Tema 4: Ciberseguridad y Respuesta a Incidentes

Study Notes

Introducción a la unidad formativa 4: Esta unidad describe las actividades de contención, remediación y recuperación de incidentes de seguridad, incluyendo los procedimientos y planes asociados.

Contención y respuesta de incidentes de seguridad: La unidad formativa muestra las principales actividades de las fases de contención, remediación y recuperación de un incidente de seguridad. Incluye procedimientos y planes asociados.
Medidas de contención: Se discuten las diferentes estrategias de contención de incidentes, las actividades del proceso de contención y la importancia de la conciencia situacional y la obtención de evidencias forenses.
Medidas de recuperación: Esta sección describe los procesos de erradicación, limpieza y recuperación ante incidentes de seguridad. Se analizan diferentes escenarios de recuperación y cómo neutralizar los incidentes. Se detallan métricas para mejorar la fase de recuperación.
Procedimientos y planes: Se detalla el contenido de un plan de recuperación, incluyendo los procesos, criterios de inicio y fin, causa raíz, estrategia de contención y comunicaciones. Además, se explica la creación de playbooks para incidentes.

Contención: Consiste en limitar los daños y detener al atacante, manteniendo el funcionamiento de la organización.
Conciencia situacional: Es crucial recopilar toda la información disponible sobre las actividades relacionadas con el incidente, cronológicamente y geográficamente. El archivo centralizado de la información de seguridad (registros del sistema etc.) resulta esencial. Los factores relevantes son la integridad y la posibilidad de búsqueda de datos.
Investigación forense: Es posible que sea necesaria una investigación forense para analizar la magnitud y profundidad del ataque.
Herramientas de análisis: Se deben utilizar herramientas para crear y analizar imágenes de disco, de memoria, de máquinas sospechosas, etc., para facilitar este proceso.
Actuación rápida, pero con cautela: Se debe actuar con rapidez, pero con una conciencia situacional bien definida, para evitar errores innecesarios.

Erradicación y sanitización: Se busca devolver a la normalidad las operaciones eliminando artefactos del incidente (códigos maliciosos y vulnerabilidades). Esto incluye la mitigación de acceso persistente y la recolección completa de pruebas.
Medidas para la erradicación: Se describen acciones como eliminar malware, reinstalar sistemas, restaurar desde copias de seguridad y cambiar credenciales. Se mencionan la desconexión y el bloqueo de puertos o equipos.
Importancia de la contención previa: Se destaca la importancia de la contención previa como paso fundamental en la gestión de un incidente antes de proceder con la recuperación.

Estrategias: La organización debe determinar de antemano el impacto de las estrategias de contención en su capacidad operativa.
Impacto y Pérdidas: Se debe analizar el impacto potencial del incidente si no se contiene y los daños o pérdidas (de activos o datos).
Preservación de las pruebas: Es importante asegurarse de preservar las pruebas pertinentes para una investigación.
Consideración de aspectos legales: Se menciona la importancia de la consideración de los aspectos legales para la recolección adecuada de pruebas.
Recomendaciones: Se ofrecen recomendaciones como no apagar el servidor inmediatamente si no se tiene una copia forense; no desconectar el servidor de internet sin la seguridad de la copia completa.
Análisis forense: El análisis forense es un proceso para identificar lo sucedido durante el incidente. Se detallan los puntos clave que se deben responder.
Etapas del análisis forense: Se detallan etapas para recolección, preservación, análisis y presentación de las evidencias.
Recuperación: Se analiza la recuperación del entorno de la organización a la normalidad y se mencionan los escenarios que puede afrontar el equipo de respuesta a incidentes.

Podcast