Siguiendo con el tema de recuperación y en este caso de respuesta a un incidente tenemos una metodología
que otra vez yo creo que sonó como un disco rayado pero sí muchas cosas no son recetas de cocina muchas
cosas no no van a ser siempre lo mismo siempre reales.
Sin embargo hay buenas prácticas.
Y ojo que hago la aclaración que no me gusta decir mejores prácticas pero hay buenas prácticas que nos
pueden dar una dirección de donde a donde movernos o conmovernos.
Por ejemplo en la metodología de Respuesta a Incidentes hay ocho pasos que por lo general son aceptados.
Tenemos la preparación que básicamente se empezará a tomar toda la documentación que podemos tomar tal
vez platicar con los afectados con las víctimas con los clientes etc. etc..
Luego tenemos la etapa de detección o identificación que es donde ya vamos a ver qué dispositivos o
entrar un poco más a detalle para poder tener como documentación a dónde irá a preparar o a guardar
o a documentar todo lo que se va a hacer.
Luego tenemos la etapa de respuesta si hicimos una buena o un buen trabajo en la etapa de preparación
y de detección pues en la etapa de respuesta va a ser un poco más fácil porque otra vez en la etapa
de detección ya tenemos la mayoría de documentación hecha ya investigamos ya vimos ya ya extrajimos
información y la ordenamos etcétera etcétera y en la etapa de respuesta es básicamente actuar sobre
lo que ya tenemos recabado o recaudado desde la etapa de detección.
Luego con toda la etapa de respuesta tenemos la etapa de mitigación.
Recuérdese que la etapa de respuesta está más enfocada en básicamente hacer que la amenaza pare o restaurar
el estado del sistema como tal hora de mitigación que es bueno si ya lo tenemos ya tenemos el servidor
corriendo de nuevo asumamos que es un servidor web que se había caído y ya lo tenemos corriendo de nuevo
pues qué vamos a hacer para mitigar eso o que vamos a hacer para que deje de pasar o que no nos vuelva
a pasar en las siguientes tres o cuatro horas que podríamos decir bueno en la etapa de mitigación es
poner un árbol poner un encapsulan por ejemplo y hablando un poco más de marcas para desviar el tráfico
de eso porque eso es lo que nos estaba afectando etcétera.
Luego tenemos la etapa de reportería que es bueno ya hicimos toda la investigación ya respondimos ya
vamos es básicamente encontrarlos reportar los hallazgos y reportar el famoso RCA el broadcast Analysis
o el análisis de causa raíz verdad en el reporte.
Luego tenemos recovery.
Esto se da más cuando por ejemplo si parte de la mitigación o de la respuesta fue mudarse a un sitio
alterno no podemos decir que un incidente se acabó o que una catástrofe en catástrofe se acabó hasta
que no estemos operando en el sitio primario de forma normal.
De repente nos fuimos otra vez como parte de la mitigación o de la respuesta nos fuimos a un sitio alterno
que lo teníamos como parte de nuestro bisnes Continuity Plank y lo vamos a ver más adelante.
Entonces la etapa de recuperación podría ser bueno ya que todo está operando normal nos vamos a mover
de vuelta al sitio principal y luego tenemos las lecciones aprendidas y la remediación remediación y
lecciones aprendidas que básicamente actividades post incidente verdad bueno decía estamos operando
otra vez bajo el mismo ejemplo ya estamos operando otra vez en el sitio principal o primario.
Entonces qué tenemos que hacer o dónde tenemos que documentarlo tal vez tenemos una base de datos de
conocimiento para que la próxima vez que nos pase pues tengamos a dónde ir a ver o a dónde ir a consultar
qué fue lo que se hizo de repente y lecciones aprendidas también tenemos que crear un árbol de llamadas
para saber quiénes son los contactos principales a los que tengan que llamar en caso se caiga un servidor
de repente tengo que asignar dueños de la información y custodios de la información para que pueda tener
un poco más de sentido a la hora de responder un incidente y bueno cualquier actividad post post incidente
verdad.
Y bueno el RSA que ya lo he mencionado dos veces tanto en este video como en el video anterior que es
un análisis de causa raíz o root Analysis pues es básicamente como su nombre lo indica verdad.
Determinar cuáles son las vulnerabilidades amenazas que causaron el incidente o que permitieron que
el incidente pasara de repente podríamos decir bueno no tenemos un sistema de parchado o nuestro sistema
de parchado de actualización no está funcionando o de repente sí lo tenemos pero no está parchando todos
los equipos y se metió por un equipo que no tenía el parcheo o de repente y cualquier cosa que pueda
llevarnos a la causa raíz porque una respuesta a incidentes y se está haciendo siempre para simplemente
levantar el sistema de nuevo para que corra otra vez vamos a detenerse vamos a seguir teniendo incidente
tras incidente tras incidente y bueno siempre vamos a estar en un ciclo que nunca se termina.
Entonces el análisis de causa raíz pues nos ayuda a eso a llegar a la causa a raíz del incidente para
poder eliminarlo valga la redundancia a través de raíz de verdad.
Luego tenemos o activos y preventivos.
Por ejemplo los famosos peces obedeces introducen probation sistema o instrucción Detection System que
pueden ser basados en un justo es decir lo podemos instalar en un jours como tal servidor máquinas laptops
etcétera etcétera.
O lo podríamos instalar a nivel de red Uno muy bueno gratuito por ejemplo es North pero hay muchos otros
bueno no suricatas y bueno por mencionar un par de software que pueden ser muy buenos.
Luego tenemos los famosos CIAM se quiere el Information a nivel Management que es lo que hace esto el
que recolecta información muchas veces a través de logs de varios dispositivos de seguridad o no necesariamente
de seguridad sino de red por ejemplo de routers que lo permiten.
También de rateros de fãtbol de antivirus de peces de los logs de Windows como tal para entonces tener
todo tenerlo todo centralizado y poder hacer una recolección y análisis de esos datos.
Otra vez a mi siempre me gusta hacer la analogía de Bueno de repente un virus perdón un Madworld se
le pasó a los controles del antivirus y le pasó los controles de fãtbol se le pasó los controles del
GPS.
Todos estos de forma individual no pero cuando todos estos se están enviando Locks al 100 posiblemente
el 100 a la hora de hacer una correlación entre estos Locks pudo haber pues puede detectar esta actividad
maliciosa verdad entonces el 100 no sirve para eso entre muchas cosas no sirve para cumplimiento para
reportería y un sinfín de usos.
Cuando tenemos un CIEM tenemos que tener en cuenta que esto lleva mucho tiempo para administrar y mucho
tiempo para realmente ponerle la atención que necesita para esto muchas empresas lo que hacen es implementar
o tercerizar un Security Operations Center o un SOC ahora este SoC es básicamente estar pendiente de
todas las alertas que tiene al 100 en este caso es obvio ver que si uno siempre está mal configurado
es decir no estable no está recibiendo alertas de los equipos o las está recibiendo de una forma que
no están para aseadas de una forma correcta o por ejemplo la famosa la famosa área gris que es la área
gris.
Muchos clientes pueden decir ok no quiero que se monitoree estos equipos nada más.
Los Farewell del perímetro ok y esto lo mandan al 100 y no veo un SoC con un sequero Operations Centre.
Pero qué pasa si hay un malware y entra y entra por medio de una web se ve ese CIEM nunca va a poder
ver ese malware verdad porque entonces nunca pasó por los árboles por así decirlo.
Entonces esta famosa área gris también hay que tomarlo en cuenta entonces el CIEM es muy bueno pero
puede ser inservible y en la mayoría de empresas es inservible porque no lo tienen bien administrado
porque no tienen el conocimiento para administrarlo o porque tienen la famosa área gris muy grande es
decir hay muy pocos equipos reportando al 100 y obviamente el Secure Operations Center es tan eficaz
como nuestro siembro.
Luego tenemos por ejemplo DLP Data Prevention on Data Exploration que hay una diferencia sutil pero
hay una diferencia Rathalos es que se perdió la información como tal es decir de repente un apagón un
corte de energía hizo que el servidor se reiniciará y la información no se guardó de forma correcta
y quedó corrupta y no lo pudo ver.
Y Data Link es que realmente estaba la información pero me la robaron no hubo una pérdida o una fuga
de datos como tal.
Y luego tenemos pues Hampden Security con muchos sabores y muchas formas antivirus.
Next Generation antivirus Application Wildenstein de Encryption Big Controls ETC etcétera.
Muchos en seguridad a nivel del equipo como tal.
Luego tenemos el de R esto he visto muchas empresas con muchas bibliografías confundirlos con Next Generation
antivirus un Ederra en plan Detection and response también conocido como TDR entrad detection Response
es una tecnología relativamente nueva video relativamente nueva porque hasta ahorita está teniendo como
su auge que monitorea continuamente y responde decir mitiga las amenazas.
Esto no es un simple antivirus decir bueno lo comparé con una firma y lo digo y lo elimino.
Esto es instalado en por ejemplo en todos los encuentros y ellos se comunican entre sí se pasan inteligencia
está constantemente viendo en la nube y los que son basados en la nube viendo una nube de amenazas nuevas
se comparan con patrones de comportamiento en la red y no sólo eso sino que también se han dado casos
hay un positivo pues lo mitiga no te da por ejemplo Balanced Scorecard de riesgo es decir bueno esta
aplicación si bien no es maliciosa las actividades que está haciendo la detecto yo como un riesgo muy
alto y bueno tienen muchas capacidades que un simple antivirus no contiene.
Entonces hay que tener un poco un poco pero si los CDR son críticos y claves para para tener una respuesta
a un incidente porque lo que pasa con muchos muchas respuestas a incidentes es que cuando se va a investigar
el análisis de causa raíz los logs no existen están corruptos no se guardaron etcétera etcétera.
Con el cierre se evita todo eso porque el mismo de puede puede estarse reportando incluso un CIEM y
dando toda la información necesaria para hacer un análisis de causa raíz y si tenemos la ventaja de
que también lo mitiga digamoslo ónde Flay o al tiempo de que se está ejecutando el código malicioso
pues es una ventaja que muy pocos software lo dan verdad.
Cada FDR de cada marca tiene sus capacidades únicas no es que digamos que hay algunas recetas de cocina
y otra vez disco rayado.
Pero no hay una receta de cocina que diga bueno un Ederra hace esto y esto y esto hay cosas muy básicas
que tienen que ser un héroe pero hay capacidades digamos como básicas que podemos decir por ejemplo
monitoreo de empeines tanto en línea como offline verdad.
Responder a las amenazas en tiempo real es clave para una D.R La visibilidad y la transparencia para
el usuario es decir el usuario Unicenter again haya reinstalado algunos.
Algunos incluso funcionan a nivel de metadata ni siquiera de datos como por ejemplo Crows strict excelente
de mi opinión detectar y almacenar eventos de los encuentros como por ejemplo los y las infecciones
de algún malware crear Blacklist iguales a nivel en tiempo real.
También podría ser una capacidad de integración con otras tecnologías.
Podría funcionar tranquilamente con Next Generation antivirus por ejemplo un Macari combinado con un
strike al final FDR como pueden ya imaginar lo que hace es potencializar el antivirus o el PC o la tecnología
que tengan en lugar verdad.
Entonces creo que sí es algo muy clave y está cambiando un poco como funciona la seguridad de la hoy
en día.
Bueno pues esto amigos espero les haya gustado y muy pronto.