Jornadas TIC - Autoridad Portuaria de Cartagena

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Jornadas TIC - Autoridad Portuaria de Cartagena"

Guillermo Gil Prado
hace 6 años
Vistas:

1 Gestión de ciberincidentes en infraestructuras críticas: El CERTSI Jornadas TIC - Autoridad Portuaria de Cartagena Alberto Hernández Director General Abel González Bello Responsable CERTSI

2 CERT de Seguridad e Industria (CERTSI) Año 2012 Acuerdo Marco de Colaboración: Secretaría de Estado de Seguridad CNPIC Secretaría de Estado para la Sociedad de la Información y la Agenda Digital + = INCIBE CERTSI Apoyo tecnológico FCSE

3 Qué es INCIBE? Entidad de referencia para el desarrollo de la ciberseguridad y de la confianza digital de: Ciudadanos Empresas, en especial de sectores estratégicos Prevención Mitigación Respuesta

4 Catálogo de servicios para Operadores Estratégicos e IICC Servicio de Sensorización Servicio de alerta temprana Servicio de Information Gathering Servicio de respuesta ante incidentes Detección proactiva Servicio de compartición de amenazas ÍCARO CyberEx ENSI

5 Qué está ocurriendo en España? 5

6 Qué está ocurriendo en España?

7 Cómo pasamos a la acción? Incidentes gestionados incidencias@certsi.es iris@certsi.es Ciudadanos y empresas Red Académica (RedIRIS) Infraestructuras críticas (30 octubre 2016) pic@certsi.es

8 CERTSI Cuántos incidentes se detectan internamente y cuántos nos informan? % Campaña ENDESA interno externo

Cómo pasamos a la acción? Tipología de incidentes gestionados 12.599 9.776 5.398 Fraude 1.

9 Cómo pasamos a la acción? Tipología de incidentes gestionados Fraude SPAM Acceso no autorizado Virus, troyanos, gusanos, spyware Otros Denegación de servicio Escaneos de red Robo de información

10 Qué está ocurriendo en España?

11 Cómo pasamos a la acción? oct.-13 nov.-13 dic.-13 ene.-14 feb.-14 mar.-14 abr.-14 may.-14 jun.-14 jul.-14 ago.-14 sep.-14 oct.-14 nov.-14 dic.-14 ene.-15 feb.-15 mar.-15 abr.-15 may.-15 jun.-15 jul.-15 ago.-15 sep.-15 oct.-15 nov.-15 dic.-15 ene.-16 feb.-16 mar.-16 abr.-16 may.-16 jun.-16 jul.-16 ago.-16 sep.-16 oct.-16 Tipología de incidentes que afectan a entidades afiliadas como operadores críticos Contenido abusivo Contenido malicioso Obtención de información Acceso/Intrusión Disponibilidad Seguridad/Confidencialidad de la información Fraude HelpDesk Otros

12 Ciclo de vida de un incidente Inicio del caso Cuando se recibe la notificación, por parte de un tercero o alerta desde el propio CERT Respuesta Tras un análisis del mismo y se da una primera respuesta, con las acciones correctivas a tomar Seguimiento o actualizaciones Comunicación bidireccional con el notificante y terceras partes afectadas (Operador estratégico, ISP, CERT, Policía, etc.) Cierre del incidente Una vez cerradas todas las vías de investigación y resuelto el problema que generó el incidente

13 PROCEDIMIENTO DE NOTIFICACIÓN DE INCIDENTES AMENAZA APT VULNERABILIDAD 0-DAY DENEGACIÓN DE SERVICIO DISTRIBUCIÓN DE MALWARE RANSOMWARE DEFACEMENT INFECCIÓN MALWARE

14 Tendencias de ciberataques: los ransomware y las ciberextorsiones 14

15 Impacto respecto a otros incidentes Ransomware en el ámbito de los incidentes 100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% RANSOMWARE TOTAL 15

16 Evolución histórica del Top 1 Incidentes de ransomware

Evolución histórica Afectados al año 2500 2000 1500 2.016 1.

17 Evolución histórica Afectados al año Evolución de afectados al año

18 Impacto económico Impacto económico Evolución del impacto económico ( )

19 Perspectiva por ámbito de actuación Ransomware por público objetivo 1% 45% 54% Ciudadano Empresa Operadores de IICC 19

Empresas: evolución anual Evolución para empresas 1.

20 Empresas: evolución anual Evolución para empresas

Impacto en los operadores IICC Ransomware en el ámbito de los incidentes de IICC 56 131 273

21 Impacto en los operadores IICC Ransomware en el ámbito de los incidentes de IICC % 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% 0 % 10 % 7 % RANSOMWARE TOTAL IIC 21

22 Operadores IICC: evolución anual Evolución para Operadores de IICC

23 Operadores IICC: evolución mensual Evolución del ransomware para Operadores de IICC 23

24 Caso de éxito: campaña de suplantación a Endesa 24

25 Colaboración público-privada con Endesa 25

26 Caso de éxito en la compartición de Información: ÍCARO URL 735 dominios 19 hashes de ficheros únicos 26

27 Servicio Antiransomware: soporte y descifrado Total gestionados 15% 0% 3% 82% Solucionados confirmados En proceso Sin solución confirmados Sin respuesta 27

28 Otro caso:ciberextorsiones Fuente: TheShadowserver Fundation

29 Colaboraciones con otros CERTs 30 Colaboraciones con otros CERT nacionales en 762 incidentes Cuáles son los 20 países con los que más se ha colaborado? FR US CH UK PT PL NL IT CO BR ZA VN TR RU KR IN EU CN AU AR

respuesta Lecciones aprendidas Respuesta a

temprana Detector de incidentes Information

31 Sectorización y verticalización Apoyo y asistencia para lograr el mayor nivel de ciberseguridad posible en las empresas Detección Análisis Notificación Apoyo a la respuesta Lecciones aprendidas Respuesta a incidentes Detección proactiva Alerta temprana Detector de incidentes Information Gathering Compartición de amenazas Ciberejercicios Preventivos

Sectorización y verticalización Maximizar la capacidad de detección en Operadores Estratégicos Detectar conexiones a recursos maliciosos en internet

32 Sectorización y verticalización Maximizar la capacidad de detección en Operadores Estratégicos Detectar conexiones a recursos maliciosos en internet Servidores C&C. Servidores comprometidos. Distribución de malware. Phishing. Implementar indicadores de compromiso APT. Intrusión. Ex-filtración de datos.

33 Sectorización y verticalización Vulnerabilidades 0day Criticidad Recursos afectados Descripción Solución / mitigación

34 Information Gathering Informes personalizados de la visión de un posible atacante Posibles vulnerabilidades detectadas Posible SW vulnerable Dominios registrados Subdominios encontrados IPs activas Servidores web encontrados Vigencia de certificados Protección ante suplantación

Sectorización y verticalización Compartir

alimentación Nodos de salida para obtención

35 Sectorización y verticalización Compartir los IOC del malware conocido para facilitar la detección Anonimización de la información compartida Nodos de entrada para alimentación Nodos de salida para obtención de información Análisis de la información por parte de CERTSI

36 Algunos ejemplos

37 Algunos ejemplos

Ciberejecicios Argentina Brazil Canada Chile Colombia Dominican

Panama Peru Spain Trinidad and Tunisia United States Uruguay

Ataque dirigido Fase II: Roleplay Fase III: Simulación de incidente

4 6 8 19 25 Equipos confirmados 3 7 10 Agua Energía Financiero 39

38 Ciberejecicios Argentina Brazil Canada Chile Colombia Dominican Ecuador Egypt Georgia Guatemala Haiti Honduras Mexico Morocco Panama Peru Spain Trinidad and Tunisia United States Uruguay Operadores estratégicos y críticos 3 Fases implementadas Fase I: Ataque dirigido Fase II: Roleplay Fase III: Simulación de incidente Equipos confirmados Agua Energía Financiero Equipos participantes Países participantes 3 Transporte 266 Integrantes de equipos 2 TIC

39 Esquema Nacional de Seguridad Industrial COLABORACIÓN ENSI INSTRUMENTOS Y GUÍAS DE APLICACIÓN ARLI: Análisis de Riesgos Ligeros IMC: Indicadores Ciberresilienci a C4V: Construcción Capacidades Otras guías de aplicación APOYO REGULATORIO Secretaría de Estado de Seguridad SA: Sistema de Acreditación Secretaría de Estado para la Sociedad de la Información y la Agenda Digital

C4V: Construcción Capacidades Otras guías de aplicación 3.

40 Esquema Nacional de Seguridad Industrial COLABORACIÓN ENSI 1. Politica del ENSI INSTRUMENTOS Y GUÍAS DE APLICACIÓN 2. Metodologia e indicadores del Modelo ARLI: Análisis de Riesgos Ligeros IMC: Indicadores Ciberresilienci a de Ciberresiliencia APOYO REGULATORIO C4V: Construcción Capacidades Otras guías de aplicación 3. Metodologia e indicadores del Modelo de Construcción de Capacidades Secretaría de Estado de Seguridad SA: Sistema de Acreditación 4. Metodología e indicadores del Modelo de Analisis de Riesgos Secretaría de Estado para la Sociedad de la Información y la Agenda Digital

41 Organized by: With the collaboration of:

> SUMMER BOOTCAMP 2016 SUMMER BOOTCAMP 180

Barbados Belize Brazil Canada Chile Colombia

of America Guatemala Haiti Honduras Jamaica

Republic Surinam Trinidad and Tobago Uruguay

42 > SUMMER BOOTCAMP 2016 SUMMER BOOTCAMP 180 estudiantes 2016 de 28 países Argentina Bahamas Barbados Belize Brazil Canada Chile Colombia Costa Rica Ecuador The Salvador United States of America Guatemala Haiti Honduras Jamaica Mexico Nicaragua Panama Paraguay Peru Dominican Republic Surinam Trinidad and Tobago Uruguay Austria (2) Cyprus (2) Spain Other Spain 42% OEA Countrie s

Síguenos en CONTACTO VISÍTANOS INFÓRMATE Instituto Nacional de Ciberseguridad (INCIBE) info@incibe.es Instituto Nacional de Ciberseguridad (INCIBE) https://www.incibe.es CERT de Seguridad e Industria (CERTSI) https://www.

43 Síguenos en CONTACTO VISÍTANOS INFÓRMATE Instituto Nacional de Ciberseguridad (INCIBE) Instituto Nacional de Ciberseguridad (INCIBE) CERT de Seguridad e Industria (CERTSI) Oficina de Seguridad del Internauta (OSI) CyberCamp SÍGUENOS REPÓRTANOS Twitter, YouTube, Facebook, @CiberEmprende incidentes, vulnerabilidades, fraude online, phishing, malware, etc. incidencias@certsi.es y consultas@osi.es

44 Gracias por su atención

Documentos relacionados

Exportaciones de Azúcar Ciclo

Exportaciones de Azúcar Ciclo 2015-2016 Exportaciones de azúcar bajo cupo TLCAN 2015-2016. Exportaciones de azúcar bajo cupo TLCAN según su polarización. (Toneladas métricas valor físico) (Toneladas métricas