Tras comprender as capacidades do Sistema de Alerta Temperá, xorde unha pregunta práctica que pode influír na decisión dunha organización: que implica realmente incorporalo á súa infraestrutura?
A resposta depende do servizo (SAT-INET ou SAT-ICS) e do entorno que se vai monitorizar, pero ambos baséanse nun principio similar. A implementación dunha sonda permite a análise dunha copia do tráfico e a xeración de eventos que se envían ao sistema central CCN-CERT para a súa análise.
Isto significa que a incorporación do SAT non require substituír as solucións de seguridade existentes nin modificar o funcionamento normal da rede. O sistema complementa as capacidades existentes e proporciona unha fonte adicional de información para os equipos de seguridade.
Unha sonda que observa o tráfico sen intervir nel
En SAT-INET, a sonda analiza unha copia do tráfico de internet da organización. Aplícanse diferentes mecanismos e regras de detección a esta copia para identificar actividades potencialmente maliciosas. Os eventos relevantes transmítense de forma segura ao sistema central CCN-CERT, onde se realiza a análise e a correlación.
En SAT-ICS, o enfoque está adaptado a redes industriais e sistemas SCADA. A monitorización tamén é pasiva: a sonda recibe unha copia do tráfico, o que permite a análise das comunicacións sen interferir cos procesos que se monitorizan.
Unha vez despregado o servizo, a organización ten acceso ao portal SAT. Desde este ambiente, o persoal de seguridade autorizado pode ver eventos da súa propia organización.
En SAT-INET, o portal permite o acceso a eventos de seguridade detectados en tempo real e a xeración de informes. SAT-ICS tamén incorpora capacidades relacionadas coa visualización de activos e comunicacións, estatísticas e información sobre anomalías identificadas.
Así, SAT intégrase no traballo do equipo de seguridade como unha fonte adicional de información sobre o que está a suceder na infraestrutura.
Que ter en conta antes de unirse
Aínda que gran parte da xestión técnica do sistema recae no CCN-CERT, ter o SAT (Servizo de Asistencia Técnica) non elimina a necesidade de que a organización teña a capacidade de aproveitar a información que proporciona.
Unha alerta só se volve valiosa cando hai un equipo capaz de analizar o seu significado para o seu entorno, comparala con outras fontes e actuar cando sexa necesario.
Polo tanto, antes de unirse, pode ser útil revisar algunhas preguntas:
- Que redes ou entornos queremos monitorizar?
- Necesitamos monitorización do tráfico de internet, entornos industriais ou ciberfísicos, ou ambos?
- Quen será o responsable de consultar e usar a información proporcionada polo SAT?
- Como se incorporarán as súas alertas aos procedementos habituais de análise e xestión de incidentes?
- Que fontes internas podemos consultar para ampliar tras un
- Existe un procedemento claro para escalar unha alerta cando se confirma que se require unha acción?
Estas son preguntas sinxelas, pero axudan a evitar que a integración se vexa unicamente como o despregamento de nova tecnoloxía.
O CCN-CERT xestiona, actualiza e mantén os compoñentes básicos do sistema e mantén as capacidades de detección que soportan o servizo. Para a axencia, o traballo real comeza cando esa información chega aos seus equipos de seguridade e se integra nas súas operacións.
Os tres artigos anteriores desta serie mostraron diferentes xeitos nos que o SAT pode expandir as súas operacións: proporcionando novas capacidades de detección, vinculando información de diferentes axencias e mellorando a visibilidade dos activos e as comunicacións en entornos industriais.
A integración no sistema permite reunir estas capacidades nun servizo común. O obxectivo non é acumular outra ferramenta, senón ter información que axude á organización a identificar unha ameaza antes e tomar mellores decisións cando xorde.
Polo tanto, avaliar a incorporación ao SAT require mirar máis alá do despregamento técnico. A pregunta relevante é como se pode integrar a información que proporciona nos procesos que a organización xa emprega para detectar, analizar e responder a un posible incidente.
