El SOC (Security Operations Centers) puede significar cosas diferentes para diferentes organizaciones. Entre las opciones tenemos:
1. La gente, procesos y tecnología responsables de los procesos de Gestión de Monitoreo de Seguridad y Gestión de Incidentes dentro de un Programa de Seguridad.
2. El grupo responsable de la seguridad física (cámaras de vigilancia, guardias de seguridad, control de acceso físico)
3. El grupo responsable por dar atención inmediata dentro de un centro de operaciones de soporte técnico.
Para efectos de este artículo, la definición que usaremos es la primera.
En el proceso de monitoreo de seguridad se realizan las siguientes actividades:
1. La identificación y colección de las bitácoras de los eventos dentro de la infraestructura que son de interés para proteger a los sistemas.
2. La creación y gestión de procedimiento de monitoreo de dichos eventos.
3. La entrega de eventos de seguridad comprabados como incidentes al proceso de Gestión de Incidentes.
4. El análisis de los eventos de seguridad en búsqueda de la mejora continua.
5. Utilizar la inteligencia de amenazas para mejorar capacidad de deteción.
En resumen, el Monitoreo de Seguridad es todo sobre la colección de bitácoras de eventos de interés y la detección de incidentes de seguridad. Conversemos un poco sobre cada actividad.
Identificación y Colección de Bitácoras
La selección de cuáles eventos deben ser monitoreados y las bitácoras que los contienen es la base de un buen proceso de Monitoreo de Seguridad. Asegúrate de por lo menos almacenar las bitácoras que contienen las siguentes tipos de eventos:
Eventos de sistems operativos:
1. Autenticación fallidas y exitosas
2. Autorización y/o elevación de privilegios
3. Consumo de Recursos: memoria, CPU, disco
4. Ejecución de Procesos: inicio y finalización de procesos
5. Creación y ejecución de tareas repetitivas. (cron en Linux y Schedule Tasks en Windows)
Eventos de red:
1. Conexiones entrantes y salientes
2. Navegación en Internet
3. Protocolos de administración como: SMB, RDP, SSH, Powershell, WinRM, VNC
4. Búsquedas de DNS
Eventos en aplicaciones:
1. Autenticación fallidas y exitosas a nivel de aplicaciones, bases de datos, etc.
2. Errores de ejecución o de lógica de negocio
Una vez se tienen bitácoras de los eventos arriba mencionados es importante enforcarse en el periodo de retención de esas bitácoras lo cual dependerá de:
1. Costo de la herramienta seleccionada para almacenar las bitácoras
2. Regulaciones que afectan al negocio
3. El deseo que tenga la empresa de por cuánto tiempo atrás podrá investigar o analizar bitácoras.
Buenos puntos de referencias sobre cuáles eventos deben ser monitoreados son:
La creación y gestión del procedimiento de monitoreo de dichos eventos
Una vez definido cuáles son los eventos que desean ser monitoreados es necesario definir cosas cómo:
1. ¿Qué es normal? Se toma en cuenta el entorno, frecuencia, ente que genera la alerta, etc.
2. ¿Quién debe identificar, reportar una anormalidad?
3. ¿Por qué es importante monitorear este tipo de eventos?
4. ¿Quién debe reaccionar ante una anormalidad? (Gestión del Incidente)
Toda esta información se convierte en los casos de uso de monitoreo. Estos casos de uso deben estar registrados en un base de datos de conocimiento de libre acceso a todos los miembros del SOC.
En otros artículos de este blog les hablaré más sobre las otras actividades dentro un proceso de Monitoreo de Seguridad.
Como siempre por favor hazme llegar tus comentarios aquí o en
Twitter
Comments