Please enable JavaScript.

Coggle requires JavaScript to display documents.

Preparación pre-incidente - Coggle Diagram

- - - - • Responder a todos los incidentes de seguridad o incidentes sospechosos mediante un proceso de investigación formal y organizado.
      - • Llevar a cabo una investigación imparcial completa.
      - • Confirme o disipe rápidamente si realmente ocurrió una intrusión o un incidente de seguridad.
      - • Evaluar los daños y el alcance de un incidente.
      - • Controlar y contener el incidente.
      - • Recopilar y documentar todas las pruebas relacionadas con un incidente.
      - • Seleccione soporte adicional cuando sea necesario.
      - • Proteger los derechos de privacidad establecidos por ley y/o política corporativa.
      - • Proporcionar un enlace con las autoridades legales y de cumplimiento de la ley correspondientes.
      - • Mantener la confidencialidad adecuada del incidente para proteger a la organización de una exposición innecesaria.
      - • Proporcionar testimonio de expertos.
      - • Proporcionar a la gerencia recomendaciones que estén totalmente respaldadas por hechos.
  - - - • Cifrar el correo electrónico. Antes de que ocurra un incidente, obtenga certificados S/MIME para los miembros de los equipos de IR principales y auxiliares. Consulte con el departamento de TI de su organización, ya que pueden emitir certificados a los empleados sin costo directo para usted.
        
        • Etiquete correctamente todos los documentos y comunicaciones. Frases como "Privilegiado y confidencial", "Producto del trabajo del abogado" y "Preparado bajo la dirección de un abogado" pueden ser prudentes o incluso obligatorias. Debe buscar asesoría legal para establecer qué etiquetas, si las hay, son apropiadas.
        
        • Supervisar la participación en llamadas de conferencia. Asegúrese de que su sistema de llamadas de conferencia le permita controlar quién ha llamado o quién está viendo un screencast. Esté atento a la lista de participantes y desconecte a las partes no verificadas.
        
        • Use números de casos o nombres de proyectos para referirse a una investigación. El uso de nombres de proyectos ayuda a mantener los detalles fuera de las conversaciones en los pasillos, las invitaciones a reuniones y las facturas de terceros. Esto es menos aplicable a la posible intercepción por parte de los atacantes que a minimizar la cantidad de personal que tiene detalles sobre el IR. Exteriormente, trátelo como lo haría con cualquier otro proyecto. Cuantas menos personas sepan de un posible fallo en la seguridad, mejor.
    - - • ¿Cuándo alcanza un incidente un umbral de notificación? ¿Inmediatamente después de la detección? ¿Quizás después de que se haya confirmado el incidente?
      - • ¿Cómo se pasa una notificación al tercero? ¿Qué lenguaje contractual existe para proteger la confidencialidad?
      - • Si el incidente amerita una divulgación pública, ¿quién es responsable del contenido y el momento de la comunicación? ¿Cómo se producirá la revelación?
      - • ¿Qué sanciones o multas se aplican a su organización después de la divulgación? Considere si el momento de la notificación afecta este factor
      - • ¿Qué restricciones de investigación se esperan después de la divulgación? ¿Se requiere que un tercero participe en la investigación?
      - • ¿Cómo afecta la divulgación a la remediación?
- - - - Fecha de provisión
      - Propietario
      - Unidad de negocio
      - Ubicación física
      - Información de contacto
      - Rol & servicio
      - Configuración de red
    - - 3.1 eventos/incidentes operativos, NOC
      - 3.3 Eventos/incidentes seguridad SOC
        
        1) Recopilación de logs: el gestor puede recibir registros de diferentes fuentes y protocolos, como syslog, eventos de Windows, registros de bases de datos, etc.
        
        2) Almacenamiento y retención: los logs se almacenan de forma segura y se retienen durante un período de tiempo específico para cumplir con los requisitos de auditoría y cumplimiento normativo.
        
        3) Normalización y clasificación: los logs se normalizan y estructuran para facilitar su análisis y correlación. Se pueden aplicar filtros y reglas para clasificar los eventos según su nivel de gravedad o tipo.
        
        4) Análisis y correlación: el gestor de logs puede realizar análisis en tiempo real o diferido para identificar patrones, tendencias o comportamientos anómalos. También puede correlacionar eventos de diferentes fuentes para detectar amenazas y ataques.
        
        5) Alertas y notificaciones: en función de las reglas y políticas establecidas, el gestor puede generar alertas o notificaciones cuando se detectan eventos de seguridad críticos o sospechosos.
        
        6) Generación de informes: se pueden generar informes automatizados con estadísticas, métricas y tendencias relacionadas con la seguridad, para su revisión y presentación a los responsables de la toma de decisiones.
      - 3.2 Antivirus and Host Intrusion Prevention Systems
      - 3.4 Investigative Tools
    - - Operating systems (Windows, Mac OS X, Linux, HP-UX)
      - • Hardware (laptops, desktops, servers, mobile devices)
      - • Networking technologies (switches, wireless access points, firewalls, IDS,
        proxies)
      - IT management software (patch, configuration, and asset management, performance monitoring)
      - • Network diagram
      - • Security software (AV, HIPS, whitelisting)
      - Endpoint applications (word processing, graphics, engineering, Internet
        browsers)
      - Business applications (time keeping, document management, payment processing)
  - - - Por lo general, el diseño de la red de alto nivel, donde residen las puertas de enlace, las conexiones MPLS, los túneles VPN y los dispositivos de control de fronteras, no debería cambiar con frecuencia. Estos diagramas suelen ser los más útiles durante las fases iniciales de una investigación. Si aún no se han implementado, la ubicación precisa de los dispositivos de monitoreo de red se basa en esta información.
      - El equipo de IR necesita tener acceso a las configuraciones de red, como enrutadores, cortafuegos y swiches.
    - - Firewalls
      - Intrusion detection systems & IPS
      - Full-content capture systems
      - Netflow emitters
      - Proxy servers