Manejo de Incidentes de Seguridad dentro de la Organización Julio César Ardita, CISM jardita@cybsec.com
Agenda - Porque necesitamos un CSIRT interno? - Tipos de CSIRT`s. - Armando un CSIRT interno - Recomendaciones en base a la experiencia
Introducción En 1988, surge el primer CERT en la Universidad Carnegie Mellon, después de que la aparición del gusano de Morris bloqueara Internet. Este incidente puso en evidencia varios problemas: - Cómo notificar a los usuarios la existencia de problemas de seguridad? - Cómo ponerse en contacto con los responsables de un equipo?
Introducción CERT/CC - Computer Emergency & Response Team (Coordination Center) CERT es una marca registrada por la Universidad No hace referencia expresa a aspectos de seguridad CSIRT - Computer Security Incident & Response Team Termino más ajustado a la situación actual Equipo dentro de una organización encargado de responder a los problemas de seguridad
Qué es un CSIRT? Es una Organización o Equipo que provee servicios y soporte, en un entorno definido (constitución), para prevenir, manejar y responder a los incidentes de seguridad informática. Es una parte vital de la Organización y es responsable de coordinar e investigar incidentes de seguridad de forma metódica. En grandes organizaciones se debe establecer un equipo formal. En organizaciones pequeñas se puede establecer un equipo informal.
Por qué ahora el CSIRT?
Por qué ahora el CSIRT?
Por qué ahora el CSIRT? Desde 1998 hasta hoy hubo más de 3.381 ataques exitosos a sitios web en Uruguay. Fuente: www.zone-h.org
Por qué ahora el CSIRT? Por qué se generan más incidentes que antes: - Crecimiento de la dependencia tecnológica - No hay una conciencia sobre la privacidad - Amplia disponibilidad de herramientas - No hay leyes globales (y pocas locales) - Falsa sensación de que todo se puede hacer en Internet - Gran aumento de vulnerabilidades de seguridad (sólo en el 2012 se reportaron 12.340 según CERT)
Por qué ahora el CSIRT? Por qué se generan más incidentes que antes: - Traslado de negocios con dinero real a Internet (servicios financieros, juegos de azar, sitios de subastas, etc.) - Oferta y demanda de información confidencial más abierta
Por qué ahora el CSIRT? La rapidez con que una organización puede reconocer, analizar y responder a un incidente va a limitar el potencial daño y minimizar los costos de recupero. Hasta la mejor infraestructura de seguridad de la información no puede garantizar que no sucederán incidentes. Cuando suceden, es vital para las organizaciones tener mecanismos de respuesta eficientes. Fuerte crecimiento de CSIRT s desde el año 2004.
Beneficios de un CSIRT - Esfuerzo de respuesta focalizado. - Una respuesta más rápida, coordinada y estandarizada. - Equipo estable con know-how sobre Manejo de Incidentes. - Colaboración con la comunidad de seguridad. - Punto centralizado de coordinación y diseminación de información.
Tipos de CSIRT s Internos - Educativos - Gubernamentales - Comerciales Centros de coordinación - Estado/Provincia - País - Región Todos los CSIRT s son diferentes.
Tipos de CSIRT s CSIRT Nacionales Algunos países han establecido CSIRT s nacionales y usualmente tienen responsabilidades de: - Coordinación de incidentes regionales. - Protección de infraestructuras críticas. - Fomento del desarrollo de CSIRT s en el país. - Comunicación interna con otros CSIRT s.
Tipos de CSIRT s CSIRT Comerciales El servicio de CSIRT es brindado por empresas de seguridad como un servicio hacia las Organizaciones. El servicio puede abarcar: - Aviso y Alertas - Manejo de incidentes - Soporte en las investigaciones forenses - Etc.
Tipos de CSIRT s CSIRT Gubernamentales Aparecen a partir del año 2000 para dar soporte a los usuarios de un país: Ofrecen servicios de alerta y avisos personalizados en el idioma del país. Campañas de concientización sobre seguridad en Internet. Coordinación con empresas privadas, proveedores de Internet y otros CSIRT a un nivel nacional.
Tipos de CSIRT s CSIRT Gubernamentales Comunidad objetivo: La comunidad objetivo del CERTuy puede entenderse como todo aquello vinculado a los sistemas informáticos que soporten o estén vinculados a los activos de información críticos del Estado uruguayo.
FIRST Qué es el FIRST? Forum of Incident Response and Security Teams www.first.org Concentra 281 equipos en 62 países
FIRST CSIRT s a nivel mundial
OEA Seguridad Cibernética
Madurez de los CSIRT s internos No poseen (85%) Manejo de incidentes desorganizado (8%) Manejo de incidentes formal para la foto (compliance) (4%) Manejo de incidentes formal real (2%) CSIRT interno (<1%)
Armado de un CSIRT interno La gran mayoría de las organizaciones no posee equipos de respuesta Current ante incidentes Situation formalizados. A partir del año 2009 un creciente número de organizaciones ha comenzado a crear CSIRT s internos. Las principales razones: - Han tenido y tienen incidentes graves. - Hay regulación que obliga a tener un plan de respuesta. - Proactivamente el CSO muestra la necesidad.
Armado de un CSIRT interno Etapas en el desarrollo de un CSIRT Etapa 1: Educar a la organización Etapa 2: Planificar el esfuerzo Etapa 3: Implementación inicial Etapa 4: Fase de operación Etapa 5: Evaluación y mejora
Armado de un CSIRT interno Como cada organización es diferente a otras, no hay una única receta para armar un CSIRT. Cada CSIRT es único y depende de: - Grado de madurez de la organización. - Necesidades y requerimientos (que pueden variar). - Misión y objetivo. - Recursos. - Apoyo disponible.
Armado de un CSIRT interno Autoridad - Qué puede hacer el equipo y con qué derecho? Escalamiento - Ruta jerárquica acordada de antemano - Para llegar a los directivos, contactos de prensa, administración de riesgos Contactos externos (otros CSIRTs, policía, etc) 1. Usar el esfuerzo de forma efectiva y eficiente 2. Evitar mensajes/acciones contradictorias
Marco de Trabajo del CSIRT Es esencial (aquí está la clave del éxito) definir el servicio. Declaración de la Misión Enuncie las actividades que realizará el equipo Y que cosas no hará Sea realista (los mejores CSIRT s hacen pocas cosas, pero las hacen bien) Área de trabajo A quién le dará el servicio el equipo Relación con otros CSIRT s
Servicios que ofrece un CSIRT
Servicios que ofrece un CSIRT
Lugar del CSIRT dentro de la Organización Dónde se puede ubicar el CSIRT en la organización? A quién va a reportar? Usualmente se ubica dentro de la parte de la organización responsable de la seguridad. Puede depender del CSO o CRO. Mientras más arriba dependa, mejor.
Personal para el equipo de CSIRT Qué habilidades serán necesarias? Generales: sentido común, comunicación, diplomacia, aprendizaje, trabajo bajo presión, jugador en equipo, integridad, aceptación de errores, solución de problemas, manejo del tiempo Técnicas: que correspondan a las actividades que el CSIRT ofrecerá. Qué validaciones/certificaciones necesita? El personal del CSIRT debe ser confiable Construir la confianza es un proceso largo Requerimientos de confidencialidad
Personal para el equipo de CSIRT Una vez que se ha definido el servicio, se puede estimar: Personal requerido Experiencia/Habilidad necesaria para proveerlo Qué otros recursos se pueden utilizar? Especialistas, mesa de ayuda, legal, prensa etc. Acuerdos de trabajo antes de las emergencias Qué personal será necesitado para 24x7? Retención de Personal Ofrecer recompensas apropiadas Rotación de puestos Mantenga el trabajo variado e interesante
Personal para el equipo de CSIRT Apoyo de primer, segundo y tercer nivel Puede no ser personal de tiempo completo para el CERT Puede usar parte del personal existente Debe acordar sus deberes y tiempos con los gerentes y el personal Las emergencias están por arriba de cualquier otra cosa Equipos virtuales Llame a otros expertos dentro de la organización De redes, grupos de sistemas o personal del departamento de IT Personal de Legales y RH puede ser esencial
Financiamiento del CSIRT Recursos económicos: - Creación del CSIRT (Documentación, Web Site, etc). - Compra de equipamiento (hardware y software). - Contratación del equipo humano. - Training y capacitación. - Lugar físico para la operación. Si el equipo funciona bien y se da soporte ante un incidente solucionándolo rápidamente, probablemente no llegue a generarse un grave problema. ES CLAVE QUE SE MUESTREN RESULTADOS!!!
Recomendaciones generales para un CSIRT 1. Identificar a los sponsors y participantes del proyecto. 2. Obtener apoyo y aceptación de la alta gerencia. 3. Definir liderazgo para implementar el CSIRT. 4. Armar un proyecto para el CSIRT, asignar roles y responsabilidades. 5. Obtener información para las siguientes fases.
Recomendaciones generales para un CSIRT 5. Obtener información para las siguientes fases.
Recomendaciones generales para un CSIRT 6. Identificar y definir el alcance del CSIRT. 7. Definir la misión del CSIRT. 8. Determinar el rango y nivel de servicio a ofrecer. 9. Armar el presupuesto y conseguir la aprobación. 10. Definir CSIRT (modelo de reporte, ubicación, regulaciones, armar organigrama, etc). 11. Identificar recursos requeridos (personal, equipamiento, infraestructura, training, etc).
Recomendaciones generales para un CSIRT 12. Definir las interacciones del CSIRT con el resto de la organización y el exterior. 13. Definir roles y responsabilidades en forma clara. 14. Establecer workflows y documentación (políticas, procedimientos, guías, estándares, checklists, etc). 15. Crear un plan de implementación y hacerle seguimiento. 16. Una vez que el CSIRT se encuentre en operación, anunciarlo!!!.
Recomendaciones generales para un CSIRT 17. Definir métodos y métricas para evaluar la performance del CSIRT. 18. Tener un backup plan para todos los componentes del CSIRT. 19. Ser flexible y adaptable!!!
Preguntas? Muchas Gracias Julio César Ardita, CISM jardita@cybsec.com