Tema 2: Auditoría de Incidentes de Ciberseguridad (3 parte

Study Notes

Roles en la Respuesta a Incidentes: CSIRT MANAGER, Unidad de Manejo de Incidentes, Unidad de Análisis de Amenazas, Unidad de Análisis de Artefactos, Unidad de Monitoreo de Seguridad, Unidad de Concientización y Capacitación.
Definición del Rol de Respuesta a Incidentes: El rol se centra en la identificación, contención, informe y remediación de incidentes.
Capacidades: Habilidades para responder a incidentes en entornos de nube, detección de intrusiones basada en host y red, entendimiento de redes informáticas y protocolos de seguridad, gestión de riesgos, leyes, reglamentos, políticas y ética en ciberseguridad y privacidad, conocimiento de ciberamenazas, vulnerabilidades y repercusiones operativas de fallos de ciberseguridad, planes de continuidad y recuperación de desastres, manejo de malware, preservación de la integridad de las pruebas, protección de las comunicaciones de red, reconocimiento de vulnerabilidades y ataques, protección contra malware.

Introducción: Las organizaciones deben enfocarse en obtener el máximo retorno de su inversión en seguridad, priorizando esfuerzos y presupuesto para disuadir ataques.
Preparación para Incidentes: Se deben focalizar los esfuerzos en tecnología, operaciones, legal y comunicación para mejorar la respuesta y la recuperación.

Identificar Activos de Alto Valor (HVA): Inventariar componentes críticos para desarrollar planes de recuperación y priorizar controles de protección.
Confirmar un Despliegue de Software Fiable: Validar la capacidad de ejecutar scripts e instaladores para una respuesta rápida.
Capacidades de Detección y Supervisión: Controlar atacantes avanzados con herramientas como correlación y análisis de eventos, inteligencia de amenazas, análisis del comportamiento de usuarios y entidades, detección de indicadores de compromiso.
Capacidades de Investigación Forense: Capacidad para investigar ataques dirigidos incluyendo análisis de malware, línea de tiempo completa, contratando analistas o servicios profesionales.
Seguimiento y Análisis de Costos de Respuesta: Mantener un registro de los gastos directos e indirectos para una mejor gestión del riesgo.
Preparación para la Recuperación: Validar la capacidad de recuperar datos críticos mediante copias de seguridad fuera de línea o resistentes a ransomware. Creación de procedimientos de recuperación de cuentas/hosts comprometidos.

Gestión de Incidentes: Es un reto complejo que requiere conocimiento técnico, variables desconocidas y tensión. Es crucial para minimizar el impacto potencial en las operaciones del negocio, justificando la inversión en preparativos.

Comunicación en Incidentes: Es fundamental durante incidentes para evaluar y mitigar el impacto en la marca y la reputación a través de un plan que incluya: ¿A quién?, ¿Cuándo?, ¿Qué información? y quien comunicará?
Factores Clave en Comunicación: Debe haber claridad, una estructura para la información y el acceso a la información relevante.
Consideraciones Legales y Políticas: Es importante considerar tanto las consideraciones legales como las políticas de la organización, incluyendo declaraciones de compromiso de la administración.

Equipos y Sistemas: Se incluyen ejemplos de activos (computadoras, software, etc) y cómo organizar la información

Recopilación de Información: Se definen diferentes métodos para recopilación de información relacionados con vulnerabilidades
Evaluación de Incidentes: Se debe identificar, evaluar si el incidente es pertinente al grupo o área especifico, y se debe clasificar su gravedad.
Triage (clasificación): Es un procedimiento para asignar prioridades estableciendo prioridades para los incidentes y priorizando la dedicación de tiempo y recursos.

Tema 2: Auditoría de Incidentes de Ciberseguridad (3 parte - 105-121 pags)