Incidentes en Seguridad de la Información por Francisco Villegas Landin
0 recomendaciones1,208 vistas
El documento presenta un análisis de incidentes de seguridad de la información, destacando casos reales como ataques de Anonymous y robo de identidad. Se enfatizan lecciones aprendidas sobre la importancia de la preparación, el liderazgo y el monitoreo continuo en la gestión de incidentes. También se abordan casos de acceso no autorizado y robo de efectivo, subrayando la necesidad de investigar en el ecosistema completo para obtener evidencia concluyente.
Incidentes en Seguridad de la Información por Francisco Villegas Landin
- 2. Incidentes en Seguridad de la Información ¿Qué hemos aprendido? Lic. Francisco Villegas Landin, Jefe de Oficina de Seguridad de la Información (CSO) Director Servicios de Seguridad, redIT (Metro Net) CISSP, ISSAP, CISA, CISM, CRISC, BS7799-LA, ITIL, IAM, IEM, enCE
- 3. Agenda • Casos basados en hechos reales • Por confidencialidad los hechos y datos han sido alterados • Se asumen conocimientos técnicos de la audiencia
- 4. INCIDENTES
- 5. Ataque de Anonymous • Dia 3, notificación en el Underground #Operacion del ataque • A marchas forzadas, el día 5 del mes se arranca una operación de contención y erradicación con el cliente • Un fenómeno natural detiene el ataque • Anonymous ataco en 4 ocasiones • El incidente DDoS a las 12:00 por 3 horas, el segundo por 2 horas y los otros dos siguientes por una hora • Se declaro por terminado el incidente el tercer día a las 12:00 horas
- 6. Estrategia de la Operación Obtener la mayor cantidad de información posible sobre la naturaleza del incidente. En la medida de lo posible, contener o prevenir la propagación del daño causado por el incidente. Reparar o coordinar la reparación del daño causado por el incidente. Restaurar los servicios tan pronto sea posible. Preservar la evidencia del incidente. Asegurar que el incidente fuera apropiadamente reportado y escalado. Tomar las medidas proactivas necesarias para mitigar incidentes futuros.
- 7. Oportunidades en la preparación… • No conocíamos a todos los involucrados (no había directorio) • No contamos con el inventario de infraestructura de TI • No contamos con el análisis de vulnerabilidades de toda la infraestructura de Internet • No pudimos hacer un cruce de infraestructura contra vulnerabilidades – estuvimos prácticamente a “ciegas” • En prácticamente 12 horas se estableció un “war room”
- 8. Factores Críticos de Exito… • Establecimos un pequeño laboratorio y probamos los vectores de ataque • Nuestro equipo de especialistas mediante “spoof” en el “underground” encontramos los patrones de los principales vectores de ataque • Tomamos la decisión de pedir al carrier que bloquearan las redes de países con los que el cliente no tiene negocio y que eran posibles fuentes de ataque • Bajamos el umbral de peticiones aceptadas por el firewall. • En línea estuvimos bloqueando fuentes de ataque con el IPS
- 9. ¿que aprendimos? Liderazgo / Coordinación / Colaboración y Trabajo en equipo Involucrar y que participen de todas las áreas de la Organización Conocer la infraestructura de IT (Inventario Actualizado) No responder, ni lanzar ataques Establecer un equipo y proceso de respuesta a incidentes Establecer un proceso de administración de la seguridad (vulnerabilidades) Monitoreo Continuo de la operación 7x24
- 10. Caso – Robo de Identidad • Origen: Crimen Organizado y personal interno • Destino: Javier, empresario • Incidente: Robo de 200 mil pesos por clonación de tarjeta de crédito • Impacto: Banco X determino que el incidente fue en la empresa de Javier, el perdió su dinero, no denuncio a las autoridades, despidió a las personas relacionadas. • El Banco lanzo una investigación interna sobre el proceso de impresión de tarjetas de crédito
- 11. Caso – Robo de Identidad (2) • • • • Marzo 2012 - Denuncia del Banco y solicitud de apoyo Análisis en computadoras del usuario (3 Laptops) GSI Encase Forensics (Imagen Forense) Búsqueda – – – – – – Análisis de Bitácoras de Windows Código Malicioso Archivos Ocultos Usuarios, Correo, Navegación Web, Chat Revisión de los sistemas perimetrales (Firewall, Router) Revisión del servicio de correo electrónico «hosteado»
- 12. Caso – Robo de Identidad (3) • Hallazgos del Caso - Evidencia – Correos Electrónicos de personal interno con comunicación relacionada hacia cuentas de correo externo – Cache del Explorador con URL’s de Google y Hotmail con direcciones de correo – Conversaciones de MSN relacionadas – Direcciones IP de Origen y Destino – Imágenes de Credencial de Elector de la victima – Archivos PDF con comprobantes de domicilio
- 13. Caso – Robo de Identidad (4) • Lección aprendida – En un proceso de cómputo forense debe buscarse por evidencia electrónica contundente e irrefutable que indique al menos que y como sucedió, cuando sucedió y quién lo hizo
- 14. Caso – Acceso no autorizado • Origen: Personal Interno • Destino: Miguel, Director General de área • Incidente: Acceso no autorizado a 5 equipos de colaboradores e inclusive a su máquina y extracción de documento crítico • Impacto: Acceso a documentos confidenciales y a información personal para toma de decisiones sobre compra de empresas • La organización despidió a la persona involucrada que ejecuto el incidente, y también a los autores intelectuales (otro Director)
- 15. Caso – Acceso no autorizado (2) • • • • Agosto 2012 - Denuncia del Cliente y solicitud de apoyo Análisis en computadoras del usuario (5 Laptops) GSI Encase Forensics (Imagen Forense) Búsqueda – – – – – – – Análisis de Bitácoras de Windows Código Malicioso Archivos Ocultos Usuarios, Correo, Navegación Web, Chat Revisión de los sistemas perimetrales (Firewall, Router) Revisión del servicio de correo electrónico «hosteado» Revisión del Filtrado Web
- 16. Caso – Acceso no autorizado (2) • Hallazgos del Caso - Evidencia – Windows no deja evidencia de copias – Evidencia de logons Exitosos «Anonymous Logon» – Dirección IP de Origen y «Hostname» que realizo los accesos – No se encontró nada más en la computadora • No había forma de relacionar los «anonymous logon» con la evidencia en el equipo ni con la copia del archivo. • Pensé en buscar por evidencia en el sistema de Filtrado URL – Se encontró evidencia de navegación del «Hostname» en el filtrado con direcciones IP y se – Se relaciono los horarios de acceso con el log del Sistema de filtrado, donde el proxy requería autenticación. – La persona que lo ejecuto dio su user y su password para salir a internet.
- 17. Caso – Acceso no autorizado (3) • Lección aprendida – No necesariamente la evidencia hallada en un sistema de computo nos llevará a la resolución de un caso, habrá que buscar en el «Ecosistema» en su totalidad
- 18. Caso – Robo de Efectivo • • • • • Origen: Personal Interno y Hacker Destino: Banco Y, Sucursal Z Incidente: Robo de dinero Impacto: Pérdida de 500,000 mil pesos La organización despidió a la persona involucrada y demando penalmente a los involucrados (el hacker y el ex empleado), a la fecha el proceso sigue, uno esta en la cárcel sin sentencia y el otro esta en proceso pero en su casa, no se logro identificar al tercero.
- 19. Caso – Robo de Efectivo (2) • Oct 2010 – Llamada del Cliente y solicitud de apoyo • Alerta del Sistema Antifraudes del Banco por extracción de efectivo • Se asistió al sitio • Revisión en vivo (GSI Encase Portable) • Búsqueda – – – – Análisis de Bitácoras de Windows Código Malicioso Ejecución de Procesos Revisión de Memoria
- 20. Caso – Robo de Efectivo (3) • Hallazgos del Caso - Evidencia – Archivos Abiertos y ejecutados – Montaje de USB y Lectura de DVD – Horarios Ejecución de Programas • Observe el «ambiente» había una cámara de videograbación • Solicite revisar videos (de las 14:00 a las 14:30) – En el video aparecía el Gerente de la Sucursal, hablando por teléfono celular, fumando y montando el CD-ROM en el dispensador – Con la evidencia electrónica y el video se «presiono» al ex-empleado – Se observa como saca el dinero y lo guarda – Se observa a un tercero que recoge el dinero (no se logra identificar)
- 21. Caso – Robo de Efectivo (4) • Lección aprendida – Hay que relacionar hechos del entorno «físico» con los del entorno «digital» como son horarios y controles de seguridad física, ejemplo, controles de acceso «tarjetas, registros bitácoras manuales, cámaras de vídeo» – En este caso la evidencia contundente fue la videograbación y el sustento fue la actividad de la persona en la computadora.
- 22. ¿PREGUNTAS? Lic. Francisco Villegas Landin, Jefe de Oficina de Seguridad de la Información (CSO) Director Servicios de Seguridad, redIT (Metro Net) CISSP, ISSAP, CISA, CISM, CRISC, BS7799-LA, ITIL, IAM, IEM, enCE