Detección y análisis: identificación de incidentes reales

La fase de detección y análisis comienza cuando se identifica por primera vez un posible incidente de seguridad y termina cuando se comprenden suficientemente su alcance y su impacto como para iniciar la contención. El principal desafío de esta fase es distinguir los verdaderos positivos de los falsos positivos: diferenciar una alerta generada por actividad maliciosa de una alerta activada por un comportamiento normal, aunque inusual. Una detección eficaz requiere herramientas configuradas correctamente, analistas capacitados y líneas base documentadas de la actividad normal.

Los incidentes se detectan a través de múltiples canales: alertas del SIEM generadas por reglas de correlación, detecciones de EDR basadas en el análisis de comportamiento en endpoints, informes de usuarios (la forma más habitual de detectar inicialmente el phishing), notificaciones de terceros (fuerzas del orden, proveedores de inteligencia de amenazas y servicios de notificación de brechas), análisis automatizados (escáneres de vulnerabilidades o anomalías detectadas por CSPM) y threat hunting (investigación proactiva). Cada fuente tiene un nivel de fiabilidad diferente y proporciona distintos tipos de evidencias.

Una detección eficaz requiere recopilar registros de diversas fuentes. Entre los tipos de registros críticos se incluyen: registros de autenticación (Windows Security Event Log, /var/log/auth.log) para los inicios de sesión fallidos y correctos, registros de red (firewall, VPC Flow Logs y proxy) para las conexiones inusuales, registros DNS para las consultas a dominios maliciosos conocidos, registros de endpoints (EDR, Sysmon) para la creación de procesos y la actividad de archivos, y registros de auditoría de la nube (CloudTrail, Azure Monitor) para las llamadas a API. Un SIEM agrega y correlaciona estas fuentes heterogéneas.

Los analistas del SOC clasifican cientos o miles de alertas cada día, la mayoría de las cuales son falsos positivos: actividad legítima que activó una regla de detección. Un falso positivo desperdicia el tiempo de los analistas y provoca fatiga de alertas, lo que puede hacer que se descarten amenazas reales. Un verdadero positivo representa actividad maliciosa real. Un falso negativo es el resultado más peligroso: actividad maliciosa que no generó ninguna alerta. Ajustar las reglas de detección para reducir los falsos positivos sin aumentar los falsos negativos es una competencia fundamental en un SOC.

Las reglas de correlación del SIEM combinan varios eventos de registro individuales para identificar patrones que indican ataques. Por ejemplo, un inicio de sesión fallido es normal; 100 inicios de sesión fallidos desde la misma IP en 60 segundos indican un ataque de fuerza bruta. Otro ejemplo: que un usuario se autentique desde Estados Unidos a las 9:00 y después desde China a las 11:00 constituye un desplazamiento imposible, probablemente debido a una cuenta comprometida. Las reglas de correlación eficaces equilibran la sensibilidad (detectar ataques reales) con la especificidad (no inundar a los analistas con ruido).

Durante el análisis, los responsables de la respuesta recopilan Indicadores de Compromiso (IoC) que caracterizan el ataque: direcciones IP sospechosas, nombres de dominios maliciosos, hashes de archivos de malware, claves del registro modificadas por el atacante, nombres de procesos inusuales o relaciones padre-hijo anómalas y conexiones de red anómalas. Los IoC se utilizan para determinar el alcance (¿está presente este IoC en otros sistemas?), enriquecer la inteligencia de amenazas, bloquear nuevos accesos del atacante y desarrollar reglas del SIEM que detecten actividades similares en el futuro.

El análisis del alcance responde a estas preguntas: ¿Qué sistemas están afectados? ¿A qué datos se accedió o cuáles se exfiltraron? ¿Cómo consiguió entrar el atacante y cuándo? Los responsables de la respuesta utilizan el análisis de registros para reconstruir la cronología del ataque, identificar el vector de acceso inicial, enumerar todos los sistemas que tocó el atacante (movimiento lateral) y determinar si se exfiltraron datos (picos de transferencias salientes y directorios de preparación de datos). La evaluación del alcance determina las decisiones de contención: no se puede contener aquello que no se ha identificado y delimitado.

Las plataformas EDR (Endpoint Detection and Response) son la principal herramienta técnica para el análisis de incidentes a nivel de endpoint. La telemetría de EDR proporciona: árboles de ejecución de procesos (qué proceso generó a cuál), actividad del sistema de archivos, conexiones de red por proceso, modificaciones del registro y detección de inyección de memoria. Durante un incidente, EDR permite a los analistas buscar simultáneamente un IoC en todos los endpoints (investigación en toda la empresa), aislar de la red un endpoint comprometido y extraer artefactos forenses sin tocar físicamente el sistema.

Las evidencias de red suelen ser la fuente más fiable durante el análisis de incidentes. NetFlow y VPC Flow Logs revelan las conexiones entre sistemas sin mostrar el contenido de la carga útil, lo que resulta útil para trazar el movimiento lateral. La captura completa de paquetes (PCAP) muestra el contenido íntegro de la comunicación, incluidas las credenciales, los datos exfiltrados y los comandos de C2 (si el tráfico no está cifrado). Los registros de consultas DNS revelan las comunicaciones periódicas del malware con dominios de C2. Los responsables de la respuesta buscan: grandes transferencias de datos salientes, conexiones a puertos inusuales, patrones de beaconing (conexiones regulares cada N segundos) y comportamientos de escaneo interno.

Reconstruir la cronología del ataque es fundamental para comprender el tiempo de permanencia (cuánto tiempo estuvo presente el atacante antes de ser detectado), identificar el vector de acceso inicial (para cerrar la vulnerabilidad) y preservar las evidencias en orden cronológico para los procedimientos judiciales. Las cronologías se crean correlacionando marcas de tiempo de múltiples fuentes de registros. La sincronización horaria (mediante NTP) es crítica: los registros con relojes del sistema incorrectos crean lagunas y contradicciones en las cronologías que debilitan las conclusiones forenses.

No todas las alertas requieren activar por completo el CSIRT. Los analistas utilizan criterios documentados para determinar los activadores de escalamiento: el descubrimiento de una filtración de datos confirmada activa las notificaciones regulatorias obligatorias y el escalamiento a la dirección ejecutiva. El descubrimiento de malware que se ha propagado más allá de un sistema activa la participación completa del CSIRT. Un único correo electrónico de phishing (sin hacer clic) permanece en el nivel del analista de nivel 1. Unos umbrales de escalamiento bien definidos evitan tanto la reacción excesiva (desperdiciar recursos en eventos menores) como la reacción insuficiente (permitir que filtraciones importantes crezcan mientras se tratan como alertas menores).

Ponga a prueba su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección aprendió que: la detección depende de diversas fuentes de registros agregadas por un SIEM con reglas de correlación que identifican patrones de ataque de múltiples eventos, los IoC recopilados durante el análisis se utilizan para delimitar el alcance del incidente en todos los sistemas y desarrollar reglas de bloqueo, y los falsos negativos son el resultado más peligroso porque permiten que los atacantes operen sin ser detectados. A continuación exploraremos la contención, la erradicación y la recuperación.