Este proyecto de investigación propone mejorar el modelo de gestión de incidentes de seguridad utilizando la base de conocimiento de ataques a servicios web en entornos IoT construidos con tecnologías Honeypot, big data y bases de datos distribuidas sobre Blockchain, que facilitan la gestión de eventos de seguridad informática; Palabras clave: Base de Datos Distribuida, Big Data, Blockchain, Incidentes de Seguridad Informática, Honeypot, IoT, Modelo de Gestión de Incidentes de Seguridad. Nmap: Network Mapper es un software gratuito y de código abierto que funciona principalmente para rastreo de puertos, descubrimiento de redes y auditorías de seguridad.
La definición proactiva de controles de seguridad no se considera plenamente en la mayoría de los modelos de gestión de incidentes de seguridad, que se centran en gestionar eventos e incidentes a medida que ocurren. Diseñar una mejora del modelo estándar de gestión de incidentes de seguridad utilizando una base de conocimiento de ataques a servicios web en entornos IoT construida con tecnologías Honeypot, Big data y bases de datos distribuidas sobre Blockchain, facilitando la gestión de eventos de seguridad informática.
Marco Teórico y Estado del arte
Marco Teórico
- Internet de las Cosas
- Dispositivos IoT
- Honeypot
- Clasificación por propósito
- Clasificación por rol
- Clasificación por nivel de interacción
- Clasificación por escalabilidad
- Clasificación por niveles de recursos
- Clasificación por disponibilidad de código fuente
- Big Data
- Las Vs de Big Data
- Los retos de Big data
- Blockchain
- Características principales de Blockchain
- Base de conocimiento
- Servicios Web
- Servidor Web
- Raspberry Pi
- Eventos de seguridad
- Incidentes de seguridad
- Modelo de gestión de incidentes
- Modelo de gestión de incidentes NIST SP-800-61
- Modelo de gestión de incidentes ISO 27035
- MINTIC: Guía para la Gestión y clasificación de Incidentes de Seguridad de
Es una de las tecnologías con mayor crecimiento y adopción en la historia de la informática, con una. La cantidad de información que se puede recopilar depende directamente de la habilidad del atacante. Seguridad: La seguridad de Blockchain está estrechamente relacionada con la inmutabilidad, ya que se refiere a la imposibilidad de cambiar la información que contiene.
Los dos primeros modelos de Raspberry Pi fueron el Modelo A y el Modelo B, ambos fabricados en el Reino Unido. MINTIC: Manual de Clasificación y Gestión de Incidentes de Seguridad de la Información Seguridad de la Información.
Estado del arte
En la segunda fase se centran en la construcción del Honeypot, utilizando la información recopilada en la fase de búsqueda del dispositivo. En la fase final, la información recopilada por el Honeypot durante el despliegue público se evalúa y se correlaciona con la información obtenida durante el despliegue en el entorno controlado. Los autores no proponen el uso de Blockchain para almacenar la información analizada sobre los ataques, ni proponen el uso del conocimiento adquirido para mejorar un modelo de gestión de incidentes de seguridad, como pretende este trabajo de investigación.
Para facilitar la implementación de Honeynet, los investigadores empaquetaron Honeynet como una imagen de Docker. Los investigadores señalan que el uso de dispositivos económicos y sencillos como la Raspberry Pi 3 y herramientas de software como IDS, Honeypots y analizadores de paquetes, correctamente implementados, ayudan a combatir los ataques y mejorar la seguridad, la integridad y la disponibilidad de la información.
Metodología
- Fase 1: Selección de Honeypot
- Actividad 1: Creación de listado de Honeypots a caracterizar
- Actividad 2: Caracterización de las Honeypots
- Fase 2: Selección de la cadena de bloques y definición de estructura de datos
- Actividad 1: Referenciamiento de plataformas Blockchain
- Actividad 2: Caracterización de proyectos Blockchain
- Fase 3: Selección de la herramienta Big Data
- Actividad 1: Creación de listado de herramientas Big Data a caracterizar
- Actividad 2: Caracterización de herramientas Big Data
- Fase 4: Definir estrategia de fortalecimiento del modelo de gestión de
- Actividad 1: Cotejar modelos y guías de gestión de incidentes de seguridad de
- Actividad 2: Creación de la mejora a partir del modelo o guía seleccionada. 49
- Actividad 1: Instalación y configuración de herramientas tecnológicas
- Actividad 2: Ejecución de actividades definidas en el modelo
Se evaluarán los Honeypots que cumplan con los dos requisitos mínimos definidos en la Actividad 1 de esta fase; Para el proceso de evaluación de Honeypots se definieron cinco criterios y el método de evaluación a utilizar, se seleccionará el Honeypot que logre el mayor puntaje general en la evaluación para su instalación en el laboratorio de pruebas. 3 puntos: Buena documentación: La documentación describe paso a paso el proceso de instalación de Honeypot. 2 puntos: Documentación mediana: La documentación describe generalmente el proceso de instalación de Honeypot.
El análisis de logs es fundamental en la seguridad de las empresas, su análisis ha permitido el desarrollo de herramientas para la gestión de eventos de seguridad de la información como Objetivo: Evaluar el modelo de gestión de incidentes de seguridad propuesto, demostrando la eficiencia y eficacia del proceso de gestión proactiva de incidentes de seguridad.
Resultados
Fase 1: Selección de Honeypot
- Actividad 1: Creación de listado de Honeypots a caracterizar
- Actividad 2: Caracterización de las Honeypots
- Descripción general de la Honeypot Seleccionada (Dionaea)
Una vez obtenido el listado inicial, se buscó en el sitio web oficial del proyecto y/o documentos que proporcionaran información adicional sobre cada uno. Telnet IoT Honeypot https://github.com/Phype/telnet-iot-honeypot HoneyThing https://github.com/omererdem/honeything. La lista original se perfeccionó teniendo en cuenta los dos requisitos mínimos definidos para el proyecto.
Para definir Honeypots partimos de la lista creada en la Actividad 1 de la Fase 1; Cada uno de los Honeypots de la lista recibió una calificación de cumplimiento sobre cinco. Como se muestra en la Tabla 13, Honeypot Dionaea recibió un total de siete puntos (7 puntos); Debido a esto, fue seleccionado como Honeypot para usar en el proyecto. El objetivo principal del proyecto Telnet IoT Honeypot era analizar automáticamente las conexiones de Botnet y mapearlas conectando diferentes conexiones e incluso redes.
El proyecto implementó un servidor telnet Python que intenta actuar como Honeypot para detectar malware de IoT que se propaga a través de contraseñas predeterminadas e inseguras en los servidores. Honeypot funcionó imitando el entorno del caparazón de la misma manera que Cowrie Honeypot. Un proyecto diseñado específicamente para comprender cómo funciona Mirai Bot para infectar dispositivos IoT como cámaras y enrutadores para su posterior uso en ataques DoS y DDoS.
Esta herramienta fue desarrollada por un grupo de investigadores japoneses tras los ataques de Mirai Botnet. Syphon utiliza dispositivos IoT que están ubicados físicamente en un lugar y conectados a Internet a través de los llamados agujeros de gusano repartidos por todo el mundo. Cowrie es un honeypot medio de interacción SSH y Telnet diseñado para capturar los ataques de fuerza bruta y de interacción de proyectiles de un atacante.
Fase 2: Selección de la cadena de bloques y definición de estructura de datos
- Actividad 1: Referenciamiento de proyectos Blockchain
- Actividad 2: Caracterización de plataforma Blockchain
- Instalación y configuración de Honeypot y Big Data
- Instalación de Máquina virtual Hyperledger
- Actividad 2: Ejecución de actividades definidas en el modelo
- Fase de planificación y preparación
- Fase de levantamiento de información y reporte
- Fase de Respuesta
- Fase de implementación y evaluación de controles
- Fase reporte y lecciones aprendidas
El objetivo del Modelo ISO de Gestión de Incidentes es proporcionar orientación para la gestión de incidentes de información y vulnerabilidades de seguridad de la información mediante la definición de controles efectivos para reducir o mitigar los efectos resultantes de estos incidentes. ISO IEC A16 Gestión de incidentes en el ámbito de la seguridad de la información El capítulo 16 de la norma ISO 27001 tiene como objetivo establecer controles para la gestión de incidentes en el ámbito de la seguridad de la información. 2 (Guía de Manejo de Incidentes de Seguridad Informática, agosto de 2012), se utilizará como punto de partida en el desarrollo de una mejora del modelo de gestión de incidentes de seguridad, cuya característica principal es la gestión proactiva de los incidentes de seguridad de la información, es decir, gestionar incidentes de seguridad en entornos no productivos (entornos invitantes) para utilizar la información recopilada de estos incidentes para definir controles que permitan mitigar su materialización en entornos productivos.
Formular y generar una política para la gestión de eventos, incidentes y vulnerabilidades de seguridad de la información y obtener la participación de la alta dirección en esa política. Actualizar las políticas de gestión de riesgos y seguridad de la información, a nivel corporativo y a nivel de sistemas, redes y servicios específicos. Establecer, implementar y operar mecanismos técnicos y otros soportes para soportar el sistema de gestión de incidentes de seguridad de la información.
Probar la aplicación del esquema de gestión de incidentes de seguridad de la información, sus procesos y procedimientos. Detección y reporte de un evento de seguridad de la información o la existencia de una vulnerabilidad de seguridad de la información. Asegúrese de que se mantenga un régimen de control de cambios que incluya el monitoreo de eventos y vulnerabilidades de seguridad de la información.
Asegúrese de que se mantenga el régimen de control de cambios y cubra el seguimiento de incidentes de seguridad de la información y las actualizaciones de informes de incidentes de seguridad de la información. Distribuya la responsabilidad de las actividades de gestión de incidentes de seguridad de la información a través de la jerarquía de personal adecuada. Utilice pautas para la documentación exhaustiva de las acciones posteriores a un incidente de seguridad de la información.
Actualización de la base de datos de eventos/incidentes/vulnerabilidades de seguridad de la información. Revisar, definir y mejorar la implementación de los controles de seguridad de la información (controles nuevos y/o actualizados), así como la política de gestión de incidentes de seguridad de la información. 2; La mejora buscó lograr una gestión proactiva de incidentes de seguridad de la información; es decir, la gestión de incidentes de seguridad en entornos no productivos (entornos invitantes), que permite utilizar la información recopilada de estos incidentes en dichos entornos, con el objetivo de definir controles que permitan mitigar su materialización en entornos productivos; Para mejorar, partimos del supuesto de que los modelos ISO 27035 o NIST SP800-6 brindan orientación sobre cómo gestionar un incidente de seguridad cuando ocurre, es decir, gestión reactiva o manejo de incidentes de seguridad informática [40].
Análisis y comprensión de las fases y actividades clave de los modelos ISO 27035 y NIST SP 800-61. La importancia de la información proporcionada por el componente activo en la definición de controles y acciones.
Conclusiones
- Conclusiones objetivo general
- Conclusiones objetivos específicos
- Recomendaciones
- Trabajo futuro
Identificación proactiva de incidentes de seguridad e incidentes que puedan ocurrir en los entornos productivos de la organización. Dionaea, mediante la evaluación del cumplimiento de las características definidas (ver apartado 3.1.2. Actividad 2: Caracterización de los honeypots) de acuerdo con las necesidades específicas del proyecto (ver apartado 2.1.2.. en los honeypots); El Honeypot seleccionado cumplió con el propósito para el cual fue seleccionado (ver apartado 2.1. Como resultado, se logró la instalación como parte del componente activo (ver apartado 3.5.1.1. Instalación y configuración de Honeypot y Big Data) y exposición de un información de activos (servicio web) para recopilar información sobre los vectores de ataque utilizados durante la exposición, para la posterior definición e implementación de controles en entornos productivos.
Caracterización de Proyectos Blockchain); La plataforma Blockchain elegida cumplió con el objetivo para el cual fue elegida (ver sección 2.2. Como resultado, se logró la instalación como parte del componente activo (ver sección 3.5.1.2. Instalación de la Máquina Virtual Hyperledger) y enviando la información generada por Big Datos para almacenamiento seguro en Blockchain (ver Figura 32. Ejecución de Script Rsync) ELK (Elasticsearch, Logstash y Kibana), mediante la evaluación del cumplimiento de las características definidas (ver sección 3.3.2 Actividad 2: Caracterización de herramientas Big Data) según las necesidades específicas del proyecto (ver apartado 2.3.2. Actividad 2: Caracterización de herramientas Big Data), la plataforma Blockchain elegida cumplió con el objetivo para el que fue seleccionada (ver apartado 2.3.
Como resultado, se logró la instalación como parte del componente activo (ver sección 3.5.1.1.. Instalación y configuración de Honeypot y Big Data) y posterior procesamiento de los logs generados por Honeypot para su visualización en el Dashboard (ver Figura 48). Aplicando el modelo, fue posible mitigar incidentes de seguridad en entornos productivos, a través de la definición e implementación proactiva de controles, a partir de la información recopilada durante los incidentes en los activos expuestos en la infraestructura señuelo (Ver 3.5.2.4. Fase de implementación y evaluación de controles) - El modelo facilita el manejo de incidentes de seguridad al proporcionar información valiosa sobre los ataques que puede recibir un activo de información (ver 3.5.2.2.
El nuevo modelo puede ser utilizado y recomendado para cualquier organización cuya gestión de cambios sea continua y por tanto quiera identificar las vulnerabilidades, riesgos y ataques a los que estarán expuestos los nuevos componentes para tener una gestión proactiva de eventos e incidentes de seguridad. Cree métricas que le permitan encontrar el porcentaje de reducción en la probabilidad de que ocurran incidentes de seguridad en entornos productivos logrado al utilizar un modelo de gestión de incidentes proactivo. Reportar la gestión proactiva de incidentes de seguridad utilizando el modelo de gestión proactiva de incidentes.
Anexos: Informe de manejo proactivo de eventos e incidente de seguridad
