Cuando era niño, me encantaban los libros de elige tu propia aventura. Tomabas decisiones y podías convertirte en un poderoso guerrero Sho-Gun, o si elegías mal, podías terminar muerto en batalla.
Si lo piensas bien, la respuesta a incidentes (IR) es como un libro de elige tu propia aventura; sin embargo, no tienes idea de cuál es la historia.
Casi todos los escenarios de IR comienzan igual:
Te despiertas esta mañana y tu teléfono suena con una alerta de que hubo un incidente en el Cliente XYZ. ¿Te das la vuelta y te tapas con las sábanas, o respondes al mensaje?
Sin embargo, no tienes idea si te acabas de meter en las salvajes aventuras de Cobalt Strike o si tu herramienta de monitoreo y gestión remota (RMM) está comprometida. Así que no solo debes tomar las decisiones correctas; también debes hacer las preguntas correctas.
Las reglas básicas
Preparémonos para ganar esta aventura. Al hacer las preguntas correctas, descubrirás rápidamente qué tan agitado será tu día y qué recursos tienes disponibles.
Qué reglas seguir
Lo primero que debes entender es qué reglas estás siguiendo para la IR. ¿La organización afectada tiene un seguro cibernético que cubra el incidente y, de ser así, tiene un conjunto de reglas que debes seguir? ¿Este cliente está regido por alguna normativa de cumplimiento que dicte cómo debes responder? ¿O se trata de una organización que no está sujeta a ningún cumplimiento? ¿El incidente es tan menor que ni siquiera necesita reportarse?
Gravedad del incidente
Lo segundo que debes entender es la gravedad del incidente. ¿Se trata de un punto de apoyo persistente en una estación de trabajo, o es Cobalt Strike corriendo en un servidor? Si es Cobalt Strike en un servidor, deberás ejecutar todo tu plan de IR y traer apoyo externo para ayudar. Si es un punto de apoyo persistente en una estación de trabajo, puedes usar a tu equipo para remediar y expulsar al actor de amenazas.
Alcance del incidente
Lo tercero que debes entender es el alcance del incidente. ¿Es un ataque que involucra a todos tus clientes? ¿Es un actor de amenazas práctico que salta de máquina en máquina dentro de una organización tratando de encontrar un espacio oscuro para evitar ser detectado? ¿O es malware que detonó en una sola máquina? Parte de entender el alcance del ataque es entender el ataque que está ocurriendo. Una herramienta que extrae credenciales en un entorno tendrá un impacto mucho más amplio que un punto de apoyo persistente en una estación de trabajo.
Es fundamental hacer preguntas aclaratorias para entender el alcance del incidente en el que estás involucrado, reunir los recursos correctos y actuar con el nivel de respuesta adecuado. No quieres ser ese guerrero que corrió al campo de batalla sin su espada. Por desgracia para ti, en esta aventura no hay reglas predefinidas. Solo al tomarte el tiempo de hacer preguntas descubrirás dónde estás.
Elige tu propia aventura: edición Huntress
Ahora déjame guiarte por algunas aventuras que he visto desde que estoy en Huntress, e intentaré darte algunas preguntas clave que hacer. Luego podrás tomar esta experiencia y salir adelante.
Escenario 1
Las fuerzas del orden llegan a una empresa que apoyas y afirman que la estación de trabajo X está involucrada en un cibercrimen y necesitan recolectar evidencia. ¿Qué haces?
Asegúrate de dialogar con las fuerzas del orden antes de que se vayan. Si la policía llegara a tu casa y dijera que cree que tu auto fue usado en un robo, no entregarías las llaves sin hacer preguntas, ¿verdad?
De forma similar, no entregues una PC a las fuerzas del orden sin obtener información. Es imprescindible, sin importar cómo te enteres de un evento, hacer algunas preguntas aclaratorias.
- ¿Cuándo ocurrió esto?
- ¿Qué tan generalizado fue este incidente?
- ¿Cuáles son los indicadores de compromiso (especialmente si se trata de las fuerzas del orden)?
- ¿Hay una dirección IP específica que deba bloquearse?
- ¿Qué tenía de interesante esta máquina en particular?
- ¿Quién es el contacto técnico o supervisor si tienes preguntas adicionales (específicamente al tratar con las fuerzas del orden)?
Ahora puedes aprovechar sus recursos para ayudarte en este incidente en lugar de empezar desde cero.
Escenario 2
Tu solución de EDR te alerta sobre la extracción de credenciales en un servidor.
- ¿Cómo entró el actor de amenazas?
- ¿Fue a través de tu herramienta de RMM y te espera una aventura más grande, o fue a través de un puerto de protocolo de escritorio remoto (RDP) abierto? El análisis de causa raíz es fundamental para cualquier incidente. Si no sabes cómo empezó, ¿cómo puedes asegurarte de que no vuelva a pasar? ¿Cómo sabes a qué punto de restauración debes regresar el servidor?
- ¿Esta organización tiene un seguro cibernético que cubra este incidente?
- ¿Ese seguro cibernético tiene ciertas políticas o procedimientos que deben seguirse?
- ¿Cómo vas a limitar/mitigar la propagación del ataque dentro de la organización?
- ¿Qué más hizo el actor de amenazas para asegurar el acceso continuo? Una vez que un actor de amenazas entra, quiere darse permisos para poder volver a entrar.
Lo clave para recordar es tomarte un momento y pensar bien la situación.
Sé que en cada libro de elige tu propia aventura, si me detenía y pensaba en la decisión que se me presentaba, podía llevar la aventura de modo que yo fuera el héroe exitoso.
Haz lo mismo con tu respuesta a incidentes. Tómate un momento, respira y haz preguntas para ganar información y tiempo.
