Gestión de incidentes de ciberseguridad

Agradecimientos

A Toni Villalón por su guía durante la elaboración de este libro y, sobre todo, por ayudarme a crecer personal y profesionalmente a lo largo de todos estos años. Gracias por ser un líder y no un jefe, eres una inspiración.

A Pepe Rosell y Miguel Juan por la confianza depositada en mí, y por todas las oportunidades brindadas, ¡y las que están por venir!

A Jose Vila, Adrián Capdevila y a Antonio Sanz, compañeros de trincheras y por supuesto amigos, por su paciencia, dedicación y todos los conocimientos compartidos.

A mi marido, mi compañero de vida, por su inestimable apoyo en todos los proyectos que emprendo.

A mis padres, por cada segundo vivido.

A los errantes, por ser siempre un refugio de ilusión, donde el hacking aún sigue vivo.

A todos los compañeros de S2 Grupo, por todo lo que vivimos a diario, por la ilusión compartida.

A todos los clientes que me han permitido ayudarles, y a todos los compañeros del sector con los que he tenido la suerte de compartir algún proyecto, reunión, congreso, conversación, etc., porque de todos he podido aprender algo.

ACERCA DE LA AUTORA

Maite Moreno es Analista de Inteligencia y Ciberseguridad en la compañía S2 Grupo, donde ha desarrollado casi toda su carrera profesional con más de una década dedicada a la gestión de incidentes de ciberseguridad, inteligencia de amenazas y coordinación de equipos en SOC/CSIRT/CERT de ámbito público y privado.

Además de esta labor, ha colaborado con el Foro Nacional de Ciberseguridad (Departamento de Seguridad Nacional) en el grupo de trabajo "Formación, capacitación y talento en ciberseguridad", forma parte de los foros nacionales CSIRT.es y la Red Nacional de SOCs y es miembro de los foros internacionales FIRST y TF-CSIRT.

La autora está ligada al mundo universitario, donde ha impartido seminarios en diversos másteres de la Universidad Politécnica de Valencia y la Universidad de Alicante. En la actualidad, forma parte del profesorado del máster en ciberseguridad "Red Team, Blue Team" que oferta la Universidad Autónoma de Madrid y codirige ENIGMA, el programa de becas de ciberseguridad de S2 Grupo, un programa formativo de alto rendimiento dirigido a universitarios y estudiantes de Ciclos Superiores de Formación Profesional.

Maite dispone de varias publicaciones y colaboraciones que principalmente pueden ser consultadas en los blogs de S2 Grupo, Security Art Work¹ y el blog de Lab52² –la división de Threat Intelligence de S2 Grupo–, y ha participado como ponente en congresos especializados en ciberseguridad como las Jornadas STIC que organiza el CCN-CERT (Centro Criptológico Nacional), C1b3rwall que organiza la Policía Nacional o Securmática, organizado por la revista SIC.

1 https://www.securityartwork.es/

2 https://lab52.io/blog/

PRÓLOGO

Nunca he prologado un libro. Por eso, cuando Maite me propuso prologar este, le contesté que no sabría muy bien por donde empezar. Pero la respuesta era obvia: por el prólogo, ¿no? Así que manos a la obra. ¿Qué decir de un libro sobre gestión de incidentes, o qué decir sobre la gestión de incidentes en sí misma? Podríamos hablar de las metodologías de gestión, de la importancia de las lecciones aprendidas o del apasionante formato de STIX. Pero todo esto ya lo hace muy bien Maite en este libro, así que, ¿qué puede aportar un simple prólogo en estos ámbitos? Absolutamente nada. Por eso en estas líneas no voy a hablar de ninguno de estos temas, sino de los incidentes y de lo que implican personalmente para quienes los gestionamos.

En primer lugar, obvia decir que un incidente no es algo agradable ni una situación que deseemos para nadie. Un incidente es algo (no entraremos en la definición formal que ya se encarga Maite de presentar en este libro) estresante, que causa mucho daño a una víctima y que al equipo que debe gestionarlo le altera su rutina de trabajo diaria, con lo que tiene impacto para todos los involucrados salvo para el actor hostil, si existe. Dicho de otra forma: nadie quiere tener un incidente de ningún tipo. Si pudiéramos evitarlo, lo haríamos. Si pudiéramos planificarlo, lo haríamos. Pero no podemos, y seguramente antes o después lo suframos en primera persona.

Dicho esto, creo toca ver la parte positiva: la gestión de incidentes no sólo es una simple disciplina dentro de eso que hoy llamamos ciberseguridad, sino que es quizás la más necesaria. Y es la más necesaria porque antes o después tendremos un incidente y tendremos que saber cómo responder. Y como se dice en este libro, ese saber cómo responder no puede esperar a que el incidente suceda: hay que prepararse antes. Mucho antes, cuando tenemos la posibilidad de sentarnos delante de un folio en blanco y empezar a pensar y diseñar qué haremos para responder. Desde luego, cuando el incidente se materializa, no estamos en esta situación.

Más allá de su necesidad, la gestión de incidentes es una disciplina apasionante. Un incidente enseña mucho no sólo del ámbito tecnológico, que también, sino de otros igual de importantes, como el geopolítico o el económico. Nos hace ver las problemáticas de diferentes víctimas, nos ayuda a ponernos en la piel de organizaciones atacadas a las que alguien, por algún motivo, les ha hecho daño. Un incidente nos enseña a conocer a los actores hostiles, sus formas de trabajo, sus intereses, sus necesidades, etc., y a darnos cuenta de que en ocasiones los malos no son tan malos ni los buenos son tan buenos.

Pero aparte del interés puramente objetivo de la gestión de incidentes, y quizás esto sea lo más importante, un incidente nos enseña mucho de las personas con las que colaboramos para resolverlo: pasar días (y noches) juntos, trabajando codo con codo en largas jornadas, muchas veces lejos de casa, convierte a los que hasta ese momento sólo eran compañeros de trabajo en compañeros de trinchera, en amigos. Basta un incidente serio (un compromiso por APT, un ransomware operado con alto impacto, etc.) para identificar a esas personas de las que uno se puede fiar ciegamente y con las que puede contar para todo, en lo profesional y en lo personal.

Si es que alguien ha llegado hasta aquí, no pretendo aburrir más al lector. Si me permiten un consejo, expriman este libro y prepárense para el día en que tengan un incidente de seguridad. Cuando llegue el momento, tengan a mano este libro y café, e intenten hacerlo lo mejor posible. Y aprendan, sobre todo aprendan, porque volverán a tener un incidente.

Como no podía ser de otra forma, no podía acabar sin dar las gracias a Maite no sólo por el trabajo desarrollado en este libro y por permitirme prologarlo, sino especialmente por su trabajo diario en S2 Grupo… y por los incidentes gestionados durante todos estos años. Y por muchos más.

Antonio Villalón Huerta

Director de Seguridad, S2 Grupo

PREFACIO

La información y los sistemas que la tratan son recursos muy valiosos para las organizaciones, sin los cuales el desarrollo de sus actividades se vería muy mermado. Cualquier incidente de seguridad sobre dichos sistemas podría provocar daños irreparables en la organización, sobre todo si afecta a su información corporativa o a los sistemas que la alojan (fugas de datos, accesos no autorizados a la información, denegación de servicios, etc.).

Todas las organizaciones y empresas, estén vinculadas o no a las tecnologías digitales, son susceptibles de sufrir las consecuencias de incidentes de ciberseguridad que afectan a los sistemas de información, bien por ser víctimas directas o bien porque los sufra algún tercero vinculado. Este hecho provoca que sea necesario dotar a las organizaciones de una capacidad de gestión de incidentes de ciberseguridad que les permita dar una respuesta correcta, ágil y proporcional con el objetivo de minimizar el impacto y la frecuencia de dichos incidentes.

El objeto del presente libro es definir las directrices necesarias para establecer en los lectores una capacidad de gestión ante incidentes de ciberseguridad, contemplando todas las fases del ciclo de vida de esa gestión. Los contenidos, además, han sido adaptados para los requeridos en el módulo profesional 5021 Incidentes de ciberseguridad, que se engloba dentro del ciclo formativo Curso de Especialización de Ciberseguridad en Entornos de las Tecnologías de la Información³ (Título LOE).

Se proporcionará el conocimiento necesario para establecer una capacidad de detección de incidentes implantando los controles, las herramientas y los mecanismos necesarios para su monitorización e identificación. Del mismo modo, se formará al lector en las líneas de actuación necesarias para analizar y dar respuesta a incidentes de ciberseguridad, identificando y aplicando las medidas necesarias para su mitigación, eliminación, contención o recuperación.

Las líneas de actuación que permitirán alcanzar los objetivos previstos versarán, entre otros, sobre:

Detección de incidentes mediante distintas herramientas de monitorización.

Implantación de las medidas necesarias para responder a los incidentes detectados.

Identificación de la normativa nacional e internacional aplicable en la organización.

Notificación de incidentes tanto interna como externa, si aplica, mediante los procedimientos adecuados.

Elaboración de planes de prevención y concienciación de ciberseguridad.

La estructura del libro se divide en dos bloques principales. Un primer bloque, que contempla los tres primeros capítulos, focalizados en explicar qué es un incidente de seguridad, qué tipos hay, y cómo deben capacitarse las organizaciones para poder enfrentarse a su gestión. Se estudiará por tanto qué es la capacidad de respuesta ante incidentes, cómo funciona un equipo de respuesta ante incidentes, y cuáles son los diferentes actores que conforman la Organización de la Seguridad⁴ en una compañía, sus funciones y responsabilidades, así como la implantación de una estructura que las soporte.

El segundo bloque del libro comienza en el capítulo cuatro, en el que se explica cuál es el ciclo de vida de la gestión de un incidente, diferenciando cuatro grandes etapas: planificación, detección, respuesta y lecciones aprendidas.

Para cada una de estas etapas se ha dedicado un capítulo; así, en el capítulo cinco se estudian las tareas que tienen lugar en la etapa de planificación. Esto incluye las acciones previas que es necesario hacer para estar preparado ante un incidente de seguridad: elaborar procedimientos, establecer relaciones de confianza con terceros de interés, entrenar al equipo de respuesta ante incidentes, concienciar a los empleados en materia de ciberseguridad y, entre otros, monitorizar todas aquellas fuentes de datos que nos ayudarán a detectar cualquier tipo de situación que pueda desencadenar un incidente de seguridad.

En el capítulo seis, se continúa el ciclo de vida de gestión de incidentes con la etapa de detección y valoración del incidente, capítulo en el que se explica cómo los analistas gestionan aquellos eventos procedentes de la plataforma de monitorización, que señalan que posiblemente se está ante un incidente de seguridad.

El capítulo siete, que corresponde a la etapa más activa dentro del ciclo de vida de gestión de incidentes, la etapa de respuesta, se centra en explicar cómo se debe contener y erradicar un incidente de seguridad, así como qué se debe tener en cuenta para recuperar la normalidad tras el incidente. El ciclo sería cerrado en el capítulo ocho, donde una vez se ha erradicado el incidente y vuelto a la normalidad, se debe hacer un ejercicio de retrospectiva en el que se determine si se ha hecho una gestión del incidente de manera óptima o se han encontrado puntos de mejora: las llamadas lecciones aprendidas. El capítulo nueve contempla ejemplos sobre como se deberían tratar varios tipos de incidentes en su ciclo completo, para poner en práctica todo lo aprendido en capítulos anteriores.

Todo lo que no se puede medir no se puede mejorar y, es por esto que en el último capítulo del libro se dan unas directrices básicas sobre qué métricas se deben tener en cuenta para mejorar la gestión de incidentes se seguridad en nuestro ámbito.

Con esta visión tanto teórica como práctica, el lector conocerá las bases tanto de la detección de incidentes, como de su análisis y respuesta, dotándole de las herramientas básicas para iniciarse en el mundo profesional de la gestión de incidentes de ciberseguridad.

3 https://www.todofp.es/en/que-estudiar/loe/informatica-comunicaciones/ciberseguridad-entornos-tecnologias-informacion.html

4 Establecer un marco de gestión para iniciar y controlar la implementación y la operación de la seguridad de la información dentro de la organización.

1

QUÉ ES UN INCIDENTE DE SEGURIDAD

Son diferentes las definiciones que se pueden encontrar al respecto.

De acuerdo con la normativa ISO 27001⁵ [1] un incidente de seguridad de la información sería:

Un evento o una serie de eventos de seguridad de la información no deseados o inesperados que tienen una probabilidad significativa de comprometer las operaciones comerciales y amenazar la seguridad de la información.

De forma más simplificada, INCIBE⁶ define un incidente de ciberseguridad como

Cualquier suceso que afecte a la confidencialidad, integridad o disponibilidad de los activos de información de la empresa.

Es interesante matizar que los términos suceso y evento son sinónimos y se podrían definir como [9]:

Suceso: ocurrencia o cambio de un conjunto particular de circunstancias [UNE Guía 73:2010].

Suceso de seguridad de la información: ocurrencia detectada en el estado de un sistema, servicio o red que indica una posible violación de la política de seguridad de la información, un fallo de los controles o una situación desconocida hasta el momento y que puede ser relevante para la seguridad [UNE-ISO/IEC 27000:2014].

Evento: (Operación del Servicio) un cambio de estado significativo para la cuestión de un elemento de configuración o un servicio de TI⁷. El término evento también se usa como alerta o notificación creada por un servicio de TI, elemento de configuración o herramienta de monitorización. Los eventos requieren normalmente que el personal de operaciones de TI tome acciones, y a menudo conllevan el registro de Incidentes. [ITIL:2007]⁸

Se debe tener presente pues que un evento de seguridad de la información se refiere a algo que puede afectar a los niveles de riesgo, sin afectar de forma necesaria al negocio o a la información. Sin embargo, un incidente de seguridad de la información se refiere a algo que afecta de forma negativa tanto a los procesos del negocio como a la información [2].

Algunos ejemplos de incidentes de ciberseguridad serían los siguientes:

Accesos no autorizados a información corporativa (intrusiones, Amenazas Persistentes Avanzadas⁹ [3], etc.).

Código dañino en los sistemas corporativos (gusanos, troyanos, virus, ransomware, rootkits, backdoors (RAT¹⁰), downloaders, etc.).

Código no autorizado en los sistemas corporativos (por ejemplo, software pirata).

Ataques remotos (denegación de servicio, reconocimiento activo del perímetro, etc.).

Ataques a los contenidos (Defacement¹¹, distribución de contenido fraudulento o malicioso, etc.).

Es habitual encontrar a diario en prensa noticias sobre incidentes de ciberseguridad que comprometen las actividades de las organizaciones o los datos de los ciudadanos, como los prolíficos ataques por ransomware (secuestro de información a cambio de beneficio económico), ataques de denegación de servicio, ataques a cadena de suministro (Supply Chain Attack), ciberespionaje, campañas de phishing, etc. Y es que, existe una gran variedad de ciberamenazas por las que un actor hostil puede alcanzar sus objetivos o motivaciones:

Ciberespionaje (robo de información en beneficio propio o de un tercero como un Estado u organización).

Ciberdelito (beneficio económico, daño reputacional, etc.).

Ciberterrorismo (provocación de daños en el plano físico, ataques a infraestructuras críticas, etc.).

Ciberactivismo (reivindicación ideológica, protesta, etc.).

Ciberguerra (superioridad en el ciberespacio…).¹²

No obstante, los incidentes de ciberseguridad no siempre son causados por atacantes, sino que pueden estar asociados a accidentes o errores no intencionados. En cualquier caso, deben ser gestionados de la forma más idónea posible, esto es, minimizando al máximo su impacto, restaurando los niveles de operación lo antes posible y previniendo, en la medida de lo posible, la ocurrencia de los mismos.

NORMATIVA DE REFERENCIA

En este apartado se