Sobre la Red Nacional de SOC

Sobre la RNS

El CCN-CERT tradicionalmente ha colaborado y colabora en varios SOC de diferente magnitud, ya sea a nivel de Ministerios, Diputaciones/Cabildos, o Entidades Locales, a los que se han venido a añadir últimamente Operadores de Servicios Esenciales. En esta dinámica surgió la necesidad de crear una herramienta que interconectara los SOC para que de manera fulminante se pudiera cortar cualquier intento sospechoso de ciberataque, incluso antes de determinar si consistía realmente en tal o no.

Posteriormente, a finales de 2020, la Comisión Europea lanzó su Estrategia de Ciberseguridad para la Década Digital, en la que adquiere un papel relevante una red europea de SOC,s, basada en herramientas de Inteligencia Artificial. La justificación de la Comisión viene de que Europa había sufrido una pandemia de ransomware y la red de CSIRT existente a nivel europeo no había sido capaz de pararla. Por tanto, se quería focalizar ahora la detección en los SOC.

Todo ello lleva al CCN-CERT a crear la Red Nacional de SOC, plataforma que integra los SOC de todos los organismos públicos de la Administración Española, junto con las entidades proveedoras que prestan dichos servicios de SOC y las entidades públicas que se benefician de los mismos.

Su objetivo principal es impulsar la capacidad de Protección de sus miembros mediante el bloqueo casi inmediato de cualquier indicio de actividad anómala que se esté detectando en cualquier punto de la Administración.

Entidades participantes

A la red Nacional de SOC podrán adherirse entidades de las siguientes categorías:

Información a compartir

El principal activo de la Red Nacional de SOC son los indicadores de ataque o compromiso (IOA/IOC) de los incidentes que se puedan estar produciendo en el momento actual en alguna de las entidades miembro. Siempre bajo la premisa de “sólo compartir lo que yo mismo estoy ya bloqueando”. En concreto:

• Direcciones IP de atacantes (o supuestos atacantes)
• Dominios de sitios comprometidos (o supuestamente comprometidos)
• URL específicas con contenido dañino
• Firmas o Hashes de ficheros con contenido dañino
• Direcciones de correo propagadoras de contenido dañino
• Reglas de detección de amenazas, por comportamiento de red (reglas SNORT), por contenido dañino (reglas YARA) o por comportamiento monitorizado en los SIEM (reglas SIGMA).

No es objeto de la Red Nacional de SOC compartir información que pueda contener datos personales o de las víctimas. Ni informes o investigaciones genéricas sobre amenazas en el ciberespacio si éstas no se están materializando en alguno de los miembros. Respecto del primer punto, cada entidad tendrá que preocuparse de filtrar la información que considere oportuna. Y respecto del segundo, es en la solución REYES del CCN-CERT en donde se centraliza toda la información de ciberinteligencia.

Adicionalmente, a medida que se vaya desplegando la infraestructura tecnológica correspondiente, también se podrán compartir:

• Reglas genéricas de detección y casos de uso
• Listas negras con los IOC/IOC compartidos
• Métricas e indicadores a utilizar en un SOC para mejorar su gestión
• Listas blancas con ubicaciones legítimas
• Vulnerabilidades
• Alertas de los SIEM
• ...

Beneficios de participar

Para los proveedores con nivel “Gold”, el principal beneficio es el acceso a todos los IOC/IOA compartidos en la RNS desde un inicio. De modo que pueda trasladar la protección ante dichas amenazas a sus clientes de manera casi inmediata. E, indirectamente, un mejor posicionamiento frente a los procesos de contratación en los que se haya especificado como requisito pertenecer a la Red Nacional de SOC con dicho nivel.

Para el resto de proveedores, los beneficios son los mismos aunque demorados ligeramente en el tiempo.

Y para las entidades públicas, no sólo el acceso a los indicadores anteriormente mencionados, sino a un foro de compartición en donde pondrán intercambiar recomendaciones respecto a la gestión y dirección de los SOC. Como pudieran ser modelos de contratación, recomendaciones sobre proveedores, definición de indicadores para la medición de los servicios…