1. Evaluación
1.1. A la hora de evaluar, estableceremos el impacto que dicho incidente puede tener en nuestra empresa:
1.1.1. Alto Impacto
1.1.1.1. El cual afecta a los activos de la organización que afectan los objetivos misionales y su falla se considera catastrófica.
1.1.2. Medio Impacto
1.1.2.1. Afecta a los activos que son considerados de impacto moderado y que influyen directamente a los objetivos de la organización
1.1.3. Bajo impacto
1.1.3.1. Afecta a activos de poco impacto o insignificantes. Dichos incidentes deben ser evaluados para evitar un cambio en el impacto.
2. Clasificación
2.1. Acceso no autorizado
2.1.1. Se busca obtener un acceso no autorizado, el cual puede ser lógico o físico a un sistema informático.
2.2. Modificación no autorizada de recursos
2.2.1. Todo aquel incidente que altera la integridad de la información pertenenciente a una empresa.
2.3. Denegación de Servicios
2.3.1. Este incidente impide el acceso a determinadas áreas de un sistema informático.
2.4. Fuga de información
2.4.1. Este incidente altera la confidencialidad de la información perteneciente a la empresa, por lo general se genera a través de los empleados de nuestra empresa.
2.5. Ataques internos
2.5.1. Incidente causado por empleados de nuestra empresa, en la mayoría de ocasiones por descontento o venganza.
2.6. Extorsiones
2.6.1. Las cuales pueden realizarse a través de llamada telefónica o mediante ataques de phising
2.7. Suplantación de identidad
2.7.1. A través de llamadas telefónicas o medios de comunicación electrónicos suplantan la identidad de una persona buscando amenazar, pedir rescates o brindar premios ficticios.
2.8. Multicompetente
2.8.1. Este tipo de incidentes involucra más de una categoría mencionada anteriormente.
2.9. Otros
2.9.1. Todo aquel incidente que no se pueda clasificar en una categoría, el cual debe analizarse de la mejor manera, para evitar dificultades a futuro.
3. Priorización
3.1. Con el fin de atender de manera adecuada un incidente se recomienda establecer una priorización, para lo cual se puede tener en cuenta algunas variables como: Criticidad del impacto e Impacto actual y futuro.
3.1.1. Nivel inferior
3.1.2. Nivel bajo
3.1.3. Nivel medio
3.1.4. Nivel alto
3.1.5. Nivel superior
4. ¿Qué es un incidente?
4.1. Se considera incidente a cualquier suceso que afecte la confidencialidad, disponibilidad e integridad de la información.
5. ¿Que necesito?
5.1. Para una óptima gestión de un incidente de seguridad se recomienda los siguientes elementos:
5.1.1. Portátiles forenses
5.1.2. Software de adquisición
5.1.3. Analizador de protocolos
5.1.4. Software de recolección de evidencia
5.1.5. Kit de respuesta a incidentes
5.1.6. Software de análisis forense
5.1.7. Medios de Almacenamiento
6. Recursos
6.1. Para realizar de manera eficiente un análisis de inicidentes se recomienda conocer:
6.1.1. Listado de puertos conocidos y puertos utilizados para realizar el ataque
6.1.2. Diagrama de red que nos permita ubicar y acceder de manera rápida a los recursos existentes
6.1.3. Bitácora con información relacionada con Servidores, la cual incluya su nombre, IP, Sistema Operativo, Actualizaciones, Usuarios, entre otros. Esto nos permite identificar de forma efectiva un posible inicidente.
6.1.4. Análisis de comportamiento de la red, en el cual se incluye los puertos utilizados, horarios de operación IP que generan y recibe mayor tráfico.
7. Detección
7.1. Algunos de los indicadores que nos pueden alertan un posible incidente son:
7.1.1. Alertas en los sistemas de seguridad
7.1.2. Caída en los servidores
7.1.3. Reportes de falla por parte de los usuarios
7.1.4. Alertas de Software Antivirus
7.1.5. Funcionamiento fuera de lo normal
7.2. Los elementos que se deben analizar ante un posible incidente son:
7.2.1. Logs de servidores
7.2.2. Logs de aplicaciones
7.2.3. Logs de herramientas de seguridad
7.2.4. Otras herramientas que permitan identificar el posible incidente
8. Análisis
8.1. Una vez se reciba alertas relacionadas a un posible incidente es necesario:
8.1.1. Tener conocimiento sobre el funcionamiento de la red y sistemas informáticos
8.1.2. Conocimiento relacionado a la Infraestructura que está administrando
8.1.3. Centralizar toda la información recopilada en la sección de Detección, tales como Logs, reporte de Antivirus entre otros.
8.1.4. Efectuar correlación entre diferentes eventos
8.1.5. Mantener una base de conocimiento de eventos anteriores.