Tema 3: Investigación de ciberseguridad 2 examen (1 parte - 139-156 pags)

Tema 3. Investigación de los incidentes de ciberseguridad

• 3.1. Introducción a la unidad formativa:

  • La unidad formativa 3 enfoca la detección y análisis de incidentes de ciberseguridad.
  • Se divide en bloques: controles, herramientas y mecanismos de monitorización, detección, identificación y análisis de ciberincidentes.
  • Recopilación de información a través de diferentes fuentes es crucial.
  • Técnicas de análisis y priorización (triage) de evidencias se explican.
  • Análisis de evidencias obtenidas, auditorías técnicas de seguridad y análisis de malware se introducen.

• 3.2. Controles, herramientas y mecanismos de monitorización:

  • Detectar y evaluar incidentes con precisión es difícil para muchas organizaciones.
  • Se requiere precisión en la identificación del tipo, alcance, y magnitud de los problemas.
  • La automatización juega un papel fundamental en la detección con IDS, software antivirus y otras herramientas.
  • La monitorización manual también es importante (notificaciones de usuarios, entre otros).
  • El volumen de alertas puede ser abrumador, lo que requiere análisis técnico y experiencia.

• Identificar un presunto incidente:

  • Supervisar actividad inusual, comportamientos anormales y evaluar puntos de activación.

• Determinar la naturaleza del incidente:

  • Tipos como DDOS, ataques de malware, secuestro de sesión o corrupción de datos.

• Confirmar un incidente de ciberseguridad:

  • Verificar ataques u otras violaciones relacionadas con la seguridad.

• Precursores e indicadores de incidentes:

  • Un precursor es una señal de un posible incidente futuro.

• Un indicador es una señal que indica un incidente actual.

• Ejemplos de precursores e indicadores:

  • Incluyen entradas de registro del servidor web, anuncios de exploits, amenazas de grupos atacantes, sensores de detección de intrusiones, alertas de antivirus, cambios de configuraciones en los registros de hosts, y más.

• Importancia de los incidentes:

  • Miles de posibles indicios de incidentes pueden registrarse cada día.
  • Dos tipos de indicios: precursores e indicadores.

• Supervisión de eventos relevantes:

  • Recopilación de datos, recursos y conocimientos.

• Procedimientos de gestión de incidentes:

  • Análisis, detección, supervisión, colaboración y medidas correctivas.

• 3.3. Procedimientos de análisis de evidencias y auditorías técnicas:

  • El análisis de incidentes es complejo porque los indicadores pueden ser precisos, pero no implican necesariamente un incidente.
  • Determinar si un evento es un incidente requiere juicio y colaboración.
  • Es fundamental elaborar perfiles y comprender los comportamientos normales de las redes y sistemas.

• Técnicas para la detección de incidentes:

  • Incluyen la supervisión de los comportamientos normales, correlación de eventos e indicadores obtenidos en varias fuentes, y la sincronización de los relojes de los hosts para mejorar la confiabilidad en el análisis.

• Otros temas:

  • Conocimiento común, matrices, tipos de ataques, medios externos, pérdida o robo de equipos, matriz MITRE ATT&CK.