Actum Forense Press

Categoría: Ciberdelincuencia

  • Las herramientas del CCN: SAT, LUCIA, REYES y AMPARO, o cómo queda registrado un ciberataque

    Las herramientas del CCN: SAT, LUCIA, REYES y AMPARO, o cómo queda registrado un ciberataque

    Idioma / Language: Español · English

    Las herramientas del CCN: SAT, LUCIA, REYES y AMPARO, o cómo queda registrado un ciberataque

    Lo prometido es deuda y analizamos algunas de las herramientas más importantes del CCN.

    Cuando un ciberataque termina, queda el silencio de los servidores apagados y queda otra cosa menos visible: un expediente. Alguien abrió un ticket a las tres y cuarto de la madrugada, alguien clasificó el incidente, alguien anotó una dirección IP en un repositorio compartido, alguien remitió un aviso al organismo de referencia y alguien, meses antes, había firmado una declaración de conformidad. Esa cadena de anotaciones nace en herramientas concretas, con nombre propio, y es el material con el que después se reconstruye lo ocurrido ante un auditor, ante la Agencia Española de Protección de Datos o ante un juzgado. En la Administración española, esas herramientas se llaman SAT, LUCIA, REYES y AMPARO.

    (más…)
  • El robo empieza mucho antes de que hagamos las maletas

    El robo empieza mucho antes de que hagamos las maletas

    Idioma / Language: Español · English

    E rastro que dejamos en las redes durante todo el año permite averiguar dónde vivimos, qué tenemos dentro y qué días la casa estará sola, y qué medidas concretas cortan ese suministro de información.

    Read in English

    Agosto, la casa sola y un mapa que les hemos dibujado nosotros

    Todos los años se repite la sorpresa al volver de vacaciones: La escena se repite cada verano con puntualidad de calendario. Alguien sube una foto del embarque, con la tarjeta en la mano y el destino visible, y añade la duración del viaje por si algún conocido coincide por allí. Al día siguiente llega la playa, el hotel, la excursión y la cena. Diez días de emisión continuada que informan de una cosa muy concreta a cualquiera con acceso al perfil: hay una vivienda, en una ciudad conocida, que lleva más de una semana sin nadie dentro.

    (más…)
  • Guía CCN-STIC-834 — La autopsia del código dañino – ¿Qué hacemos con el código y el hardware cuando un incidente ya está contenido?

    Guía CCN-STIC-834 — La autopsia del código dañino – ¿Qué hacemos con el código y el hardware cuando un incidente ya está contenido?

    Del antivirus que no funcionó al informe pericial: el trabajo que empieza cuando se apagan las alarmas.

    La red ya está aislada, los servicios vuelven poco a poco y el equipo de respuesta lleva treinta horas sin dormir. Sobre la mesa queda un fichero de doscientos kilobytes que alguien ha metido en un archivo comprimido con contraseña, y del que se sabe muy poco: que llegó como adjunto de un correo, que se ejecutó a las 03:14 y que el antivirus no dijo nada. La emergencia ha terminado. Pero no, el trabajo, en realidad, acaba de empezar! Alguien tiene que abrir ese fichero, entender qué hizo, quién lo mandó y qué se llevó, y hacerlo de manera que lo que averigüe sirva después ante un juez. De eso trata la guía CCN-STIC-834, «Protección ante código dañino en el ENS», del Centro Criptológico Nacional, y de eso trata este trabajo.

    (más…)

  • Guía CCN-STIC-817 — Gestión de ciberincidentes: clasificación, notificación y preservación de la prueba de un ciberataque

    Guía CCN-STIC-817 — Gestión de ciberincidentes: clasificación, notificación y preservación de la prueba de un ciberataque

    Idioma / Language: Español · English

    Comprende la guía a fondo: todo lo que necesitas hacer, explicado con claridad.

    Un lunes por la mañana, la pantalla de un ordenador de la administración muestra un mensaje en inglés que exige un pago en criptomoneda. Los archivos ya no se abren. En cuestión de minutos, la pregunta deja de ser técnica y se vuelve jurídica: ¿qué ha pasado exactamente, a quién hay que avisar, en cuánto tiempo, y podremos demostrar más adelante que actuamos como debíamos? Responder a ese cúmulo de preguntas con orden, y no a ciegas, es justo lo que enseña la guía CCN-STIC-817, «Esquema Nacional de Seguridad. Gestión de Ciberincidentes», del Centro Criptológico Nacional.

    (más…)
  • El adversario también deja método: la guía CCN-STIC-425 y el análisis de intrusiones

    El adversario también deja método: la guía CCN-STIC-425 y el análisis de intrusiones

    El ciclo de inteligencia: cómo transformar registros técnicos dispersos en conocimiento capaz de atribuir un ataque y de perfilar a quien lo dirige.

    Cuando una organización descubre que ha sido atacada, la reacción inmediata se concentra casi siempre en el daño: qué se ha roto, qué datos se han perdido, cuánto costará restablecer el servicio. La pregunta que de verdad importa a quien investiga llega algo más tarde y resulta bastante más incómoda de responder: quién estaba al otro lado del teclado, con qué medios y movido por qué propósito. Contestarla exige mucho más que pericia técnica. Exige un método para ordenar el caos de registros, conexiones y ficheros que deja cualquier intrusión y convertirlo en conocimiento con valor para la investigación y, llegado el caso, para un tribunal. Ese método tiene nombre y tiene guía: la CCN-STIC-425, «Ciclo de Inteligencia y Análisis de Intrusiones», del Centro Criptológico Nacional.

    (más…)