Actum Forense Press

Etiqueta: CCN-STIC

  • Guías CCN-STIC de la serie 500: qué puede demostrar un dominio Windows cuando el atacante ya ha estado dentro

    Guías CCN-STIC de la serie 500: qué puede demostrar un dominio Windows cuando el atacante ya ha estado dentro

    Idioma / Language: Español · English

    Preparación forense y cumplimiento del ENS en Directorio Activo: auditoría, tiempo, privilegio y la adquisición de un controlador de dominio

    Un viernes por la tarde, en una empresa de tamaño medio, alguien abre un documento adjunto que parecía una factura. El lunes por la mañana, mil doscientos ordenadores muestran la misma nota de rescate, los dos controladores de dominio están cifrados y el responsable de sistemas descubre que las copias de seguridad se borraron desde una cuenta de administrador del dominio a las 3:14 de la madrugada del domingo. La dirección pregunta lo de siempre, y lo pregunta tarde: qué ha pasado exactamente, quién entró, por dónde, cuánto tiempo estuvo dentro y qué datos se llevó. La respuesta a esas cinco preguntas tiene poco que ver con el antivirus o el cortafuegos. Depende de decisiones de configuración que se tomaron —o no se tomaron— meses antes, cuando nadie estaba mirando.

    (más…)
  • Un teléfono sobre la mesa del juez: la guía CCN-STIC-496, el BYOD y una cadena de custodia que nadie vigila

    Un teléfono sobre la mesa del juez: la guía CCN-STIC-496, el BYOD y una cadena de custodia que nadie vigila

    Idioma / Language: Español · English

    El dispositivo más protegido de una organización es, a la vez, la prueba más frágil que llegará al juzgado

    Un guardia civil recoge un teléfono de la mesa de un salón durante un registro. Lo mete en un sobre, anota la hora y sigue con su trabajo. Ocho minutos después, a doscientos kilómetros de allí, alguien pulsa un botón en un panel de administración y el terminal se borra por completo, con una orden legítima emitida por el sistema corporativo que lo gestionaba. Nadie ha cometido un delito de destrucción de pruebas: simplemente, el departamento de sistemas ha aplicado el procedimiento que tenía escrito para cuando un dispositivo sale del control de la empresa. Toda la investigación acaba de quedarse sin su pieza central, y el informe pericial que se redactará meses después tendrá que explicar por qué el aparato apareció vacío.

    (más…)
  • El riesgo antes del incidente: MAGERIT y PILAR, la metodología que el Esquema Nacional de Seguridad da por supuesta

    El riesgo antes del incidente: MAGERIT y PILAR, la metodología que el Esquema Nacional de Seguridad da por supuesta

    Idioma / Language: Español · English

    Qué hay dentro del documento que toda auditoría pide y casi nadie lee

    Toda auditoría de seguridad pregunta por un análisis de riesgos, todo informe pericial acaba tropezando con él y muy pocos profesionales del ámbito jurídico saben qué hay realmente dentro de ese documento. Monográfico de la metodología española de análisis y gestión de riesgos y de la herramienta con la que se aplica.

    La pregunta que nadie hizo a tiempo

    Cuando un incidente grave llega a un juzgado o a un expediente sancionador, la conversación deriva pronto hacia una pregunta que parece de sentido común: ¿la organización sabía que aquello podía ocurrir? De la respuesta depende buena parte del reproche. Una entidad que había identificado la amenaza, la había valorado y había decidido de forma motivada qué hacía con ella se encuentra en una posición muy distinta de la que no se había planteado nunca el asunto.

    (más…)
  • Las herramientas del CCN: SAT, LUCIA, REYES y AMPARO, o cómo queda registrado un ciberataque

    Las herramientas del CCN: SAT, LUCIA, REYES y AMPARO, o cómo queda registrado un ciberataque

    Idioma / Language: Español · English

    Las herramientas del CCN: SAT, LUCIA, REYES y AMPARO, o cómo queda registrado un ciberataque

    Lo prometido es deuda y analizamos algunas de las herramientas más importantes del CCN.

    Cuando un ciberataque termina, queda el silencio de los servidores apagados y queda otra cosa menos visible: un expediente. Alguien abrió un ticket a las tres y cuarto de la madrugada, alguien clasificó el incidente, alguien anotó una dirección IP en un repositorio compartido, alguien remitió un aviso al organismo de referencia y alguien, meses antes, había firmado una declaración de conformidad. Esa cadena de anotaciones nace en herramientas concretas, con nombre propio, y es el material con el que después se reconstruye lo ocurrido ante un auditor, ante la Agencia Española de Protección de Datos o ante un juzgado. En la Administración española, esas herramientas se llaman SAT, LUCIA, REYES y AMPARO.

    (más…)
  • Guía CCN-STIC-834 — La autopsia del código dañino – ¿Qué hacemos con el código y el hardware cuando un incidente ya está contenido?

    Guía CCN-STIC-834 — La autopsia del código dañino – ¿Qué hacemos con el código y el hardware cuando un incidente ya está contenido?

    Del antivirus que no funcionó al informe pericial: el trabajo que empieza cuando se apagan las alarmas.

    La red ya está aislada, los servicios vuelven poco a poco y el equipo de respuesta lleva treinta horas sin dormir. Sobre la mesa queda un fichero de doscientos kilobytes que alguien ha metido en un archivo comprimido con contraseña, y del que se sabe muy poco: que llegó como adjunto de un correo, que se ejecutó a las 03:14 y que el antivirus no dijo nada. La emergencia ha terminado. Pero no, el trabajo, en realidad, acaba de empezar! Alguien tiene que abrir ese fichero, entender qué hizo, quién lo mandó y qué se llevó, y hacerlo de manera que lo que averigüe sirva después ante un juez. De eso trata la guía CCN-STIC-834, «Protección ante código dañino en el ENS», del Centro Criptológico Nacional, y de eso trata este trabajo.

    (más…)