Después de conocer las capacidades que puede aportar el Sistema de Alerta Temprana, hay una cuestión práctica que puede condicionar la decisión de un organismo: qué implica realmente incorporarlo a su infraestructura.
La respuesta depende del servicio (SAT-INET o SAT-ICS) y del entorno que se quiera monitorizar, pero ambos parten de un principio similar. El despliegue de una sonda permite analizar una copia del tráfico y generar eventos que se envían al sistema central del CCN-CERT para su análisis.
Esto significa que la incorporación al SAT no exige sustituir las soluciones de seguridad existentes ni modificar el funcionamiento habitual de la red. El sistema se suma a las capacidades ya disponibles y aporta una fuente adicional de información para los equipos responsables de la seguridad.
Una sonda que observa el tráfico sin intervenir en él
En SAT-INET, la sonda analiza una copia del tráfico de Internet del organismo. Sobre ella se aplican diferentes mecanismos y reglas de detección para identificar actividad potencialmente maliciosa. Los eventos relevantes se transmiten de forma segura al sistema central del CCN-CERT, donde se realizan tareas de análisis y correlación.
En SAT-ICS el planteamiento se adapta a las redes industriales y sistemas SCADA. La monitorización también es pasiva: la sonda recibe una copia del tráfico, lo que permite analizar las comunicaciones sin interferir en los procesos que se están supervisando.
Una vez desplegado el servicio, el organismo dispone de acceso al portal SAT. Desde este entorno, los responsables de seguridad autorizados pueden consultar los eventos de su propio organismo.
En SAT-INET, el portal permite acceder a los eventos de seguridad detectados en tiempo real y generar informes. En SAT-ICS se incorporan además capacidades relacionadas con la visualización de activos y comunicaciones, estadísticas e información sobre las anomalías identificadas.
El SAT se integra así en el trabajo del equipo de seguridad como una fuente más de información sobre lo que está ocurriendo en la infraestructura.
Qué conviene tener claro antes de incorporarse
Aunque buena parte de la gestión técnica del sistema corresponde al CCN-CERT, disponer del SAT no elimina la necesidad de contar con capacidad dentro del organismo para aprovechar la información que proporciona.
Una alerta adquiere valor cuando existe un equipo capaz de analizar qué significa para su entorno, contrastarla con otras fuentes y actuar cuando sea necesario.
Por eso, antes de abordar la incorporación puede ser útil revisar algunas cuestiones:
- ¿Qué redes o entornos queremos monitorizar?
- ¿Necesitamos vigilancia sobre el tráfico de Internet, sobre entornos industriales o ciberfísicos, o sobre ambos?
- ¿Quiénes serán los responsables de consultar y utilizar la información proporcionada por el SAT?
- ¿Cómo se incorporarán sus alertas a los procedimientos habituales de análisis y gestión de incidentes?
- ¿Qué fuentes internas podremos consultar para ampliar una detección recibida a través del sistema?
- ¿Existe un procedimiento claro para escalar una alerta cuando se confirma que requiere actuación?
Son cuestiones sencillas, pero ayudan a evitar que la incorporación se plantee únicamente como el despliegue de una nueva tecnología.
El CCN-CERT asume la gestión, actualización y mantenimiento de los componentes centrales del sistema y mantiene las capacidades de detección que sustentan el servicio. Para el organismo, el verdadero trabajo comienza cuando esa información llega a sus equipos de seguridad y se incorpora a su operativa.
Los tres artículos anteriores de esta serie han mostrado distintas formas en las que el SAT puede ampliar esa operativa: aportando nuevas capacidades de detección, relacionando información procedente de distintos organismos y mejorando la visibilidad sobre activos y comunicaciones en entornos industriales.
La incorporación al sistema permite reunir esas capacidades dentro de un servicio común. El objetivo no es acumular una herramienta más, sino disponer de información que ayude al organismo a identificar antes una amenaza y tomar mejores decisiones cuando aparezca.
Por eso, valorar la adhesión al SAT exige mirar más allá del despliegue técnico. La pregunta relevante es cómo puede integrarse la información que proporciona en los procesos que el organismo ya utiliza para detectar, analizar y responder ante un posible incidente.
