SOC Y CSIRT: qué son y para qué son necesarios para tu empresa

Las amenazas en torno a la ciberseguridad son cada vez mayores y más complejas. Una de las maneras más efectivas de hacerlas frente es mediante la creación de un equipo de respuesta ante incidentes (CSIRT) y un centro de operaciones de seguridad (SOC). En el presente artículo os invitamos a conocer qué son, y por qué son tan importantes para tu empresa en la actualidad.

DEFINICIÓN DE CSIRT

El término CSIRT, o equipo de respuesta ante incidentes informáticos (Computer Incident  Response Team) fue creado en la década de los 90’s del siglo pasado. Se ha convertido desde entonces en un concepto genérico referido a una serie de servicios como, por ejemplo, monitorización de la seguridad de los sistemas de información y comunicación informática, gestión de vulnerabilidades, gestión de incidentes (su principal función), etc.

En general, un CSIRT es un equipo de profesionales de la ciberseguridad, los cuales ofrecen una respuesta, estructurada y planificada, ante los posibles incidentes de seguridad a los que están expuestas las tecnologías de la información.

Actualmente, FIRST (una de las principales organizaciones en los que respecta a respuesta ante incidentes, aglutinando en torno a sí a expertos mundiales en estas cuestiones, con el fin de garantizar una internet más segura para todos) se encuentra volcada en definir los más altos estándares que han de cumplir las actividades desarrollas por un CSIRT. Estas actividades están organizadas en cinco servicios principales:

• Gestión de incidentes de la seguridad de la información
• Gestión de vulnerabilidades
• Concienciación situacional (Situational Awareness), o la capacidad de percibir lo que está ocurriendo en el contexto tecnológico a nivel de ciberseguridad, para, de este modo, intentar anticipar escenarios de riesgo que puedan producirse.
• Formación y entrenamiento
• Monitorización, detección y análisis

DEFINICIÓN DE SOC

Un SOC, o Centro de Operaciones de Seguridad (Security Operations Centre), es un servicio de detección de incidentes mediante la monitorización ininterrumpida de la actividad de las redes y sistemas (logs, eventos, conexiones, etc.).

Por lo común, consiste en un área delimitada con medidas de seguridad, donde un equipo especializado controla mediante diversas monitorizaciones en tiempo real lo que ocurre en la infraestructura tecnológica de una organización. El personal se compone de profesionales que provienen de diversas ramas de la tecnología de la información que incorporan recursos como, por ejemplo, herramientas de gestión de sucesos y seguridad de la información (SIEM, según sus siglas en inglés) y otras soluciones automatizadas puestas al servicio de la vigilancia.

El personal que compone un SOC supervisa aspectos como, por ejemplo, la velocidad de conexión, siendo una de sus funciones detectar falsos positivos y falsos negativos en la actividad analizada y controlada. Si bien un SOC típico suele responder a la imagen de una sala llena de monitores instalada físicamente en el seno de una empresa, compuesto por personal específicamente preparado, puede consistir también en un equipo virtual y externalizado, o una combinación de ambos escenarios.

DIFERENCIA ENTRE SOC Y CSIRT

Aunque ambos tienen como fundamento principal la protección, la manera de abordarla es distinta según se trate de un SOC o un CSIRT.

El primero realiza una vigilancia constante, monitorizando, detectando y actuando sobre las alertas que se van generando. El segundo es el equipo que actúa cuando se produce un incidente, coordinando la respuesta, gestionando la resolución, estableciendo las comunicaciones pertinentes y documentando todas las acciones para su análisis posterior y extraer aprendizajes.

Como idea básica y muy general, puede decirse que, en la práctica el SOC detecta una anomalía, e inicia el procedimiento que ha de llevar a su subsanación, mientras que el CSIRT la investiga en profundidad, toma decisiones sobre su contención, interactúa con otros departamentos (legal, etc.) para tratarla y, finalmente, asegura que la organización saque lecciones encaminadas a la mejora continua.

CÓMO IMPLEMENTAR UN CSIRT EN TU EMPRESA

El primer paso para disponer de un CSIRT consiste en tener bien claras las razones y necesidades de establecerlo, lo cual ayudará a perfilar de manera más ajustada sus funciones y el presupuesto inicial para su diseño. Las expectativas y requerimientos de las partes interesadas o stakeolders (accionistas, consejo de administración etc.) han de ser tenidos en consideración, pues la inclusión de un CSIRT ha de quedar perfectamente respaldada por los máximos órganos de administración y gobierno de una empresa. Algunas de las principales justificaciones para implementar un CSIRT son:

• La necesidad de organizar profesionalmente la gestión de los incidentes de ciberseguridad, con el fin de minimizar su impacto.
• La necesidad de contar con un equipo especializado que aplique métodos de trabajo respaldados por instituciones de referencia reconocidas a nivel internacional (FIRST, ENISA, etc.).
• Disponer del respaldo de otros CSIRT
• La necesidad de tener un equipo coordinado en lo referente a la gestión de incidentes, vulnerabilidades, y análisis de amenazas.

Las recomendaciones a tener en cuenta respecto al diseño se alinean con el conocido SIM3. Nos referimos a un modelo que evalúa y mide el trabajo dentro de un CSIRT, a partir de cuatro áreas: nivel organizativo, equipo humano, herramientas y procesos.

Concluida la fase anterior, se iniciaría el estadio de implementación, donde se tratan aspectos de índole organizacional, como los cumplimientos normativos que puedan afectar a su funcionamiento, la tecnología y los servicios necesarios, etc. Aquí se llevan a cabo tareas como, por ejemplo, la contratación del personal cualificado, la planificación de las formaciones técnicas necesarias para cada miembro del equipo, la adecuación de las instalaciones, etc.

El siguiente paso sería la fase operativa, donde se ponen en marcha los servicios correspondientes y se mide su rendimiento mediante diversos KPIs (Key Performance Indicators). Estos KPIs han de ser estudiados de manera regular.

Durante la fase de mejora, el CSIRT estudia aquellos aspectos que pueden ayudar a optimizar sus resultados.

ALGUNAS HERRAMIENTAS UTILIZADAS EN UN SOC Y UN CSIRT

Un SOC integra una serie de elementos, entre los que destacan:

• SIEM (Security Information and Event Management): centraliza logs y genera alertas.
• EDR (Endpoint Detection & Response): monitorea endpoints (ordenadores, servidores) y permite respuestas en los mismos.
• NDR (Network Detection & Response): vigila tráfico de red en busca de comportamientos sospechosos.
• SOAR (Security Orchestration, Automation and Response): automatiza tareas repetitivas y coordina herramientas.

Un CSIRT puede incorporar recursos y tecnologías propias del análisis digital forense.

Hay que tener en cuenta que se activan diversos procesos, en el transcurso de los cuales entran en acción diferentes soluciones que responden a fases tan diversas como la monitorización y detección en tiempo real, la evaluación (triage) que permite priorizar las acciones según el tipo de incidente y su posible impacto, la investigación, la contención y mitigación, la remediación y recuperación, el análisis y la generación de los informes.

POR QUÉ TU EMPRESA NECESITA UN SOC Y UN CSIRT

Tener la posibilidad de disponer de estos recursos aporta importantes beneficios para una empresa. Gracias a ellos, se reduce drásticamente el tiempo de exposición ante las consecuencias de un ataque, lo que minimiza los posibles impactos que pueden repercutir muy negativamente en la organización. La detección temprana de un incidente asegura una respuesta eficaz y eficiente, la cual limita enormemente los estragos que pueden producirse en caso de dilatar en exceso el tiempo de reacción.

Asimismo, la centralización del conjunto de actividades relacionadas con la infraestructura tecnológica de una organización permite una visión holística, no sesgada, del estado general de la ciberseguridad.

Por otro lado, al regirse por requisitos muy bien definidos por las autoridades de referencia, ayuda en el cumplimiento normativo de los controles implementados.

Además, se elimina la improvisación, con los posibles errores que puedan derivarse de la misma, en favor de una respuesta organizada, planificada y coordinada.

CONCLUSIÓN

Un SOC y un CSIRT no son sólo recursos tecnológicos y humanos al servicio de la seguridad en término de mera reacción ante un incidente. Ambos implican un compromiso de la empresa por una cultura de la resiliencia. En tiempos en los que un incidente puede costar millones y socavar la confianza de clientes, disponer de una vigilancia profesional y de una capacidad de respuesta organizada no es un lujo, sino una necesidad estratégica.

¿Quieres que te ayudemos a diseñar un SOC/CSIRT adaptado a tu empresa? Podemos elaborar un diagnóstico práctico y realista que priorice inversiones y defina perfiles, procesos y tecnología según tu riesgo real. Contáctanos y empezamos.