Plan de respuesta ante incidente de seguridad
Enviado por mseveriche • 6 de Marzo de 2022 • Informes • 829 Palabras (4 Páginas) • 92 Visitas
- Plan de Respuesta a Incidentes de Seguridad (Ante la detección de códigos maliciosos).
Este documento considera un conjunto de fases, o de acciones a seguir en caso de que un equipo o un conjunto de ellos hayan sido infectados por algún tipo de malware, ya sea de manera manual o automatizada, Por tanto, sirve de guía en las actividades preventivas y reactivas, de manera que puedan evitarse las infecciones por malware o, en su defecto, que de presentarse puedan mantener las operaciones, la confidencialidad, la disponibilidad y la integridad de la información de la plataforma institucional.
[pic 1]
Recuperar la normalidad de las operaciones
Fases para atender un incidente de infección por malware
Fases | Descripción | Acciones a Tomar | Virus/ Malware | Recomendaciones |
1 | Identificar la infección, detectar los indicios de la infección, de los equipos infectados y la información que está riesgo. | -Escanear con herramientas de detección automatizadas. -Revisar consolas con información de amenazas y vulnerabilidades. (Actualizadas). -Reporte de fallas anormales de usuarios. | -Malware | -También en: host, Sistemas operativos de servidores, estaciones de trabajo, proxies web, mensajería instantánea de clientes. |
2 | Determinar el alcance de la infección, cuantificar la cantidad de sistemas Operativos, equipos, sub-red ó toda la red Corporativa infectada. | -Calcular los recursos necesarios, tiempo para la solución. -Revisar los sistemas comprometidos. -Verificar el nivel de criticidad de la información que procesan, transmiten y almacenan. | -Malware | -Determinar si se ha filtrado información sensible. -Datos corporativos/empleados, clientes y el impacto negativo. |
3 | Mantener la continuidad del negocio, de acuerdo al alcance de la infección, se podrá determinar si información sensible o equipos críticos se han visto afectados, posteriormente, se toman las decisiones. | -En caso de fuga de información, de empleados, clientes y usuarios, avisar la posible brecha. _En caso de daño físico; (afecta la disponibilidad). -Restaurar información, proceso de (Backups).
| -Malware | -Elaborar: A) Plan de defensas contra amenazas. B) Respaldos de infraestructura tecnológica y de información. C) Plan de Continuidad del Negocio, realizar pruebas periódicas. |
4 | Contener las acciones maliciosas, Las estrategias y los lineamientos del equipo de respuesta varían en función del incidente y la magnitud del mismo, si es ocasionado por: ransomware, botnet y spyware. | -Aislar los equipos infectados. -suspender los segmentos de la red comprometidos. -Mitigar el impacto de propagación. -Identificar el vector de ataque. -En caso de cifrado usar ingeniería inversa, para obtener claves criptográficas. | - Malware. -Ransomware. -Bonet. -spyware | -Tomar en cuenta: -Malas prácticas de los usuarios. -Propagación e infección a través de medios externos y removibles, -Explotación de vulnerabilidades, -Protocolos no cifrados (HTTP). -Crear reglas de firewall. -Alertar al personal clave para mitigar la propagación. |
5 | Erradicar la infección y el vector de ataque, Para la remoción de las amenazas se requiere de un procedimiento complejo, un análisis minucioso del comportamiento del malware y su funcionamiento. | -Elaborar manuales de procedimientos para la desinfección. - Aislar la falla que les permitió el ingreso y eliminarla del sistema. -Analizar los paquetes de red para identificar tráfico anormal, protocolos, puertos y comandos. -Eliminar de raíz el malware, teniendo conocimiento pleno de cómo actúa y el daño que ocasiona. | -Malware | -Aplicar medidas de protección: -Cambiar las contraseñas, -Revisar nuevamente las reglas del Firewall. -Actualizar las credenciales de acceso. -Activar herramientas de seguridad. ((SIEM, IPS/IDS). |
6 | Recuperar la normalidad de las operaciones, luego de haber removido el malware y de que se han identificado y mitigado las vulnerabilidades que fueron explotadas. | -Restauración de los sistemas y respaldos. -Reemplazar los archivos infectados. -Instalar y actualizar parches de seguridad. -Cambiar contraseñas y reforzar la seguridad perimetral. | N/A | -El tiempo de recuperación depende gran parte de las consecuencias generadas por la infección, siempre deber ser en el menor tiempo posible. |
7 | Registrar las lecciones aprendidas, Finalmente, otro elemento de importancia en el proceso de atención a incidentes es el aprendizaje y la mejora continua, permite ver las fallas y fortalecer el trabajo en equipo. | -Documentar la investigación de lo acontecido. Permite mejorar los procesos dentro de la empresa y que los equipos de respuesta evolucionen para enfrentar nuevas amenazas. | -Nuevas amenazas (Actualizadas) | -Analizar por parte del personal interno de seguridad sobre el incidente. -También, por parte de laboratorios especializados -Tener base de conocimiento de las amenazas potenciales. |
- Recomendaciones Generales de Seguridad
- Mantener actividades de prevención y detección proactivas de amenazas de seguridad, para mantener los sistemas más seguros y trabajando correctamente.
- Elaborar Planes de Continuidad del Negocio, Plan de Contingencia y el de Recuperación Ante Desastre y probarlos realizando ejercicios, análisis paso a paso o simulaciones, para mejorar las posibles fallas.
- Elaborar y mantener actualizados los manuales de procesos y procedimientos de seguridad de la información.
- Elaborar el Manual de Políticas de Seguridad de la Información, se debe publicar para hacer del conocimiento del todo el personal de la institución.
- Configurar herramientas de detección (antimalware, antiphishing, antispam, análisis de web y correo entre otros).
- Elaborar políticas de respaldos de información, sobre todo de los críticos y medulares de la empresa, realizar pruebas de restauración para comprobar que se han realizado correctamente.
- Disponer de un recurso humano suficientemente capacitado y especializado, capaz de enfrentarse a los eventos inesperados que atentan contra la operatividad, seguridad y disponibilidad de los sistemas de información y las comunicaciones.
...