Operaciones de seguridad
Todo lo que he escrito sobre Operaciones de seguridad, empezando por los artículos de investigación. Cada uno de ellos termina con algo que puede poner en práctica el lunes.
¿Se enfrenta a alguno de estos problemas? Trabajo con organizaciones que necesitan respuestas, no otra presentación. Hablemos.
Qué incluye un artículo breve de cinco enfoques
La mayoría de los temas se presentan en una página con cinco secciones breves, siempre en este orden. Cada una tiene su propio color dentro del artículo para que pueda ir directamente a la que necesite.
- 1Por dónde empezaría: el primer paso que daría y la pregunta que haría antes de gastar nada.
- 2Dónde fallan los planes: dónde suelen venirse abajo los planes sobre este tema y qué supuesto pondría primero a prueba.
- 3Más allá de la jerga: qué significa realmente el tema cuando quitamos el lenguaje comercial de los proveedores.
- 4Cómo se ve un buen resultado: qué resultado demostraría que funcionó y qué cifra vigilaría.
- 5La decisión que los líderes no pueden eludir: la decisión que debe asumir la dirección y qué información necesita para tomarla.
Servicios relacionados: Centro de Operaciones de Seguridad (SOC), Servicios de Seguridad Gestionados (MSSP), Gestión de vulnerabilidades, Supervisión y elaboración de informes de cumplimiento normativo.
-
¿Cómo puede saber si su SOC es realmente eficaz?
Evalúe la eficacia del SOC mediante una detección contrastada, investigaciones defendibles y una contención verificada. Ponga de manifiesto los casos no detectados, los fallos en el traspaso de responsabilidades y los promedios de respuesta engañosos.
-
¿Cómo se sabe si un control de seguridad sigue funcionando tras un cambio?
Mantenga la validez de la evidencia de los controles de seguridad tras cualquier cambio: defina los criterios que activan nuevas pruebas, detecte la telemetría que falte y limite el plazo para tomar una decisión justificable.
-
¿Cómo se reconstruye un incidente de TI cuando los relojes no coinciden?
Reconstruya los incidentes de TI con incertidumbre en la marca de tiempo, procedencia de la fuente y evidencia causal; a continuación, verifique la recuperación temporal en función de los requisitos de cada función.
-
¿Cómo se retira un SIEM sin perder evidencia de investigación?
Conserve la evidencia de investigación utilizable al retirar un SIEM. Verifique la cobertura de la exportación, las marcas de tiempo, el historial de consultas, la integridad, la recuperación y la aceptación del apagado.
-
¿Cómo se comprueba la autorización de objetos de la API entre distintos inquilinos?
Pruebe la autorización de la API con una matriz de decisión que abarque inquilinos, objetos, campos, permisos caducados y trabajo en cola. Descubra qué evidencia respalda una decisión de lanzamiento.
-
¿Cómo se comprueba la detección de falsos positivos antes de activar una regla?
Pruebe una regla de detección con elementos similares inofensivos, datos no utilizados y funcionamiento en modo sombra. Separe la tasa de falsos positivos, la precisión de las alertas, la carga de trabajo y la evidencia de implementación.
-
¿Cómo se verifica la cobertura de un análisis de vulnerabilidades autenticado?
Compruebe el alcance de los activos, los privilegios de las credenciales, los diagnósticos de análisis, la actualidad de los sensores y los resultados que faltan antes de dar por fiable la cobertura de vulnerabilidades autenticada.
-
Cómo verificar DMARC en todos los remitentes de correo electrónico legítimos
Verifique la conformidad con DMARC en todos los buzones de correo, aplicaciones, proveedores y reenviadores, mediante pruebas de recepción y evidencia que respalde una decisión de cumplimiento.
-
¿Cuándo está lista una política de DLP para bloquear las transferencias de archivos?
Pruebe el bloqueo del DLP frente a transferencias autorizadas, fallos de inspección, anulaciones y conflictos de políticas antes de aplicarlo a toda su plantilla.
-
Cuando las puntuaciones de vulnerabilidad no coinciden, ¿qué debe corregir primero?
Conciliar los índices CVSS, EPSS y KEV de la CISA con la evidencia sobre los activos, las consecuencias para el negocio y las limitaciones de los parches para elegir una próxima acción justificable.
-
Fatiga de alertas
No empezaría a combatir la fatiga de las alertas adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Buscaría el ámbito de aplicación, el responsable y un escenario...
-
La supervisión continua no equivale a una garantía continua
Un panel de control puede mostrar un centenar de indicadores verdes y, aun así, decirme muy poco sobre si un atacante puede acceder a un sistema crítico. La monitorización recopila datos...
-
Ingeniería de detección
No comenzaría la ingeniería de detección adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de actuación, el responsable y un...
-
Nueve preguntas que debe plantearse antes de firmar un contrato de SOC gestionado
Externalizar la detección puede ser la decisión acertada. Externalizar la responsabilidad, en cambio, no lo es. Es en el contrato donde ambos conceptos se confunden, por lo que estas son las preguntas que yo...
-
Equipos «purple»
No comenzaría el «purple teaming» adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Buscaría el ámbito de actuación, el responsable y un escenario...
-
Arquitectura SIEM
No comenzaría la arquitectura SIEM adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Buscaría el ámbito de aplicación, el responsable y un escenario...
-
Modelo operativo SOC
No comenzaría el modelo operativo SOC adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de aplicación, el responsable y un...
-
Métricas de rendimiento del SOC
No comenzaría a establecer métricas de rendimiento del SOC adquiriendo otra plataforma o poniendo en marcha un programa de gran envergadura. Lo primero sería determinar el ámbito de aplicación, identificar al responsable y...
-
Dotación de personal para SOC
No comenzaría la dotación de personal para el SOC adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Buscaría el ámbito de actuación, el responsable y un escenario...
-
Estrategia de telemetría
No comenzaría una estrategia de telemetría adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de aplicación, el responsable a quien rendir cuentas y un escenario...
-
El panel de control de seguridad que nadie sabe utilizar
Un panel de control puede estar repleto de porcentajes positivos y, aun así, impedir que los responsables puedan determinar si la organización es más segura.
-
Búsqueda proactiva de amenazas
No comenzaría la búsqueda proactiva de amenazas adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Buscaría el ámbito de actuación, el responsable y un escenario...
-
¿Cuándo debería un SOC permitir que la automatización desactive las cuentas de los empleados?
Decida cuándo está justificada la contención automatizada de cuentas. Examine los falsos positivos, la revocación de sesiones, los límites de acciones, los reintentos y la restauración segura.
-
Cuándo retirar una regla de detección
Todos los SOC que he examinado tienen normas que nadie recuerda haber redactado. Se activan, un analista las cierra y el ciclo se repite hasta que, finalmente, alguien pregunta cuál es la norma...
-
Por qué su SOC está muy ocupado pero no es eficaz
Un centro de operaciones de seguridad puede estar muy ocupado las veinticuatro horas del día y, aun así, pasar por alto el incidente que realmente importa. No considero que el número de alertas cerradas sea especialmente relevante...
No hay resultados. Pruebe con otra palabra o pregúnteme directamente.