Detectar una amenaza a tiempo es el primer paso. A partir de ahí comienza otra parte igual de importante: determinar qué está ocurriendo, qué sistemas pueden estar afectados y qué respuesta requiere el incidente.
El Sistema de Alerta Temprana del CCN-CERT está diseñado precisamente para identificar amenazas e incidentes en sus primeras fases y contribuir así a reducir su impacto y alcance. En SAT-INET, cuando el sistema detecta un incidente, el organismo adscrito recibe el correspondiente aviso y la información queda disponible para su consulta y seguimiento.
Para un SOC, esa alerta debe convertirse en un punto de partida para la investigación.
Una detección puede señalar una dirección IP, una comunicación sospechosa, un patrón de ataque o cualquier otro elemento que requiera atención. El siguiente paso consiste en llevar esa información al contexto de la propia organización: identificar los activos relacionados, buscar actividad asociada y determinar si existen otros indicios que permitan conocer el alcance real del incidente.
Ahí entran en juego las capacidades internas del SOC. Los registros disponibles, la telemetría de los endpoints, el SIEM y otras fuentes pueden ayudar a reconstruir qué ha ocurrido antes y después de la actividad detectada.
Una alerta externa adquiere así mucho más valor cuando puede conectarse rápidamente con lo que está sucediendo dentro de la infraestructura.
De la detección a la investigación
Pensemos en una alerta que identifica una comunicación potencialmente maliciosa desde la red del organismo. Saber que esa comunicación se ha producido es relevante, pero deja abiertas varias preguntas.
¿Qué activo la ha generado? ¿Cuándo comenzó esa actividad? ¿Se ha repetido? ¿Existen otros equipos con un comportamiento similar? ¿Hay indicios adicionales en los registros internos? ¿Estamos ante un evento aislado o ante una actividad que requiere una respuesta inmediata?
La investigación debe permitir avanzar desde el indicador inicial hacia una visión más completa del incidente.
Por eso, la rapidez con la que un SOC responde a una alerta no depende únicamente de haberla recibido pronto. También influye su capacidad para localizar la información relacionada y ponerla a disposición de quienes deben analizarla.
El propio funcionamiento de SAT-INET facilita además la continuidad de ese proceso. Según la documentación del servicio, la información de los incidentes detectados por el personal técnico del CCN-CERT está disponible en LUCIA para los responsables de seguridad de los organismos adheridos. Desde allí pueden realizar su seguimiento e informar de las acciones llevadas a cabo para su resolución.
LUCIA, la herramienta del CCN-CERT para la gestión de ciberincidentes, permite mantener la trazabilidad y el seguimiento del incidente y gestionar, entre otros, aquellos procedentes de SAT-INET.
La detección deja así de ser un aviso aislado y pasa a formar parte de un proceso que debe mantenerse hasta conocer qué ha ocurrido y qué actuaciones han sido necesarias.
¿Estamos preparados para actuar cuando llega la alerta?
Recibir información antes que el atacante avance supone una ventaja únicamente si el organismo puede utilizarla con rapidez.
Por eso, más allá de las capacidades de detección, conviene revisar cómo se integra una alerta del SAT en la operativa habitual del SOC:
- ¿Está claro quién recibe y analiza las alertas?
- ¿Podemos identificar rápidamente el activo relacionado con una detección?
- ¿Tenemos acceso a las fuentes internas necesarias para ampliar la investigación?
- ¿Podemos buscar actividad similar en otros sistemas?
- ¿Existen criterios claros para escalar un incidente?
- ¿Registramos las actuaciones realizadas y mantenemos su seguimiento hasta la resolución?
- ¿Revisamos después del incidente si podemos mejorar nuestras propias reglas o procedimientos de detección?
La última pregunta es especialmente importante. Un incidente puede aportar información útil más allá de su resolución inmediata.
Si una amenaza ha sido identificada por el SAT, pero no por las capacidades internas del organismo, merece la pena analizar el motivo. Quizá exista margen para incorporar un nuevo caso de uso, ajustar una regla, añadir un indicador o mejorar la visibilidad sobre determinada actividad.
De esta forma, una detección externa puede terminar reforzando también la capacidad interna del SOC frente a amenazas similares.
El valor de una alerta no está únicamente en el momento en que se genera. Está en todo lo que permite hacer después: investigar con mayor contexto, decidir antes, mantener la trazabilidad de la respuesta y utilizar lo aprendido para estar mejor preparado ante el siguiente incidente.
El SAT proporciona una capacidad de detección temprana. Convertir esa ventaja en una respuesta eficaz depende también de que el organismo tenga preparado el camino que debe seguir la información cuando la alerta llega.
