Identificar datos comprometidos puede ser una pesadilla logística

Acaba de enterarse de que su red corporativa o entorno de nube ha sido violado. ¿Sabe cómo determinar qué datos se han visto comprometidos y dónde se han almacenado?

Iniciar una investigación de lesiones generalmente requiere que tenga un punto de partida, pero saber ese punto de partida no siempre es posible. A veces, no sabe qué datos o activos físicos se vieron comprometidos, solo que el FBI acaba de llamar para decirle que los datos de su empresa se han puesto a la venta en la web oscura, dice Tyler Young, CISO en BigID, una empresa de seguridad centrada en la privacidad. firma, Cumplimiento y Gobernanza.

Se debe identificar la base de datos, la aplicación, el servidor o el depósito de almacenamiento de origen para garantizar que el equipo forense pueda rastrear cualquier amenaza potencial que aún esté al acecho en su red.

John Benkert, cofundador y director ejecutivo de la empresa de seguridad de datos Cigent, recomienda que si no sabe exactamente qué datos se violaron, comience a evaluar los sistemas y activos que son más críticos para las operaciones de la empresa o que contienen la información más confidencial. Concéntrese en los sistemas con mayor probabilidad de haber sido violados, como B. aquellos con vulnerabilidades conocidas o controles de seguridad débiles.

«Cuando los equipos de seguridad buscan datos comprometidos, a menudo se enfocan en las cosas equivocadas, como: B. la búsqueda de firmas conocidas o indicadores de compromiso”, dice Ani Chaudhuri, CEO de Dasera. “Este enfoque puede ser efectivo para detectar amenazas conocidas, pero es menos útil para encontrar amenazas nuevas o avanzadas que no coinciden con patrones conocidos. En su lugar, los equipos de seguridad deben centrarse en comprender los datos de la organización y cómo se accede a ellos, se utilizan y se almacenan».

Mantenga sus conocimientos actualizados para garantizar la trazabilidad

Young dice que una comprensión básica de sus activos, incluidos los sistemas de datos, las identidades y las personas, lo ayudará a trabajar hacia atrás cuando ocurra una infracción. Con el descubrimiento y la clasificación de datos automatizados, las organizaciones pueden comprender mejor dónde residen sus datos confidenciales y quién tiene acceso a ellos. Esta información se puede usar para identificar y priorizar los controles de seguridad, como los controles de acceso y el cifrado para proteger los datos, señala.

Conectar los puntos entre sistemas, personas, controles de seguridad y otros activos identificables entrega las migas de pan proverbiales a través de la violación de datos, desde datos en la web oscura hasta donde residían originalmente en servidores corporativos o en las nubes.

Es esencial contar con un perfil de administración de activos actualizado, que incluya dónde se almacenan los datos, qué datos se encuentran en qué repositorio y un inventario completo de la topología y los dispositivos de la red.

«Los CISO deben tener una visión completa de la infraestructura de TI de su organización, incluidas todas las máquinas virtuales, los sistemas de almacenamiento y los terminales», dice Young.

Benkert de Cigent identifica algunos errores comunes que cometen las empresas al investigar una brecha de seguridad:

• No actúes rápido. El tiempo es esencial en una investigación de lesiones, y los retrasos en la recopilación de datos forenses permiten a los atacantes cubrir sus huellas, destruir pruebas o intensificar su ataque.
• Sobrescribir o cambiar datos. Las organizaciones podrían sobrescribir o modificar inadvertidamente los datos forenses al continuar usando los sistemas afectados o al realizar investigaciones no controladas.
• Falta de experiencia. La recopilación y el análisis de datos forenses requiere habilidades y herramientas especializadas, y es posible que las organizaciones no tengan la experiencia interna adecuada para realizar estas tareas de manera efectiva.
• Sin considerar todas las posibles fuentes de evidencia. Las organizaciones pueden pasar por alto o no investigar completamente todas las posibles fuentes de datos forenses, como: servicios en la nubedispositivos móviles o medios físicos.
• No hay retención de datos con solidez forense. Para mantener la integridad de la evidencia, es importante utilizar métodos de recopilación y retención de datos con solidez forense. Para ser sólido desde el punto de vista forense, el proceso de captura debe ser defendible al ser consistente, repetible, bien documentado y autenticado.
• No hay un plan claro de respuesta a incidentes. Un plan bien definido puede ayudar a garantizar que se recopilen todos los datos relevantes y que la investigación se lleve a cabo de manera metódica y eficaz.

«Las capacidades de monitoreo continuo y detección de riesgos ayudan a las organizaciones a identificar comportamientos anómalos o sospechosos que podrían indicar una violación de datos», señala Chaudhuri de Dasera. Al monitorear los patrones de acceso a los datos y los cambios en los datos y la infraestructura, las organizaciones pueden identificar rápidamente amenazas potenciales y alertar a los equipos de seguridad para que tomen medidas.

Las violaciones de OT son de particular preocupación

Las infracciones en los entornos de tecnología operativa (OT) a menudo plantean desafíos adicionales para los equipos forenses. Con una red de TI tradicional, los servidores y otros puntos finales pueden retirarse físicamente y llevarse a un laboratorio de aplicación de la ley para su análisis. Pero ese no es necesariamente el caso en entornos OT, señala Marty Edwards, CTO asociado para OT/IoT en Tenable, miembro de Global Cybersecurity Alliance (GCA) de la Sociedad Internacional de Automatización (ISA) y ex director de ISA.

En entornos OT, los datos comprometidos podrían estar presentes en los controles de dispositivos integrados en sistemas de infraestructura crítica como una planta de tratamiento de agua o la red eléctrica, que no se pueden desconectar o apagar sin afectar a miles de personas.

Incluso entregar una computadora portátil de misión crítica comprometida al FBI puede requerir que el equipo de TI negocie el proceso de reemplazo de la computadora portátil para mantener su función de misión crítica, en lugar de simplemente colocarla en una bolsa de evidencia. Dónde Las redes OT y TI convergenLos ciberataques comunes como el ransomware pueden conducir a investigaciones forenses mucho más complejas debido a las diferentes capas de seguridad de los dispositivos de red.

Una de las dificultades es que los sistemas OT usan hardware altamente personalizado y, a veces, patentado, y los protocolos no se publican ni están disponibles abiertamente, señala Edwards.

“En algunos casos hemos tenido que construir nuestras propias herramientas, o hemos tenido que trabajar con el fabricante o el vendedor para traer sus herramientas de fábrica, que no venden a nadie pero las usan mientras hacen el producto. » él dice.

Ocasionalmente, las herramientas de software personalizadas deben crearse en el sitio porque las herramientas forenses tradicionales a menudo no funcionan, dice Edwards.