Mehatxu bat goiz detektatzea da lehen urratsa. Hortik aurrera hasten da beste zati garrantzitsu bat: zer gertatzen ari den zehaztea, zein sistema kaltetu daitezkeen eta zer erantzun behar duen gertakariak.
CCN-CERT Berehalako Alerta Sistema (BAS) zehazki mehatxuak eta gertakariak hasierako faseetan identifikatzeko eta, horrela, haien eragina eta irismena murrizten laguntzeko diseinatuta dago. SAT-INETen, sistemak gorabehera bat detektatzen duenean, erakunde afiliatuak dagokion jakinarazpena jasotzen du, eta informazioa kontsulta eta monitorizaziorako eskuragarri bihurtzen da.
SOC batentzat, alerta hori ikerketaren abiapuntu bihurtu beharko litzateke.
Detekzio batek IP helbide bat, komunikazio susmagarri bat, eraso-eredu bat edo arreta behar duen beste edozein elementu adieraz dezake. Hurrengo urratsa informazio hori erakundearen barruan bertan testuinguruan jartzea da: lotutako aktiboak identifikatu, lotutako jarduera bilatu eta gorabeheraren benetako irismena agerian uzten duten beste arrastorik dagoen zehaztu.
Hemen sartzen dira jokoan SOCaren barne-gaitasunak. Eskuragarri dauden erregistroek, amaierako telemetriak, SIEMek eta beste iturri batzuek detektatutako jardueraren aurretik eta ondoren gertatutakoa berreraikitzen lagun dezakete.
Beraz, kanpoko alerta bat askoz baliotsuagoa bihurtzen da azpiegituraren barruan gertatzen ari denarekin azkar konektatu daitekeenean.
Detekziotik Ikerketara
Kontuan hartu erakundearen sareko komunikazio potentzialki gaiztoa identifikatzen duen alerta bat. Komunikazio hori gertatu dela jakitea garrantzitsua da, baina hainbat galdera erantzun gabe uzten ditu.
Zein aktibok sortu zuen? Noiz hasi zen jarduera hau? Errepikatu al da? Ba al dago antzeko portaera erakusten duten beste gailurik? Ba al dago barne erregistroetan beste arrastorik? Berehalako erantzuna behar duen gertaera edo jarduera isolatu bati aurre egiten ari gara?
Ikerketak hasierako adierazletik gertakariaren ulermen osoago batera igarotzeko aukera eman beharko liguke.
Beraz, SOC batek alerta bati erantzuten dion abiadura ez da soilik azkar jasotzearen mende. Informazio erlazionatua aurkitzeko eta aztertu behar dutenen eskura jartzeko duen gaitasunak ere badu garrantzia.
SAT-INETen funtzionamenduak berak prozesu honen jarraitutasuna errazten du. Zerbitzuaren dokumentazioaren arabera, CCN-CERTeko langile teknikoek detektatutako gorabeheren informazioa LUCIAn dago eskuragarri parte hartzen duten erakundeetako segurtasun arduradunentzat. Hortik aurrera, gorabehera konpontzeko hartutako neurrien jarraipena egin eta horien berri eman dezakete.
LUCIA, ziber-gertakariak kudeatzeko CCN-CERT tresnak, gorabeheraren jarraipena eta monitorizazioa ahalbidetzen du, eta, besteak beste, SAT-INETetik sortutakoak kudeatzea.
Horrela, detekzioa alerta isolatu bat izateari uzten dio eta gertakariaren kausa eta beharrezko ekintzak ulertu arte mantendu behar den prozesu baten parte bihurtzen da.
Prest al gaude alerta bat iristen denean jarduteko?
Erasotzaileak aurrera egin aurretik informazioa jasotzea abantaila bat da soilik erakundeak azkar erabil badezake.
Beraz, detekzio gaitasunez haratago, garrantzitsua da SAT alerta bat nola integratzen den berrikustea SOCren ohiko eragiketetan:
- Argi al dago nork jasotzen eta aztertzen dituen alertak?
- Detekzio batekin lotutako aktiboa azkar identifikatu al dezakegu?
- Beharrezko barne iturrietarako sarbidea al dugu ikerketa zabaltzeko?
- Antzeko jarduera bilatu al dezakegu beste sistemetan?
- Ba al daude gertakari bat eskalatzeko irizpide argiak?
- Hartutako ekintzak erregistratzen ditugu eta konpondu arte kontrolatzen ditugu?
- Gure detekzio arauak edo prozedurak berrikusten al ditugu gertakari baten ondoren, hobetu dezakegun ikusteko haiek?
Azken galdera bereziki garrantzitsua da. Intzidente batek informazio baliagarria eman dezake bere berehalako ebazpenaren haratago.
Mehatxu bat Alerta Goiztiarreko Sistemak (ALS) identifikatu badu, baina ez erakundearen barne gaitasunek, merezi du arrazoia aztertzea. Agian erabilera kasu berri bat txertatzeko, arau bat doitzeko, adierazle bat gehitzeko edo jarduera zehatz baten ikusgarritasuna hobetzeko aukera dago.
Modu honetan, kanpoko detekzio batek SOCaren barne gaitasunak indartu ditzake antzeko mehatxuen aurka.
Alerta baten balioa ez dago sortzen den unean bakarrik. Ondoren egiteko aukera ematen dizun guztian datza: testuinguru handiagoarekin ikertzea, lehenago erabakitzea, erantzunaren trazabilitatea mantentzea eta ikasten duzuna erabiltzea hurrengo intzidenterako hobeto prestatuta egoteko.
ALSak detekzio goiztiarra eskaintzen du. Abantaila hori erantzun eraginkor bihurtzea erakundeak alerta iristen denean informazioak jarraitu beharreko bide argi bat izatearen menpe dago.
