Nuestros sistemas de detección, bien configurados, pueden ser una fuente riquísima de datos de los que extraer información que permitan tanto identificar al atacante como cercarlo. Aprender de un ataque es la mejor forma de evitar ataques futuros, pero para ello debemos saber identificar el origen del ataque y poder crear reglas que mejoren nuestro sistema.
¿POR QUÉ ES ESTO TAN IMPORTANTE?
- Porque es nuestro seguro. La preparación previa al ataque determina la calidad de datos con la que podremos trabajar si ocurre el peor escenario posible: hemos sido víctimas de un ciberataque. Sin una preparación adecuada de nuestro sistemas podemos perder datos muy valiosos para el analista.
-
Porque nos hará mejores. Comprender el ataque, a través del análisis a posteriori o durante el incidente, nos ayudará a aprender del ataque y mejorar nuestras defensas.
-
Porque podríamos cercar al responsable. Mientras mejor preparados estemos para capturar datos y nutrir nuestro sistema de análisis.
¿Cómo lo conseguimos?
-
Conociendo los procedimientos y metodologías principales para enfrentarse al post-incidente. Seguir una metodología es fundamental para un proceso bien documentado, algo crítico cuando nos enfrentamos a una investigación.
¿Cómo lo conseguimos?
-
Identificando cuáles son los responsables autorizados para la toma de decisiones Una mala decisión durante la gestión puede dar al traste con toda una investigación.
¿CÓMO LO CONSEGUIMOS?
Construyendo de forma segura, desde el inicio. Gran parte de los incidentes de seguridad ocurren por aplicar mecanismos de seguridad al final de un ciclo de desarrollo, o por no emplear de forma adecuada dichos mecanismos. Construir de forma segura desde el inicio permite aplicar las medidas de seguridad de forma nativa a nuestro sistema, con lo que se adaptan mejor también a su funcionamiento.
- Conociendo los ataques que más afectan a nuestro contexto Los ataques van a depender enormemente del contexto, muchos se pueden evitar de forma automática o con buenas prácticas si sabemos identificarlos.
-
Aprovechando la información para preparar contramedidas. Los sistemas de detección y reacción necesitan nutrirse de indicadores de compromiso (IOCs). Estos indicadores se obtienen como resultado del trabajo de analistas dedicados que comparten sus hallazgos para que la comunidad pueda aplicarlos y frenar así las amenazas.
-
Aprendiendo a usar sus herramientas. Cómo obtiene y manipula la información o bien cómo puede realizar un proceso de intrusión, qué herramientas se vinculan a cada fase del ataque y cómo todas juntas, en armonía, consiguen que el ataque sea efectivo.
