Detectar una amenaça a temps és el primer pas. A partir d'aquí comença una altra part igual d'important: determinar què passa, quins sistemes poden estar afectats i quina resposta requereix l'incident.
El Sistema d'Alerta Precoç (SAP) del CCN-CERT està dissenyat precisament per identificar amenaces i incidents en les seves primeres. A SAT-INET, quan el sistema detecta un incident, l'organisme adscrit rep el corresponent avís i la informació queda disponible per a consulta i seguiment.
Per a un SOC, aquesta alerta ha de convertir-se en un punt de partida per a la investigació.
Una detecció pot assenyalar una adreça IP, una comunicació sospitosa, un patró d'atac o qualsevol altre element que requereixi atenció. El pas següent consisteix a portar aquesta informació al context de la pròpia organització: identificar els actius relacionats, cercar activitat associada i determinar si hi ha altres indicis que permetin conèixer l'abast real de l'incident.
Aquí entren en joc les capacitats internes del SOC. Els registres disponibles, la telemetria dels endpoints, el SIEM i altres fonts poden ajudar a reconstruir què ha passat abans i després de l'activitat detectada.
Una alerta externa adquireix així molt més valor quan es pot connectar ràpidament amb el que està succeint dins de la infraestructura.
De la detecció a la investigació
Pensem en una alerta que identifica una comunicació potencialment maliciosa des de la xarxa de l'organisme. Saber que aquesta comunicació s'ha produït és rellevant, però deixa diverses preguntes obertes.
Quin actiu l'ha generada? Quan va començar aquesta activitat? S'ha repetit? Hi ha altres equips amb un comportament similar? Hi ha indicis addicionals als registres interns? Estem davant d'un esdeveniment aïllat o davant d'una activitat que requereix una resposta immediata?
La investigació ha de permetre avançar des de lindicador inicial cap a una visió més completa de lincident.
Per això, la rapidesa amb què un SOC respon a una alerta no depèn únicament d'haver-la rebut aviat. També influeix la seva capacitat per localitzar la informació relacionada i posar-la a la disposició dels qui l'han d'analitzar.
El funcionament mateix de SAT-INET facilita a més la continuïtat d'aquest procés. Segons la documentació del servei, la informació dels incidents detectats pel personal tècnic del CCN-CERT està disponible a LUCIA per als responsables. Des d'allà poden fer-ne el seguiment i informar de les accions dutes a terme per resoldre'l.
LUCIA, l'eina del CCN-CERT per a la gestió de ciberincidents, permet mantenir la traçabilitat i el seguiment de l'incident i gestionar, entre d'altres, aquells procedents de SET.
La detecció deixa així de ser un avís aïllat i passa a formar part d'un procés que s'ha de mantenir fins a conèixer què ha passat i quines actuacions han estat necessàries.
Estem preparats per actuar quan arriba l'alerta?
Rebre informació abans que l'atacant avanci suposa un avantatge únicament si l'organisme la pot utilitzar amb rapidesa.
Per això, més enllà de les capacitats de detecció, convé revisar com s'integra una alerta del SAT a l'operativa habitual del SOC:
- És clar qui rep i analitza les alertes?
- Podem identificar ràpidament l'actiu relacionat amb una detecció?
- Tenim accés a les fonts internes necessàries per ampliar la investigació?
- Podem cercar activitat similar en altres sistemes?
- Hi ha criteris clars per escalar un incident?
- Registrem les actuacions realitzades i mantenim el seu seguiment fins a la resolució?
- Revisem després de l'incident si podem millorar les nostres pròpies regles o procediments de detecció?
L'última pregunta és especialment important. Un incident pot aportar informació útil més enllà de la resolució immediata.
Si una amenaça ha estat identificada pel SAT, però no per les capacitats internes de l'organisme, val la pena analitzar-ne el motiu. Potser hi ha marge per incorporar un nou cas dús, ajustar una regla, afegir un indicador o millorar la visibilitat sobre determinada activitat.
D'aquesta manera, una detecció externa pot acabar reforçant també la capacitat interna del SOC davant d'amenaces similars.
El valor d'una alerta no és només quan es genera. Està en tot el que permet fer després: investigar amb més context, decidir abans, mantenir la traçabilitat de la resposta i utilitzar el que s'ha après per estar millor preparat davant el següent incident.
El SAT proporciona una capacitat de detecció precoç. Convertir aquest avantatge en una resposta eficaç també depèn que l'organisme tingui preparat el camí que ha de seguir la informació quan l'alerta arriba.
