Fundamentos del SOC para su programa de inteligencia de amenazas
En un seminario sitio web reciente, Chris Crowley, instructor principal de SANS, destacó varios componentes fundamentales de un centro de operaciones de seguridad (SOC), los desafíos a los que se enfrentan los equipos del SOC y cómo sacar el máximo provecho de la inteligencia sobre amenazas.
Funciones y responsabilidades del Centro de Operaciones de Seguridad
Hay varios componentes funcionales en la arquitectura de un centro de operaciones de seguridad que, en palabras de Chris Crowley, se combinan para crear la "noción de un centro de mando donde se produce la dirección de la acción, así como el mantenimiento de la conciencia situacional."
Estos componentes incluyen:
- El equipo de monitorización de la seguridad de la red tiene la tarea de observar un entorno y revisar los datos disponibles.
- El equipo de inteligencia de amenazas recopila la información disponible desde dentro de la organización y mediante la selección de fuentes abiertas. Estos datos se organizan para crear reportes accionables.
- El equipo de respuesta a incidentes se centra en llevar a cabo medidas de remediación, contención y mitigación basadas en la información recopilada y analizada. Este equipo cuenta con una capacidad de autoevaluación que monitorear el estado de los activos internos de la organización para determinar la reacción deseada ante las amenazas percibidas.
- El comité directivo coordina todas las capacidades funcionales del SOC para maximizar los recursos disponibles y alinearlas eficazmente con las necesidades de seguridad de la compañía.
Para que estos equipos sean eficaces, es fundamental contar con datos detallados y que permitan tomar medidas concretas. Cuando se emplea correctamente, la inteligencia sobre amenazas ayuda al centro de mando de seguridad a defender de los ataques actuales y futuros. En este sentido, la inteligencia sobre amenazas es vital para la identificación de las amenazas de mayor riesgo, así como para las medidas de preparación que deben adoptar posteriormente para proteger los activos empresariales.
Veamos algunos términos clave asociados con la inteligencia de amenazas.
Términos clave de inteligencia de amenazas
La inteligencia sobre amenazas es un componente estratégico que debe implementar correctamente si las compañías quieren proteger sus activos. Comprender los términos clave dentro de la industria de la inteligencia de amenazas te ayudará a comprender cómo se pueden implementar ciertas metodologías para proteger proactivamente tu negocio frente a adversarios:
- Correlación se refiere a cómo los objetos, o en este caso las amenazas, se relacionan entre sí; Lo que importa es la identificación de estas relaciones, no el análisis de sus capacidades independientes y relacionadas.
- El análisis se define como la interpretación de la correlación identificada. Las preguntas básicas sobre quién, qué, dónde, cuándo, por qué y cómo deben responder durante el análisis.
- La atribución es la tarea de asignar una causa a una entidad específica. En términos de inteligencia de amenazas, el conjunto de intrusión se nombrará de modo que el tipo de ataque así como el atacante puedan atribuir correctamente.
Como se ve en las definiciones anteriores, correlación, análisis y atribución son tres entidades que trabajan juntas para crear el marco necesario para defender a una organización de un ataque.
Al fin y al cabo, ese es uno de los componentes críticos de la inteligencia sobre amenazas: obtener información valiosa sobre la mentalidad y los métodos de ataque de los adversarios para interrumpir actividades, perturbar las cadenas de comunicación, resolver vulnerabilidades y fortalecer los activos empresariales contra futuros ataques.
Según Chris Crowley, "Cuando realizamos inteligencia sobre amenazas, tenemos artefactos o resultados específicos que producimos." Indicadores de compromiso, TTP (Tácticas, Técnicas y Procedimientos), reportes de campaña, modelado estratégico de amenazas y, finalmente, uno de los elementos de la inteligencia sobre amenazas deberían ser las acciones que nuestra organización está tomando para defender sus activos. Esto no es solo lanzar un reporte por encima del tabique, es cerciorarnos de que hacemos las cosas.
Desafíos en el Centro de Operaciones de Seguridad
Los equipos SOC se enfrentan a diversos desafíos. Recorded Future pretende eliminar estos desafíos con inteligencia en tiempo real que ayuda a las organizaciones a defender de forma proactiva contra los ciberataques. Algunos de los desafíos que se pueden superar incluyen:
Infiltrar en el sitio web oscuro y en los foros de hackers.
Recorded Future ofrece un entorno seguro y realiza el "trabajo duro" para los clientes. Esto significa que Recorded Future es responsable de recopilar información de partes remotas y potencialmente peligrosas de la web. Esta información se pone a disposición de los clientes, para que puedan emplearla como recurso para analizar, planear estrategias y establecer una postura de seguridad proactiva.
Gran volumen de alertas e información sin contexto.
Con demasiada frecuencia, un SOC se enfrenta al problema de tener demasiada información con relativamente poco o ningún contexto. En términos generales, esta información proviene simplemente de observar la telemetría de los dispositivos de red y los archivos de registro, establecer reglas para examinar comportamientos anómalos y otros conjuntos de reglas que proporcionan una gran cantidad de datos sin procesar. Recorded Future ofrece asesoramiento específico para cada situación, con el fin de proporcionar un contexto más eficaz a los datos y, posteriormente, implementar una respuesta estratégica.
Alert fatigue.
La fatiga por exceso de alertas, causada por un gran número de alarmas frecuentes, puede provocar fallos en las buenas prácticas de seguridad. Afortunadamente, Recorded Future creó soluciones automatizadas para facilitar una investigación más rápida y una comprensión profunda de las diversas alertas. Lo ideal es crear un entorno con menos alertas, pero de mayor calidad, para mejorar la eficacia con la que el equipo de seguridad puede realizar análisis de amenazas.
Ideas concisas y accionables
Recorded Future está diseñado no solo para recopilar inteligencia sobre amenazas, sino también para clasificar los datos e información recopilados en contenido estructurado. Para poner esta tarea en perspectiva, ten en cuenta que los datos recopilados tienden a mostrar en una gran variedad de fuentes. Reunir la información tecnológica proporcionará cierta idea de su geolocalización, sin embargo, ensamblar todo y asignar contexto a los datos recopilados puede ser tanto laborioso como complicado.
Aquí es donde entra en juego la inteligencia integral sobre amenazas en tiempo real.
La misión es sencilla: recopilar la información, organizarla y entregarla a los analistas e investigadores de seguridad en un formato relevante. La palabra clave es "relevante". El procesamiento del lenguaje natural y el aprendizaje automático son dos de las tácticas que emplea Recorded Future para organizar la información en un formato que pueda emplear para completar evaluaciones proactivas.
Closing Thoughts
La correcta implementación de las mejores prácticas en inteligencia de amenazas y centros de operaciones de seguridad genera multitud de beneficios, y probablemente se resume mejor en la siguiente anécdota de Glenn Wong, director de alianzas tecnológicas de Recorded Future:
Más información
Para saber más sobre los beneficios de la inteligencia de amenazas en tiempo real de Recorded Future, no dejes de ver el seminario sitio web completo.
Para descubrir cómo Recorded Future puede ahorrarte tiempo y recursos, a la vez que evalúa con mayor precisión las amenazas cibernéticas, aplicar una demostración del producto.