Protección de la integridad: un enfoque proactivo Nuevas modalidades de fraude y delito electrónico Joan Marc García Business Development Director jmgarcia@kinamik.com Kinamik Data Integrity www.kinamik.com
Introducción El amplio concepto del ciber crimen Crecimiento exponencial de la información almacenada Diversas técnicas y tecnologías de integridad: control de acceso, separación de tareas, firmas digitales, encriptación, simple hashing, WORM, sellado de tiempo (TSA) Evolución de la seguridad: exterior interior El 60% de las organizaciones tienen alguna, poca o ninguna confianza en la organización frente a ataques internos (vs. un 30% frente a ataques externos) [ Informe Anual de Seguridad en Entidades Financieras, Deloitte, 2010] Enfoque actual de protección a posteriori (reactivo) 2
Los registros de auditoría (logs) Completo registro de actividad: qué, quién, cómo, cuándo y dónde Información vital para obtención de inteligencia (i.e. investigación) Su protección y preservación se referencia en leyes, normativas y estándares: LOPD, Ley 11/2007, ISO 27001, PCI-DSS, BSI-10008, Crecimiento sostenido en la industria: 30% anual (en volumen) [Aberdeen] Mercado valorado en $1.4 B para el 2014 [IDC] El enfoque histórico (y natural) ha ido hacia la inteligencia (correlación, normalización/parseo, etc.) y no hacia la adecuada preservación Uso (combinado) de tecnologías de protección o métodos compensatorios 3
...sin embargo Naturaleza de tecnologías utilizadas + Enfoque a posteriori Preguntas sin contestar Cómo asegurarme que la información no ha sido manipulada? Qué ocurre si estos ficheros han sido modificados y no lo he detectado? 4
Consecuencias y evolución La no protección (o incompleta/incorrecta protección), tiene variadas consecuencias: Cumplimiento insuficiente ( cubrir el expediente ) de leyes y normativas Dudosa calidad y veracidad de los procesos de auditoría (falsa confianza) Investigaciones forenses con conclusiones erróneas (uso como evidencia electrónica): Impunidad de partes culpables Culpabilidad de inocentes Riesgo legal Malas noticias: Cloud Computing sólo aumenta los riesgos (y traslada el interno hacia el externo, fundiéndolos!) 5
Solución propuesta Enfoque proactivo (y no reactivo) a la protección de los ficheros de log Asegurar los eventos antes de su necesidad (incidente, auditoría, juicio, etc) y no después PERSONAS PROACTIVIDAD PROCESOS TECNOLOGÍA 6
Nueve pasos para una protección proactiva 1 1. Definir escenarios de negocio que requieren adecuada protección de la integridad de la información 2. Identificar fuentes y tipos de datos a proteger 3. Determinar requerimientos para recolección (e.g. cómo afecta a otros procesos de negocio). Es importante que determinen causalidad (i.e. el "quién", "cuándo", "cómo", etc) 4. Establecer políticas de almacenado y manejo de la información recolectada (e.g. cadena de custodia) 5. Crear sistemas de monitorización para detectar y disuadir incidentes 6. Especificar protocolos de escalado de incidentes detectados 7. Formar y entrenar personal para una concienciación transversal en la organización 8. Crear casos basados en evidencia con fuerte valor probatorio 9. Obtener siempre asesoría de un equipo legal 1: A Ten Step Process for Forensic Readiness, Robert Rowlingson Ph.D, 2004 7
Y la tecnología? Tecnología vs Producto El factor tiempo (cronología y momento) es crítico Especialmente importante para la protección de logs Recomendación de los expertos (tecnología): registros de log inmutables ( immutable audit logs, IAL): Jeff Jonas, Jefe Científico de IBM: implementar [IAL] puede verse como la base para construir una mayor innovación, compartición de información y eficiencia dentro de los gobiernos 2 Bruce Schneier & John Kelsey, en su paper Secure Audit Logs to Support Computer Forensics 2: Implementing a Trusted Information Sharing Environment, Markle Task Force, 2006 8
Registros de logs inmutables (IAL) Cinco características básicas 1. Certeza matemática (mediante criptografía) de su inmutabilidad 2. Secuencia inalterable de eventos asegurados 3. Trabaja con el formato nativo (raw) de los registros 4. Bajos costes computacionales 5. Flexible, pudiendo combinarse con otros sistemas, plataformas y tecnologías 9
Conclusión CIA (Confidentiality, Integrity, Availability): tras la A y la C toca la I Cambio de paradigma al preservar los logs: enfoque proactivo (tiempo real, no batch o diferido) transaccional (granular, no por bloques de datos o ficheros) Buenas noticias para todos: Eres un cliente final? Existen soluciones comerciales en el mercado. Preguntar por la protección de integridad a proveedores de aplicaciones, infraestructura y servicios Eres un fabricante? Desarrollo interno (desfocalizando el negocio) o alianzas estratégicas con expertos con OEM La información, si no es auténtica e íntegra, no tiene ningún valor 10
Muchas gracias! Joan Marc García jmgarcia@kinamik.com www.kinamik.com 11