Pasos de mitigación de respuesta a incidentes
El Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés) define un proceso de cuatro pasos para gestionar un incidente de seguridad:
#1. Preparación para la respuesta a incidentes
La preparación es esencial para garantizar que una organización esté preparada para un incidente cuando ocurra. Algunos elementos clave de la etapa de preparación incluyen:
- Planeación de la respuesta a incidentes: Las compañías se enfrentan a una amplia variedad de amenazas cibernéticas (como una amenaza interna) y deben contar con procesos para abordarlas. Por ejemplo, un plan eficaz de respuesta a incidentes debe incluir estrategias para gestionar ransomware, denegación de servicio distribuido (DDoS), violaciones de datos y otros ciberataques.
- Desarrollo de un Equipo de Respuesta a Incidentes (IRT): El IRT es responsable de gestionar un incidente identificado y debe ser capaz de tomar medidas rápidas. Definir el equipo con anticipación garantiza que los miembros puedan actuar rápidamente y brinda la oportunidad de capacitar a los respondedores antes de que ocurra un incidente.
- Definición de roles y responsabilidades: El marco de respuesta a incidentes requiere una toma de decisiones y una acción rápidas. Las funciones y responsabilidades deben definir con antelación para que todos sepan cuál es su función y a quién contactar para tomar decisiones clave.
- Establecimiento de canales de comunicación: El IRT debe estar localizable en todo momento para garantizar una respuesta rápida a un incidente. Además, la organización debe contar con canales establecido para poner en contacto con las principales partes interesadas internas y externas, como el alta dirección, los departamentos jurídicos, las fuerzas del orden y los reguladores.
- Realización Evaluaciones de riesgos: Prevenir un incidente antes de que ocurra siempre es mejor que gestionarlo a posteriori. Las evaluaciones de riesgos periódicas pueden poner de manifiesto que la organización puede cerrar antes de que puedan ser explotadas por un atacante.
#2. Identificación y evaluación inicial
Antes de que un IRT pueda comenzar a abordar un incidente, necesita saber que existe un problema. Algunos pasos clave hacia la identificación y evaluación de incidentes incluyen:
- Reconociendo Indicadores de compromiso (IoCs): Los IoC son señales de que se produjo un incidente cibernético, como tráfico de red sospechoso o la presencia de malware en una computadora. La supervisión continua puede identificar estos IoC, que apuntan a un posible incidente de seguridad.
- Detección y análisis de eventos de seguridad: La identificación de IoC y la detección de incidentes están habilitadas por la supervisión de eventos. Los analistas que emplean la gestión de eventos e información de seguridad (SIEM) y soluciones similares pueden identificar anomalías o tendencias que apuntan a un incidente de seguridad.
- Determinación del tipo de incidente: Las compañías pueden experimentar una variedad de incidentes de seguridad. Determinar el tipo y el alcance del incidente es importante para la priorización de incidentes y una respuesta correcta.
- Priorización de incidentes en función del impacto y el riesgo: Una organización puede experimentar múltiples ciberataques simultáneos. La priorización es esencial para garantizar que la compañía no pase por alto o retrase la gestión de un incidente grave debido a una respuesta a uno menor.
#3. Contención, mitigación y recuperación
Una vez que se identificó un incidente, contener la amenaza de ciberseguridad y mitigarla es esencial para limitar el daño causado.
Algunas actividades clave en esta fase incluyen:
- Estrategias de contención a corto plazo: A corto plazo, el IRT debe tomar medidas para detener rápidamente la propagación de la intrusión. Esto puede implicar estrategias de contención más disruptivas, como la eliminación de sistemas o servicios importantes, que no se pueden mantener a largo plazo.
- Estrategias de contención a largo plazo: Es probable que una organización necesite una estrategia de contención más específica a largo plazo. Esta estrategia debe basar en el tipo de incidente y el conjunto de sistemas afectados, y el IRT debe crear planes de contención tanto a corto como a largo plazo con antelación.
- Investigación y corrección de sistemas comprometidos: Una vez que se aislaron los sistemas afectados, el IRT puede comenzar a investigar y remediar los sistemas comprometidos. Esto incluye la recopilación de datos y pruebas para permitir una corrección específica y respaldar cualquier acción legal.
- Restablecimiento de los sistemas y servicios afectados: Una vez corregido el incidente, los sistemas afectados pueden volver a la normalidad. A lo largo de este proceso, el IRT debe monitorear y probar los sistemas para garantizar la erradicación completa de la intrusión y una recuperación completa.
#4. Actividades posteriores al evento
Una vez que se completa una respuesta a incidentes, el IRT puede realizar actividades de conclusión, que incluyen:
- Documentar el incidente: Documentar completamente un incidente es clave para evitar problemas similares en futuros incidentes y mantener el cumplimiento normativo. Los respondedores de incidentes deben tomar notas durante el proceso de IR y generar documentación formal una vez que se completó.
- Realización de una retrospectiva: Los IRT suelen realizar una retrospectiva luego de un incidente de seguridad. Esto les permite identificar cualquier problema con el proceso de respuesta a incidentes que pueda corregir en el futuro.
- Abordar la causa raíz: Durante la investigación, el IRT debe identificar la vulnerabilidad inicial que permitió que ocurriera el incidente. La organización puede abordar este problema mediante la aplicación de parches y actualizaciones o la adopción de otras medidas para reforzar los controles de seguridad.
Comentarios