Fases de Contención, Erradicación y Recuperación 59

Una vez que se ha identificado, analizado, priorizado y notificado el incidente, es necesario realizar actividades que ayuden a contenerlo para evitar que pueda generar un daño mayor al ya hecho y poder restablecer el funcionamiento normal de los servicios afectados.

5.3.2.3.1. Proceso de Contención de Incidentes

Un proceso importante dentro de esta fase es el proceso de contención para evitar que un incidente puede causar un daño superior, aunque algunos incidentes puede que no necesiten un proceso de contención es recomendable que las Organizaciones cuenten con una estrategia de contención de incidentes, debido a que en este proceso parte esencial es la toma de decisiones como por ejemplo dar de baja recursos, parar servicios, eliminar archivos, entre otros. La toma de decisiones se vuelve más sencilla de realizar si se cuenta con un proceso o estrategia para la contención de incidentes, es por esto que es importante definir

Para poder establecer un procedimiento de contención de incidentes comúnmente es definido de acuerdo al tipo de incidente que se está gestionando, por esto es útil diseñar diferentes tipos de estrategia de contención para los tipos de incidentes más importantes que cuenten con una documentación suficiente que ayude al proceso de toma de decisiones a que sea ágil, adecuado y acertado. Dentro de cada estrategia se podría definir esta información como punto de partida, la cual podría irse aumentando de acuerdo al paso de tiempo y experiencia del personal del SOC:

 Daño potencial del incidente hacia los recursos de la organización  Necesidad de preservación de evidencias

 Disponibilidad de los servicios

 Tiempos y recursos necesarios para poder aplicar la estrategia de contención  Nivel de efectividad al aplicar la estrategia de contención

 Duración del proceso de solución

Cabe recalcar que no todos los incidentes pueden ser contenidos, se pueden presentar incidentes que al momento de aplicar una estrategia de contención pueden causar más daño de lo esperado, es por esto que es necesario que el personal del SOC primero analice si es factible aplicar una estrategia de contención al incidente.

5.3.2.3.2. Recolección y Manejo de Evidencia

Para poder resolver un incidente es necesario recolectar evidencia para poder descubrir la causa raíz del problema, sin embargo, otro punto importante para realizar esta actividad es que puede ser necesario por cualquier proceso legal que dicho incidente pueda disparar. Es por esta razón que es importante contar con procedimiento para la recolección, manejo y preservación de las evidencias ya sean físicas o digitales, dicho procedimiento deberá definir formularios de cadena de custodia para poder controlar que personas manejar la evidencia y los diferentes lugares donde la mantuvo.

Actualmente existen muchos procedimientos para manejo de evidencia, entre los cuales se puede recomendar los siguientes:

 Normativa ISO/IEC 27037: Esta normativa divide el proceso de adquisición de evidencia en diferentes tipos como adquisición de evidencia de dispositivos prendidos, apagados, dispositivos críticos, dispositivos de almacenamiento, entre otros (ISO/IEC, 2012).

 NIST SP 800-86, Guía para integrar técnicas forenses en la gestión de incidentes: provee información para poder establecer un proceso forense dentro de una organización, dentro de la cual se centra en técnicas forenses para equipos de cómputos y también es aplicable a otro tipo de sistemas y recursos (NIST - Karen Kent, Suzanne Chevalier, Tim Grance, Hung Dang, 2006).

De acuerdo a la normativa que la organización escoja para poder diseñar su procedimiento de manejo de evidencia, se puede crear un log detallado para todas las evidencias que se recolecten.

5.3.2.3.3. Identificación de Hosts Atacantes

Esta actividad no suele ser prioridad dentro de esta fase, debido a que consume tiempo y recursos que pueden ser utilizados para la contención, erradicación y recuperación del incidente, sin embargo, esta tarea puede ayudar a que la organización pueda reconocer al hosts atacante en posibles incidentes futuros o a bloquearlos para evitar otros incidentes.

Entre las actividades comúnmente utilizadas para identificar hosts atacantes que se pueden realizar dentro de un SOC, tenemos:

 Validar la dirección IP del Hosts atacante.

 Investigar por medio de motores de búsqueda más información sobre el Hosts atacante utilizando la dirección IP identificada.

 Utilizar base de datos de incidentes de otras organizaciones o comunidades de seguridad para poder obtener información del Hosts atacante

5.3.2.3.4. Erradicación y Recuperación del Incidente

De acuerdo al incidente o a la Organización la erradicación se puede realizar con un proceso separado de la recuperación o puede ser incluido dentro del proceso de recuperación, no obstante, es necesario realizar un proceso de erradicación para poder eliminar todos los componentes que causaron el incidente como por ejemplo eliminar archivos, bloquear usuarios comprometidos, identificación de vulnerabilidades, etc. Es de suma importancia que durante el proceso de erradicación se identifiquen todos los Hosts afectados para poder erradicarlos y evitar que componentes del incidente permanezcan y den oportunidad a un nuevo incidente.

En el proceso de recuperación está enfocado en que los administradores de los sistemas puedan restablecer sus operaciones a un funcionamiento normal y remediar vulnerabilidades

descubiertas para evitar incidentes similares en un futuro. Entre las actividades más comunes para la recuperación se puede realizar restauraciones de respaldos, restaurar equipos desde cero con configuraciones de seguridad predefinidas, instalar parches, cambiar contraseñas, etc. Es normal que se comiencen a monitorear sistemas o redes críticas afectadas después de un incidente, debido a que si un recurso fue atacado exitosamente una vez, es frecuente que sea un blanco para un próximo ataque.

Para incidentes con nivel de afectación alto, el proceso de recuperación puede tomar hasta meses de ejecución, es por esto que es necesario que el personal de responsable defina tareas a corto, mediano y largo plazo para realizarlo y de esta manera realizar la recuperación del funcionamiento normal de los servicios de la organización y prevenir incidentes futuros. Es necesario que estas tareas sean gestionadas y monitoreas para poder alcanzar una recuperación total del incidente.