Detectar unha ameaza cedo é o primeiro paso. A partir de aí comeza outra parte igualmente importante: determinar o que está a suceder, que sistemas poden verse afectados e que resposta require o incidente.
O CCN-CERT Sistema de Alerta Temperá (SAT) está deseñado precisamente para identificar ameazas e incidentes nas súas primeiras etapas e, polo tanto, axudar a reducir o seu impacto e alcance. En SAT-INET, cando o sistema detecta un incidente, a organización afiliada recibe a notificación correspondente e a información está dispoñible para a súa consulta e monitorización.
Para un SOC, esa alerta debería converterse nun punto de partida para a investigación.
Unha detección pode apuntar a un enderezo IP, unha comunicación sospeitosa, un patrón de ataque ou calquera outro elemento que requira atención. O seguinte paso é contextualizar esa información dentro da propia organización: identificar os activos relacionados, buscar actividade asociada e determinar se hai outras pistas que revelen o verdadeiro alcance do incidente.
Aquí é onde entran en xogo as capacidades internas do SOC. Os rexistros dispoñibles, a telemetría de puntos finais, o SIEM e outras fontes poden axudar a reconstruír o que aconteceu antes e despois da actividade detectada.
Unha alerta externa, polo tanto, vólvese moito máis valiosa cando pode conectar rapidamente co que está a suceder dentro da infraestrutura.
Da detección á investigación
Considere unha alerta que identifica unha comunicación potencialmente maliciosa da rede da organización. Saber que se produciu esta comunicación é relevante, pero deixa varias preguntas sen resposta.
Que activo a xerou? Cando comezou esta actividade? Repetiuse? Hai outros dispositivos que mostren un comportamento similar? Hai pistas adicionais nos rexistros internos? Estamos a tratar cun evento ou actividade illada que require unha resposta inmediata?
A investigación debería permitirnos pasar do indicador inicial a unha comprensión máis completa do incidente.
Polo tanto, a velocidade coa que un SOC responde a unha alerta non depende só de recibila rapidamente. A súa capacidade para localizar información relacionada e poñela á disposición de aqueles que a necesiten analizar tamén xoga un papel importante.
O propio funcionamento de SAT-INET tamén facilita a continuidade deste proceso. Segundo a documentación do servizo, a información sobre os incidentes detectados polo persoal técnico de CCN-CERT está dispoñible en LUCIA para os responsables de seguridade das organizacións participantes. Desde alí, poden rastrexar e informar sobre as accións realizadas para resolver o incidente.
LUCIA, a ferramenta de CCN-CERT para a xestión de ciberincidentes, permite o seguimento e a monitorización do incidente e xestionar, entre outros, os orixinados en SAT-INET.
A detección deixa así de ser unha alerta illada e convértese en parte dun proceso que debe manterse ata que se comprenda a causa do incidente e as accións necesarias.
Estamos preparados para actuar cando chega unha alerta?
Recibir información antes de que o atacante avance só é unha vantaxe se a organización pode usala rapidamente.
Polo tanto, máis alá das capacidades de detección, é importante revisar como se integra unha alerta SAT nas operacións rutineiras do SOC:
- Está claro quen recibe e analiza as alertas?
- Podemos identificar rapidamente o activo relacionado cunha detección?
- Temos acceso ás fontes internas necesarias para ampliar a investigación?
- Podemos buscar actividade similar noutros sistemas?
- Hai criterios claros para escalar un incidente?
- Rexistramos as accións realizadas e monitorizámolas ata a súa resolución?
- Revisamos as nosas propias regras ou procedementos de detección despois dun incidente para ver se podemos mellorar eles?
A última pregunta é especialmente importante. Un incidente pode proporcionar información útil máis alá da súa resolución inmediata.
Se o Sistema de Alerta Temperá (EWS) identificou unha ameaza, pero non as capacidades internas da organización, paga a pena analizar o motivo. Quizais haxa espazo para incorporar un novo caso de uso, axustar unha regra, engadir un indicador ou mellorar a visibilidade dunha actividade específica.
Deste xeito, unha detección externa tamén pode acabar fortalecendo as capacidades internas do SOC contra ameazas similares.
O valor dunha alerta non reside só no momento en que se xera. Reside en todo o que permite facer despois: investigar con maior contexto, decidir antes, manter a trazabilidade da resposta e usar o que se aprende para estar mellor preparado para o seguinte incidente.
O EWS proporciona unha capacidade de detección temperá. Converter esa vantaxe nunha resposta eficaz tamén depende de que a organización teña un camiño claro para que a información siga cando chegue a alerta.
