Tema 5: Detección de Incidentes de Ciberseguridad

Study Notes

Introducción a la unidad formativa: La unidad formativa 5 "Vuelta a la normalidad" trata las actividades post-incidente, el análisis del incidente y las lecciones aprendidas, el informe final, la comunicación del incidente y la implantación de ciberresiliencia en la organización.

Actividades post-incidente: Incluyen el post-análisis del incidente, las lecciones aprendidas, el informe final y la comunicación del incidente, así como la implantación de capacidades de ciberresiliencia.
Análisis del incidente y lecciones aprendidas: La fase de investigación post-incidente, las acciones de mejora y la recopilación de evidencias.
Informe final y comunicación de ciberincidentes: El seguimiento y la realización del informe final del incidente, plantillas para la implementación y el plan de comunicación para un ciberincidente.
Implantación de capacidades de ciberresiliencia: Se desarrollan medidas proactivas y preventivas a partir de las lecciones aprendidas para enfrentar incidentes futuros, enfocándose en la seguridad mediante la utilización de una honeynet.

Investigación posincidente: Una vez resuelta la recuperación, es necesaria una investigación más profunda para determinar la causa raíz del problema, el alcance del impacto empresarial (finanzas, reputación, etc.) y la autoría del incidente.
Lecciones aprendidas: Los incidentes de ciberseguridad deben analizarse y las lecciones extraídas para evaluar posibles mejoras en las estrategias o prácticas de seguridad.
Revisión del incidente: La evaluación del incidente debe llevarse a cabo para determinar las acciones incorrectas, y las mejoras necesarias para futuros incidentes.

Seguimiento e Informe final del incidente: Se debe documentar todos los incidentes, las medidas tomadas y la comunicación a las partes interesadas internas y externas.
Informe documentado: Se debe crear un informe documentado del incidente con la descripción completa del incidente, su historia, causas, y las medidas tomadas.
Partes interesadas: El informe debe dirigirse a las partes interesadas internas y externas de forma efectiva.
Plantilla de informe pos-incidente: Incluye información sobre el incidente, la evaluación de la severidad e impacto, y las causas raíz.

Principios básicos: Se amplían los métodos de acceso a la infraestructura con sistemas en la nube, redes sociales, dispositivos móviles y la política BYOD.
Ataques persistentes avanzados (APT): Los atacantes cada vez son más expertos.
Ciberresiliencia: La capacidad para anticipar, resistir, recuperarse y adaptarse a situaciones adversas, ataques o compromisos en los sistemas.

Componentes de estrategias de ciberresiliencia: Incluir la identificación de métodos para prevenir la ocurrencia de incidentes, la integración de la gestión de incidentes en otros esfuerzos empresariales, y el despliegue de controles técnicos reforzados para la detección y respuesta a incidentes.
Aspectos clave: Centrarse en las misiones o funciones esenciales de la organización.
Asumir las amenazas: Reconocer y aceptar la posibilidad de que el adversario perpetúe la presencia en el sistema.