Gestión de Incidentes y Respuesta

Proceso de pasos que sigue un atacante para comprometer un sistema.

Identificar un ataque en una etapa temprana de la cadena de ataque.

Etapa en la cadena de ataque donde el atacante realiza acciones para lograr su objetivo.

Conjunto de acciones que se toman cuando se produce un incidente de seguridad.

Primer paso de la respuesta a incidentes; reconocer que hay un problema de seguridad.

Sistemas como SIEM, EDR, NDR y SOAR para monitorear la red y actividades de seguridad.

Consiste en la concienciación sobre seguridad de todos los empleados; reconocer eventos inusuales.

Fuentes externas proporcionan información de seguridad sobre el entorno.

Contrato con un proveedor especializado para la respuesta a incidentes informáticos antes de que ocurra un suceso.

Visita previa al proveedor de respuesta a incidentes para conocer la infraestructura, políticas y personal.

Método para determinar la urgencia y alcance de la respuesta a un incidente, definiendo niveles de respuesta.

Evaluación del daño potencial de un incidente, usando la información de gestión de riesgos.

Prioridad de la respuesta a un incidente. Indica la rapidez con la que se debe actuar.

Activar al equipo de respuesta a incidentes para un incidente urgente las 24 horas del día, los 7 días de la semana.

Un documento que establece las tareas necesarias para gestionar un incidente de seguridad, en orden cronológico, indicando cuándo se completó cada tarea.

Acciones que se realizan antes de responder a un incidente, como identificar activos afectados y determinar requisitos de evidencia forense.

Acciones inmediatas para mitigar el impacto del incidente, validar mecanismos de detección y obtener inteligencia de amenazas.

Acciones para reducir el alcance del incidente, como aislar activos y eliminar las amenazas activas.

Restaurar sistemas a un estado anterior aceptable, validar controles y reconectar sistemas a la red.

Identificar la causa raíz, implementar controles y gestionar cambios para evitar la recurrencia del incidente.

Documentos que detallan los procedimientos especializados, especialmente para tipos de incidentes que se repiten.

Los indicadores típicos de ataque y compromiso incluyen tráfico saliente a una dirección IP o nombre de dominio específico, patrones anormales de consulta DNS, solicitudes y respuestas HTTP inusualmente grandes, tráfico DDoS y nuevas entradas de registro (en sistemas Windows).

Fase en la respuesta a incidentes donde se tiene alta confianza de que el ataque no será exitoso nuevamente.

Compartir información sobre incidentes (IOAs e IOCs) con otros ayuda a otros a evitar ataques similares, haciendo que el atacante tenga más dificultades.

Depende de la naturaleza del incidente, el resultado deseado de la respuesta a incidentes (por ejemplo, reanudación del negocio o restauración del sistema) y el éxito del equipo en determinar el origen y la causa raíz del incidente.

Revisión del incidente y su manejo, análisis post-mortem para identificar mejoras en el proceso de respuesta a incidentes y la documentación.

Los documentos de la gestión de incidentes incluye las políticas de gestión de incidentes (IMP) y el plan de respuesta a incidentes (IRP).

¿Qué sucedió? ¿Qué aprendimos? ¿Cómo podemos hacerlo mejor la próxima vez?

Todos los incidentes de seguridad deben tratarse como si tuvieran un componente criminal hasta que se demuestre lo contrario.

Proceso para investigar y documentar adecuadamente pruebas de delitos informáticos para su uso en la corte.

La decisión de llamar a las fuerzas del orden durante la respuesta a un incidente de seguridad, considerando ventajas, desventajas y requisitos específicos.

Evidencia que no se puede usar en un tribunal debido a la falta de personal calificado, procedimientos establecidos, políticas deficientes o una cadena de custodia rota.

Técnica para recopilar y preservar evidencia digital para su uso en la corte, esencial en la persecución de delitos informáticos.

La responsabilidad de determinar si se debe llamar a las fuerzas del orden durante una respuesta a un incidente.

Posible pérdida de control sobre la dirección de la investigación cuando se involucra a las fuerzas del orden.

La posibilidad de que la investigación se vuelva pública.

La razón por la que un delincuente busca cometer un delito, como obtener ganancias o poder.

Las circunstancias que permiten a un delincuente llevar a cabo el delito con éxito, como la vulnerabilidad de un sistema.

Las habilidades o conocimientos técnicos necesarios para cometer un delito informático, como programación o conocimiento de redes.

El método de operación distintivo de un delincuente, incluyendo las herramientas y el procedimiento utilizado.

Acciones o patrones repetitivos que caracterizan el MO de un delincuente informático, como ciertos comandos o mensajes repetitivos.

Uso del MO para identificar un posible delincuente, sus acciones pasadas y, potencialmente, futuras.

Necesidad de conocimiento tecnológico para investigar delitos informáticos con precisión, a diferencia de delitos tradicionales.

Aplicación del perfil del delincuente usando el método de operación (MO) y el comportamiento característico.