Cuatro pasos clave para una respuesta rápida a incidentes
¿Es posible evitar brechas de seguridad? A juzgar por los titulares recientes, probablemente no. Las víctimas van desde nuevas empresas como Kreditech hasta grandes minoristas como Target, pasando por el Departamento de Estado de Estados Unidos e incluso la Casa Blanca. Independientemente de las medidas de seguridad que tenga implementadas, es prudente asumir que sufrirá una infracción en algún momento. Asegúrese de contar con un plan de respuesta, por si acaso.
Si le resulta difícil justificar el tiempo necesario para desarrollar un plan de respuesta, considere cuánto tiempo tendrá para formular una respuesta una vez que comience el ataque. Según un estudio de Verizon de 2013, el 84% de los ataques exitosos comprometieron a sus objetivos en cuestión de horas. El breve período de tiempo para detectar y mitigar ataques requiere no sólo un monitoreo constante sino también una respuesta rápida. Eso significa tener un plan en marcha.
Al formular su estrategia para manejar las infracciones, tenga en cuenta cuatro aspectos clave de la respuesta a incidentes, que incluyen: análisis y evaluación, estrategia de respuesta, contención y prevención de un ataque posterior.
El primer paso para gestionar una brecha de seguridad es detectarla. Este es uno de los desafíos más difíciles que enfrentan los profesionales de TI. Está intentando detectar un adversario sigiloso con muchos puntos potenciales de entrada a su sistema y no sabe cuándo ocurrirá el ataque. Además, los eventos relacionados con ataques pueden ocurrir en rápida sucesión o durante largos períodos de tiempo. Algunos de los pasos del ataque pueden parecer inofensivos, como que un ejecutivo descargue y abra contenido malicioso sin saberlo. Otros pueden ser más evidentes, como un empleado descontento que descarga grandes volúmenes de datos de clientes a una unidad USB. En todos los casos, analizar registros e integrar datos de múltiples registros de aplicaciones y servidores puede ayudar a identificar eventos indicativos de un ataque.
La estrategia de respuesta abarca aspectos técnicos y comerciales de su organización. Debe existir un equipo de respuesta a incidentes para abordar la infracción. Esto incluirá contener la amenaza (que se analiza a continuación), notificar a las partes interesadas y comunicar el progreso de los esfuerzos de respuesta. Puede ser necesario coordinarse con los responsables de la continuidad del negocio y la recuperación ante desastres en casos de ataques a gran escala, como el que sufrió Sony el año pasado.
La contención es el proceso de aislar los dispositivos y segmentos de red comprometidos para limitar la propagación de una infracción. La contención puede ser tan cruda como cortar el suministro eléctrico a un dispositivo comprometido. Si la actividad maliciosa se origina en un dispositivo móvil, un sistema de administración de dispositivos móviles (MDM) puede impedir que ese dispositivo acceda a los recursos de la red. Los administradores de red pueden cambiar las reglas de filtrado del firewall para limitar el tráfico que entra y sale de una subred. También pueden considerar actualizar las entradas DNS de los servidores comprometidos para que apunten a servidores de conmutación por error, suponiendo que no hayan sido comprometidos. Monitorear los registros de aplicaciones, sistemas operativos y redes durante las operaciones de contención puede ayudar a comprender los efectos de sus respuestas.
La cuarta cuestión a tener en cuenta es la prevención de ataques posteriores. Una violación de la seguridad puede tener consecuencias amplias e inesperadas. También es una oportunidad potencial para saber cómo se vieron comprometidas sus medidas de seguridad. ¿Alguien fue engañado por un señuelo de phishing? ¿Se vio comprometida una cuenta de administrador por un simple ataque de diccionario de fuerza bruta? ¿Un insider se aprovechó de privilegios excesivos? Los sistemas de gestión de eventos e información de seguridad respaldan el análisis forense y pueden ayudar a integrar datos de eventos de toda su infraestructura. Esto puede permitirle encontrar correlaciones entre eventos que conduzcan a información sobre el comportamiento de los atacantes y las vulnerabilidades de sus sistemas.
Esta breve discusión sobre la planificación de respuesta a incidentes aborda solo algunos de los aspectos más destacados relacionados con una infracción. Fuentes, como CERT, proporcionan recursos detallados para ayudar a las organizaciones a crear equipos de respuesta a incidentes de seguridad informática y mejores prácticas de respuesta a incidentes.