Tema 3: Investigación de ciberseguridad 2 examen (1 parte

Study Notes

Tema 3. Investigación de los incidentes de ciberseguridad

3.1. Introducción a la unidad formativa:
- La unidad formativa 3 enfoca la detección y análisis de incidentes de ciberseguridad.
- Se divide en bloques: controles, herramientas y mecanismos de monitorización, detección, identificación y análisis de ciberincidentes.
- Recopilación de información a través de diferentes fuentes es crucial.
- Técnicas de análisis y priorización (triage) de evidencias se explican.
- Análisis de evidencias obtenidas, auditorías técnicas de seguridad y análisis de malware se introducen.
3.2. Controles, herramientas y mecanismos de monitorización:
- Detectar y evaluar incidentes con precisión es difícil para muchas organizaciones.
- Se requiere precisión en la identificación del tipo, alcance, y magnitud de los problemas.
- La automatización juega un papel fundamental en la detección con IDS, software antivirus y otras herramientas.
- La monitorización manual también es importante (notificaciones de usuarios, entre otros).
- El volumen de alertas puede ser abrumador, lo que requiere análisis técnico y experiencia.
Identificar un presunto incidente:
- Supervisar actividad inusual, comportamientos anormales y evaluar puntos de activación.
Determinar la naturaleza del incidente:
- Tipos como DDOS, ataques de malware, secuestro de sesión o corrupción de datos.
Confirmar un incidente de ciberseguridad:
- Verificar ataques u otras violaciones relacionadas con la seguridad.
Precursores e indicadores de incidentes:
- Un precursor es una señal de un posible incidente futuro.
Un indicador es una señal que indica un incidente actual.
Ejemplos de precursores e indicadores:
- Incluyen entradas de registro del servidor web, anuncios de exploits, amenazas de grupos atacantes, sensores de detección de intrusiones, alertas de antivirus, cambios de configuraciones en los registros de hosts, y más.
Importancia de los incidentes:
- Miles de posibles indicios de incidentes pueden registrarse cada día.
- Dos tipos de indicios: precursores e indicadores.
Supervisión de eventos relevantes:
- Recopilación de datos, recursos y conocimientos.
Procedimientos de gestión de incidentes:
- Análisis, detección, supervisión, colaboración y medidas correctivas.
3.3. Procedimientos de análisis de evidencias y auditorías técnicas:
- El análisis de incidentes es complejo porque los indicadores pueden ser precisos, pero no implican necesariamente un incidente.
- Determinar si un evento es un incidente requiere juicio y colaboración.
- Es fundamental elaborar perfiles y comprender los comportamientos normales de las redes y sistemas.
Técnicas para la detección de incidentes:
- Incluyen la supervisión de los comportamientos normales, correlación de eventos e indicadores obtenidos en varias fuentes, y la sincronización de los relojes de los hosts para mejorar la confiabilidad en el análisis.
Otros temas:
- Conocimiento común, matrices, tipos de ataques, medios externos, pérdida o robo de equipos, matriz MITRE ATT&CK.