntos de acceso inalámbricos fraudulentos o ataques de inyección SQL.

• Otros: Ataques que no encajan en las categorías anteriores.

• Matriz MITRE ATT&CK: Es una base de conocimiento que clasifica tácticas, técnicas y procedimientos (TTP) utilizados por los atacantes.

• Priorización o Triaje: Se priorizan los incidentes según factores como el impacto funcional, el impacto en la información y la capacidad de recuperación.

• Análisis de evidencias: Recopilación y análisis de evidencias para la investigación de incidentes.

• Análisis de malware: Análisis de malware en un entorno controlado.

• Herramientas OSINT: Herramientas y métodos para la recopilación de información OSINT.

• Proceso OSINT: Etapas del proceso de recopilación de información OSINT, incluyendo requisitos, identificación de fuentes, adquisición y análisis.

Este cuestionario aborda la investigación de incidentes de ciberseguridad, explorando controles, herramientas y técnicas de análisis. Se centra en la detección, monitorización y análisis de evidencias, así como en la recopilación de información a través de OSINT. A través de diversas actividades, se evaluará el entendimiento de los mecanismos utilizados en la gestión de incidentes.