Por: Equipo de Respuesta a Incidentes de Microsoft.
Las ciberamenazas evolucionan con una sofisticación alarmante, por lo que es crucial que las organizaciones reaccionen con rapidez a los incidentes y se preparen para posibles amenazas. Preparar a su organización para estar listos para la respuesta a incidentes se divide en tres categorías: el proceso, las personas y las tecnologías. A menudo, con la ciberseguridad, se presta más atención al aspecto tecnológico. Aunque no hay duda de que las tecnologías son esenciales, lo que distingue a la preparación y la planificación exitosas de la respuesta a incidentes es un fuerte enfoque en el proceso y las personas involucradas.
Esta entrada de blog, basada en la información del equipo de Respuesta a Incidentes de Microsoft, los guiará a través de algunas consideraciones clave de la preparación para la respuesta a incidentes, estructurada a través del marco de personas, procesos y tecnología. Con el proceso, una pieza fundamental clave, como primer paso, esta publicación de blog proporcionará orientación sobre acciones cómo:
- Desarrollar un plan sólido de recuperación ante desastres.
- Implementar una auditoría rigurosa de las cuentas y servicios de administrador.
- Designar un gestor de incidentes y esbozar la comunicación con los proveedores.
Lean a continuación para profundizar en los conceptos técnicos clave y los pasos prácticos que pueden tomar para mejorar su preparación para la respuesta a incidentes y los compromisos proactivos contra amenazas.
El proceso
Desarrollo de un plan de recuperación ante desastres
El desarrollo de un plan sólido de recuperación ante desastres garantiza la continuidad del negocio y la resiliencia frente a las ciberamenazas, los desastres naturales u otros eventos disruptivos. Este plan especifica los procedimientos y protocolos para responder a incidentes de seguridad, para hacer hincapié en la respuesta rápida, la recuperación de datos y el restablecimiento de los servicios críticos. Muchas empresas se preparan para los incendios, así que ¿por qué no para los incidentes? Debido a la falta de continuidad y organización de los esfuerzos, las organizaciones sin planes de recuperación ante desastres suelen experimentar un mayor impacto por incidentes imprevistos.
Al elaborar un plan de recuperación ante desastres, realicen una evaluación de riesgos exhaustiva para identificar posibles amenazas, vulnerabilidades y puntos únicos de falla dentro de su infraestructura. Este paso requiere definir objetivos de recuperación, priorizar activos y servicios críticos y establecer objetivos de tiempo de recuperación y objetivos de punto de recuperación en función de los requisitos empresariales y la tolerancia al riesgo. Muchas organizaciones carecen del personal o la capacidad para mantener un equipo interno de respuesta a incidentes y subcontratar servicios como Microsoft Incident Response (Respuesta a Incidentes de Microsoft).
Los planes de recuperación ante desastres suelen incluir recomendaciones como la implementación de un enfoque escalonado para la recuperación de la red, la gestión de copias de seguridad in situ, la realización de replicación externa y el uso de servicios de recuperación basados en la nube. Estas prácticas aumentan la resiliencia y la redundancia, lo que minimiza el tiempo de inactividad y la pérdida de datos. Probar y validar de manera regula su plan con ejercicios teóricos, simulaciones y simulacros es fundamental para identificar brechas, refinar los procedimientos y garantizar la preparación para incidentes del mundo real.
Cuando Microsoft Incident Response interactúa con clientes que tienen planes de recuperación ante desastres, esos planes han sido de gran ayuda para garantizar la continuidad del negocio. Los procesos preexistentes, las copias de seguridad en caliente, el personal capacitado y los acuerdos de comunicación con los proveedores correspondientes potencian los esfuerzos de investigación y recuperación. En lugar de desarrollar un plan de recuperación ante desastres reactivo en paralelo con los esfuerzos de investigación, un plan de recuperación ante desastres existente permite a Microsoft Incident Response y a la organización, centrarse en investigar las acciones de los actores de amenazas. Esto también permite que el personal de la organización se centre sólo en poner en marcha sus aplicaciones de línea de negocio. La contratación de un equipo de respuesta a incidentes junto con un plan integral de recuperación ante desastres acelera en gran medida el tiempo de restauración para mantener su entorno en funcionamiento.
Validación de mecanismos de implementación eficaces
Garantizar la integridad y autenticidad de las actualizaciones de software y del sistema requiere mecanismos de implementación seguros. Protejan estos sistemas, en especial porque los actores de amenazas a menudo los explotan para la implementación de herramientas, para auditar su almacenamiento y configuraciones con regularidad. La adopción de prácticas recomendadas, como la firma de código, el arranque seguro y las comunicaciones cifradas, evita la manipulación no autorizada de procesos.
La configuración correcta requiere una variedad de métodos de implementación para ser eficaces durante los incidentes. La implementación rápida de herramientas es importante cuando se trabaja con un equipo de respuesta a incidentes. Microsoft Configuration Manager, Microsoft Intune, la directiva de grupo y herramientas de terceros se usan por lo general. Respuesta a incidentes de Microsoft implementa herramientas de seguridad personalizadas junto con el conjunto de aplicaciones de Microsoft Defender para recopilar metadatos de forma eficaz en todo el entorno, lo que permite una respuesta más sólida.
Habilitación de auditorías y registros exhaustivos
La auditoría y el registro son vitales para una postura sólida de ciberseguridad, ya que ofrecen información sobre las actividades del sistema y los eventos de seguridad. Aunque habilitar estas características en todos los sistemas puede aumentar la sobrecarga, las ventajas en la detección de amenazas, la respuesta a incidentes y el cumplimiento superan los costos.
Es esencial adoptar un enfoque basado en el riesgo para la auditoría y el registro, y centrarse en los activos críticos y las áreas de alto riesgo. La configuración de registros para capturar eventos de seguridad relevantes y la optimización de las políticas de retención garantizan un equilibrio entre las necesidades de almacenamiento y los requisitos forenses.
Muchos clientes de Microsoft aprovechan Microsoft Sentinel, nuestra solución de administración de eventos e información de seguridad (SIEM, por sus siglas en inglés) nativa de la nube para un análisis eficiente de datos de gran volumen. Microsoft Sentinel permite la agregación, la correlación y el análisis de datos de registro en tiempo real de varios orígenes, lo que ayuda a los equipos de seguridad a detectar y responder con rapidez a incidentes. Junto con el conjunto de aplicaciones de Defender y Azure, Microsoft Sentinel ofrece datos de tendencias invaluables para las investigaciones de respuesta a incidentes.
La gente
Nombramiento de un gestor de incidencias para una coordinación eficaz
El nombramiento de un gestor de incidentes es fundamental para liderar y coordinar los esfuerzos de respuesta a incidentes, desde la detección hasta la recuperación. Esta persona sirve como el principal punto de contacto para las partes interesadas y los equipos de respuesta y garantiza una comunicación clara y una colaboración efectiva. Examinan, agilizan y registran todas las solicitudes de cambio de entorno de acuerdo con el plan de recuperación ante desastres.
El profundo conocimiento de los procesos empresariales y la infraestructura técnica de un gestor de incidentes ayuda a tomar decisiones informadas y a priorizar las acciones. Las habilidades sólidas de liderazgo y comunicación son esenciales para guiar a los equipos y lograr el consenso bajo presión.
Sin un gestor de incidentes, la comunicación sin dirección y poco clara permite a los actores de amenazas explotar el caos. Un líder definitivo agiliza el trabajo y facilita una comunicación clara, esencial para una respuesta eficiente a los incidentes. La ausencia de un esfuerzo coordinado puede provocar un trabajo fragmentado, un tiempo de inactividad prolongado de la red y graves retrasos en la restauración del acceso para los usuarios o clientes.
Mantener una comunicación abierta con los proveedores de seguridad
La comunicación abierta con los proveedores de seguridad es vital para mejorar la ciberseguridad. Las asociaciones estratégicas otorgan acceso a las últimas tecnologías, inteligencia de amenazas y mejores prácticas para la gestión de amenazas.
Los proveedores de seguridad ayudan a crear listas blancas de herramientas, configurar políticas y optimizar la configuración de seguridad para cumplir con los estándares y regulaciones. También guían la interpretación de alertas de incidentes, la priorización de la corrección y la implementación de medidas de seguridad adaptadas a las necesidades de la organización.
La colaboración con los proveedores mantiene a las organizaciones informadas sobre las amenazas emergentes y las técnicas de ataque a través de fuentes de inteligencia de amenazas y boletines de seguridad. Este intercambio proactivo de inteligencia les permite anticipar los riesgos y mitigarlos antes de que los incidentes de seguridad se intensifiquen.
La técnica
Mejora de la seguridad mediante el refuerzo de la identidad
Realicen una auditoría integral de Zero Trust (Confianza Cero) en cuentas y servicios con privilegios administrativos dentro de su sistema para defenderse de posibles violaciones de seguridad de manera efectiva. Esta auditoría requiere examinar las cuentas de usuario y administrador, las configuraciones del sistema y los permisos de servicio para detectar anomalías o puntos de acceso no autorizados. Aprovechar las sólidas soluciones de gestión de identidades y accesos es crucial para hacer cumplir el principio de privilegios mínimos. Al otorgar a los usuarios solo los permisos necesarios para sus roles, las organizaciones pueden reducir de manera significativa la superficie de ataque y el riesgo de escalada de privilegios.
Usen Administradores de empresa y Administradores de esquemas, dos grupos integrados que pueden modificar un bosque de Active Directory, solo para cambios específicos en el marco del entorno y, a continuación, eliminarlos. Además, deben auditar AdminSDHolder, un método de persistencia común. La aplicación de los privilegios asignados a un usuario o grupo en el objeto AdminSDHolder es todavía efectiva, sin importar los cambios en otras partes de Active Directory.
La respuesta a incidentes de Microsoft suele recomendar el modelo de acceso empresarial o la organización en niveles para proteger el plano de identidad para varios entornos. La organización en niveles tiene como objetivo proteger la identidad (nivel 0) y todos los servidores que interactúan con ella, incluidos los servidores de administración de nivel 0, todo dentro del mismo plano. Este modelo obliga a los administradores a tener cuentas en su plano específico, lo que reduce las posibilidades de movimiento lateral y escalada de privilegios.
Ganancias rápidas para la protección de activos
A la hora de proteger las cuentas, métodos como la autenticación multifactor introducen una capa de seguridad adicional, lo que dificulta que los adversarios pongan en peligro los sistemas y datos críticos. Las ventajas fáciles de la autenticación multifactor incluyen la habilitación de la coincidencia de números y la alerta de fraude, o la exigencia de acceso a través de un dispositivo unido a Microsoft Entra.
Establecer una política de cuentas inactivas (u obsoletas) es fundamental para reducir y eliminar posibles puntos de entrada. Los proveedores de seguridad a menudo crean cuentas de invitado sobreaprovisionadas que permanecen activas hasta que el contratista regresa. Formulen una política para deshabilitar y, de manera eventual, eliminar cuentas cuando no estén en uso, lo que marca una victoria rápida. Una directiva de cuenta obsoleta, combinada con una directiva de contraseñas y una directiva de bloqueo de cuentas, ayuda a proteger el plano de identidad en un entorno.
Auditoría proactiva de servicios y máquinas
La auditoría de los servicios y las máquinas dentro de la red es vital para identificar y mitigar los riesgos de seguridad. Es importante documentar las configuraciones y dependencias de todos los activos de hardware y software, y evaluar su exposición a la vulnerabilidad.
Las herramientas automatizadas de gestión de activos y análisis de vulnerabilidades agilizan la auditoría y mantienen actualizados los inventarios de activos. La dependencia del software heredado, en especial de sistemas no compatibles, introduce vulnerabilidades. El análisis de vulnerabilidades permite una gestión proactiva de riesgos, parches y configuración, lo que satisface las necesidades de seguridad y cumplimiento.
Para obtener los mejores resultados, deben clasificar los activos por criticidad y sensibilidad para priorizar los controles y recursos de seguridad. Es esencial distinguir entre los sistemas heredados protegidos y los sistemas arriesgados al final de su vida útil debido a configuraciones obsoletas o no compatibles.
Impulsar la respuesta a incidentes en su organización
Prepararse de forma proactiva para la respuesta a incidentes es esencial dados los desafíos modernos de ciberseguridad. Al fortalecer las defensas, mantener un plan integral de recuperación ante desastres y aprovechar los recursos de expertos, como el equipo de respuesta a incidentes de Microsoft, puede administrar las amenazas con confianza. Nuestra experiencia y capacidad de respuesta rápida son invaluables en la mitigación de riesgos cibernéticos.
La coordinación eficaz y los mecanismos de registro sólidos reducen el impacto de los incidentes y garantizan la resiliencia operativa. La preparación es clave en un mundo que se enfrenta a inevitables amenazas cibernéticas. Obtengan más información sobre los servicios de respuesta proactiva y reactiva de Microsoft Incident Response o encuentren claridad en el laberinto de la respuesta a incidentes en nuestra útil guía para equipos.
Para obtener más información sobre las soluciones de seguridad de Microsoft, visiten nuestro sitio web. Agreguen a Favoritos el blog de Seguridad para mantenerse al día con nuestra cobertura experta en asuntos de seguridad. Además, síganos en LinkedIn (Microsoft Security) y X (@MSFTSecurity) para conocer las últimas noticias y actualizaciones sobre ciberseguridad.