¿Qué es la respuesta a incidentes?

Fases de la respuesta a incidentes

El objetivo de la respuesta a incidentes es hacer que una organización pase de saber poco o nada sobre una posible intrusión (aparte de que existe) a completar la corrección.

El proceso para lograr este objetivo se divide en seis etapas principales:

1. Preparación: La preparación es clave para una respuesta eficaz a los incidentes y para minimizar el costo y el impacto de un incidente de ciberseguridad. Para preparar para la respuesta a incidentes, una organización debe crear un equipo de respuesta a incidentes y definir y probar un plan de respuesta a incidentes que describa cómo se debe manejar cada etapa del proceso de respuesta a incidentes.
2. Detección y triaje: La respuesta a incidentes comienza con la clasificación del incidente para garantizar que se trata de un incidente de ciberseguridad, la recopilación y preservación de cualquier evidencia disponible antes de las acciones de contención, y la asignación de la categorización y priorización correctas para garantizar que se forme un equipo con los recursos adecuados.
3. Contención: El equipo de seguridad emplea la información recopilada de la fase anterior y puede emplear información sobre técnicas de ciberataque para crear un plan de contención. La contención puede implicar el aislamiento de uno o más sistemas, la aplicación de reglas de firewall o firmas IDS, la adición de hashes a los productos de protección de terminales, la desactivación de cuentas o el aislamiento de una red completa. El objetivo es reducir el daño causado por el incidente y garantizar que el rojo o los sistemas no se vean comprometidos aún más.
4. Remediación/Erradicación: En este punto del proceso, el equipo de respuesta a incidentes realizó una investigación completa y cree que tiene una comprensión completa de lo que ocurrió. A continuación, los equipos de respuesta a incidentes trabajan para eliminar todos los rastros de la infección de los sistemas comprometidos. Esto puede incluir la eliminación de malware y la eliminación de mecanismos de persistencia o un borrado completo y restauración de los equipos afectados a partir de copias de seguridad limpias.
5. Tiempo de recuperación: Luego de la erradicación, el equipo de respuesta a incidentes puede escanear o monitorear los sistemas infectados durante algún tiempo para cerciorar de que el malware se eliminó por completo. Una vez completado, los equipos se restauran al funcionamiento normal levantando la cuarentena que los aísla del resto de la red corporativa.
6. Lecciones aprendidas: Los incidentes de ciberseguridad ocurren porque algo salió mal, y es importante recordar que la respuesta a los incidentes no siempre sale sin problemas. Una vez que se corrigió el incidente, los respondedores al incidente y otras partes interesadas deben realizar una retrospectiva para identificar el intervalo de seguridad y las deficiencias en el plan de respuesta al incidente que podrían corregir para reducir la probabilidad de incidentes futuros y mejorar la respuesta a incidentes en el futuro.

Proceso y técnicas de respuesta a incidentes

Algunos elementos clave de una estrategia de respuesta a incidentes incluyen:

• Reducción de incidentes: Garantizar que haya controles de seguridad que reduzcan el número de incidentes que tiene una organización es el objetivo de cualquier equipo de respuesta a incidentes. Siempre habrá incidentes, por lo que la preparación y las pruebas de control, junto con una respuesta planeada, ayudarán a reducir el impacto del incidente, así como el número de incidentes cibernéticos.
• Técnicas de Investigación de Incidentes: Cuanto más rápido una organización pueda determinar la causa y los detalles de un incidente de seguridad, más rápido se podrá poner en cuarentena y corregir. La definición de procesos para investigar incidentes de seguridad ayuda a respaldar una corrección rápida y garantizar que un incidente no se clasifique incorrectamente o se pase por alto.
• Manuales de estrategias de respuesta a incidentes: Los ataques de ransomware y los ataques DDoS son amenazas muy diferentes y requieren respuestas únicas. Las organizaciones deben contar con manuales para manejar los principales tipos de incidentes de seguridad, cerciorar de que los respondedores a incidentes no se confundan y traten de averiguar qué hacer en medio de un ciberataque.
• Tecnología y herramientas de respuesta a incidentes: Para llevar a cabo actividades de detección y respuesta a incidentes, los analistas de seguridad necesitarán acceso a ciertas herramientas y tecnologías. Luego de definir estos procesos y determinar las capacidades clave, la organización puede adquirir y capacitar a los respondedores de incidentes en las herramientas necesarias para respaldar las actividades corporativas de respuesta a incidentes.