Auditorias de incidentes
de ciberseguridad

Superficie de ataque

Suma total de las vulnerabilidades de un sistema a las que puede acceder un atacante; describe los puntos por donde podria entrar o sacar datos del sistema.

Exploit

Mecanismo utilizado para aprovechar una vulnerabilidad y comprometer un activo.

Exploit remoto

Funciona a traves de la red sin ningun acceso previo al sistema de destino; el atacante no necesita cuenta en el sistema final.

Exploit local

El actor de la amenaza ya tiene algun tipo de acceso administrativo o de usuario al sistema final (no implica necesariamente acceso fisico).

Comprender el ciclo de vida de un ciberataque (Cyber Kill Chain) permite detectarlo, detenerlo e interrumpirlo. Si se rompe la secuencia en cualquiera de sus fases, el ataque queda bloqueado.

1. Reconocimiento

El atacante recopila informacion publica: tecnologia usada, redes sociales, interacciones por correo. Se valora que metodos podrian funcionar.

2. Escaneo y analisis de vulnerabilidades

Busqueda de huecos de seguridad: puertos abiertos, cuentas de usuario, correos, servicios activos. Puede pasar desapercibida sin monitorizacion continua.

3. Explotacion (acceso inicial)

Detonacion del ataque: vulnerabilidad conocida, exploits, credenciales filtradas, phishing/ingenieria social o accesos remotos mal configurados. El objetivo es mantenerse dentro sin ser detectado.

4. Compromiso del sistema (movimiento lateral)

Se exploran otras maquinas de la red, se instalan puertas traseras o troyanos, se buscan o crean credenciales de administrador.

5. Eliminacion de pruebas (objetivos finales)

Fase mas destructiva: filtracion y venta de datos, cifrado con ransomware, sabotaje, puertas traseras para el futuro, y borrado/modificacion de logs.

Herramientas usadas para llevar a cabo un ataque

Clasificacion general

Incidentes no intencionados

• Danos fisicos.
• Incumplimiento o violacion de requisitos y regulaciones legales.
• Fallos en las configuraciones.
• Denegacion de servicio.
• Acceso no autorizado, espionaje y robo de informacion.
• Borrado o perdida de informacion.
• Infeccion por codigo malicioso.

A quien afectan los servicios de seguridad

Factores de clasificacion de un incidente

• Tipo de amenaza (codigo danino, intrusiones, fraude...).
• Origen de la amenaza: interna o externa.
• Categoria de seguridad de los sistemas afectados.
• Perfil de los usuarios afectados y sus privilegios de acceso.
• Numero y tipologia de los sistemas afectados.
• Impacto en informacion, servicios, conformidad legal e imagen publica.
• Requerimientos legales y regulatorios.

Taxonomia de incidentes (categorias principales)

Logs del sistema

Registran incidentes y funcionamientos anomalos. Deben protegerse almacenandolos en un entorno distinto al del sistema protegido, por ejemplo en discos WORM (Write Once Read Many) o mediante un servidor de logs centralizado.

NTP (Network Time Protocol)

Sincroniza los relojes de equipos y dispositivos, imprescindible para poder comparar y correlacionar distintos logs.

CLF / ELF

Common Log Format / Extended Log Format: formatos habituales de log en servidores web.

Senales de alerta a vigilar

• Anomalias de trafico: aumento inusual en conexiones normalmente estables.
• Accesos de cuentas sin permisos: aumento repentino de privilegios de conexion de un empleado.
• Consumo excesivo y archivos sospechosos: aumento de memoria/disco o ficheros ocultos de tamano sospechoso.

El objetivo de una auditoria es detectar, investigar y explotar vulnerabilidades mediante pruebas acordadas con el cliente, protegiendo la informacion critica y garantizando el cumplimiento legal.

Auditoria legal vs. forense

Rol del auditor: caja blanca, negra y gris

Tipos de auditoria

Estructura de un informe de auditoria

Portada - Control de versiones - Indice - Introduccion - Informe ejecutivo - Informe tecnico - Desarrollo - Conclusiones - Anexos. Debe combinar el punto de vista tecnico y el ejecutivo.

Los controles se clasifican segun el momento en que actuan respecto al incidente.

Firewall

Filtra el trafico entrante y saliente por puertos, protocolos y direcciones; los NGFW anaden inspeccion a nivel de aplicacion (capa 7) e IPS integrado.

Segmentacion de red

Divide la red en subredes aisladas (VLANs, DMZ) para limitar el movimiento lateral y aplicar politicas mas estrictas a zonas sensibles.

IDS (Intrusion Detection System)

Detecta actividad inapropiada o anomala comparando el trafico con firmas de ataques conocidos o con patrones de comportamiento; es pasivo/reactivo, solo alerta.

IPS (Intrusion Prevention System)

Evolucion proactiva del IDS: ademas de detectar, bloquea o mitiga la amenaza en tiempo real, situandose en linea con el trafico.

Matriz de deteccion de anomalias

Tipos de IDS segun ubicacion

Tipos de IDS/IPS segun el metodo de deteccion

• Basado en firmas/conocimiento: base de datos de patrones conocidos; preciso ante ataques conocidos, pero no detecta amenazas nuevas (dia cero).
• Basado en comportamiento/anomalias: compara con una linea base de actividad normal; detecta amenazas desconocidas pero genera mas falsos positivos; incorpora aprendizaje automatico.
• Basado en politicas (solo IPS): actua segun politicas de seguridad muy especificas, similar a un firewall.
• Basado en Honey Pot (solo IPS): un senuelo vulnerable capta al atacante y revela su forma de actuar.

IDS vs. IPS

Endpoint

Dispositivo remoto que se comunica con la red: ordenadores, telefonos, POS, impresoras, dispositivos IoT; son puntos clave de entrada para atacantes.

EDR (Endpoint Detection and Response)

Combina antivirus tradicional con monitorizacion e IA para responder rapido a amenazas avanzadas en los endpoints.

XDR (Extended Detection and Response)

Evolucion del EDR que extiende la deteccion mas alla del endpoint: red, correo, nube y firewalls, correlacionando toda la cadena de ataque (Kill Chain).

IoC (Indicator of Compromise)

Dato forense o de red (hash de archivo, IP, dominio, clave de registro...) que evidencia que ha ocurrido o esta ocurriendo una intrusion; alimenta el threat hunting.

Tres componentes del EDR

1. Recoleccion de datos: agentes en los endpoints que registran procesos, inicios de sesion y comunicaciones.
2. Deteccion: analiza la actividad habitual y reporta anomalias que puedan suponer un incidente.
3. Analisis de datos: agrupa informacion de varios endpoints y ofrece analisis en tiempo real de toda la red.

Ventajas y desventajas del EDR

Ejemplos de IoC

SIEM (Security Information and Event Management)

Solucion hibrida centralizada que combina la gestion de informacion de seguridad y la gestion de eventos, con analisis en tiempo real de las alertas generadas por todos los dispositivos.

Funciones de un SIEM

• Recoge y relaciona logs de distintos sistemas.
• Detecta eventos de seguridad y descarta falsos positivos.
• Genera respuestas basadas en informes y evaluaciones.
• Centraliza la vista de amenazas y escala casos a los analistas apropiados.
• Documenta en un registro de auditoria los eventos y su resolucion.

Ventajas y desventajas del SIEM

Controles correctivos (tras la deteccion)

Las medidas de seguridad fisica y ambiental buscan evitar accesos no autorizados, danos e interferencias contra instalaciones, tecnologias e informacion que puedan comprometer la continuidad del negocio.

Capas de seguridad fisica (de fuera hacia adentro)

Normativas relevantes

Controles preventivos vs. detectivos (fisicos)

El CCN (Centro Criptologico Nacional) propone una escala de 5 niveles de peligrosidad y 6 niveles de impacto para clasificar un ciberincidente.

Niveles de peligrosidad (segun taxonomia)

Criterios para determinar el nivel de impacto

• Impacto en la Seguridad Nacional o ciudadana.
• Efectos en un servicio esencial o infraestructura critica.
• Tipologia de la informacion o sistemas afectados.
• Grado de afectacion a las instalaciones.
• Posible interrupcion del servicio normal.
• Tiempo y costes hasta la recuperacion.
• Perdidas economicas.
• Extension geografica afectada.
• Danos reputacionales.

Se deben documentar y notificar los incidentes cuyo nivel de peligrosidad o impacto sea alto, muy alto o critico, a traves del CSIRT de referencia correspondiente.

CSIRT de referencia en Espana

Canales de notificacion

• CCN-CERT: aplicacion LUCIA (canal preferente) o correo incidentes@ccn-cert.cni.es, preferiblemente cifrado con PGP.
• INCIBE-CERT: correo incidencias@incibe-cert.es; RedIRIS via iris@incibe-cert.es; operadores esenciales via pic@incibe-cert.es.
• ESP-DEF-CERT: correo cifrado con clave publica PGP; Oficial de Servicio en caso de urgencia.

Tipos de notificacion

1. Notificacion inicial: alerta de la existencia del incidente (referencia: momento de conocerlo).
2. Notificacion intermedia: actualiza los datos disponibles del incidente.
3. Notificacion final: confirma y amplia los datos definitivos.

Datos clave que se deben notificar

Una regla de Snort se compone de tres partes: action (que hacer), header (protocolo, IPs, puertos, direccion) y rule options (configuracion adicional entre parentesis).

Action

Header: direcciones y puertos

Sentido: origen -> destino (unidireccional) o origen <> destino (ambas direcciones).

Rule options mas comunes

msg: "descripcion";     # texto de la alerta
sid: 123;                # identificador unico de la regla
rev: 1;                  # numero de revision
content: "abc";          # busca una cadena en el payload
content: "abc"; nocase;  # busqueda sin distinguir mayus/minus
pcre: "/regex/opts";     # filtra por expresion regular
dsize: 200;              # tamano del paquete
flags: S;                # flags TCP (ej. SYN)
threshold: type both, track by_dst, count 5000, seconds 5;  # umbral de disparo

Ejemplos de reglas

alert icmp any any -> $HOME_NET any (msg:"ICMP test detected"; sid:7000010; rev:1;)

alert tcp any any -> any 21 (msg:"FTP connection attempt"; flags:S; sid:7000011; rev:1;)

drop tcp any any -> any 21 (msg:"Vulnerabilidad VSFTPD sospechosa";
  flow:established,to_server; content:":)"; sid:7000013; rev:1;)

drop tcp any any -> any any (msg:"Posible inundacion SYN (DoS)"; flow:to_server;
  flags:S; threshold: type both, track by_dst, count 5000, seconds 5; sid:7000015;)